如何解决GCP Cloud Logging的logging.logEntries.create权限拒绝问题？

1. 确认代码实际使用的服务账号 #

你手动授权的自建服务账号可能不是代码实际调用API时使用的账号，先明确具体是哪个账号在执行操作：

• 本地开发环境：
  • 执行gcloud auth list查看当前gcli活跃的认证账号；
  • 检查是否设置了GOOGLE_APPLICATION_CREDENTIALS环境变量，该变量指向的JSON密钥文件对应的服务账号就是代码使用的账号。
• GCP托管服务（Cloud Run/GCE/Cloud Functions等）：
  • 在对应服务的控制台详情页，找到「服务账号」选项，查看运行时使用的默认/指定服务账号。

2. 给正确的服务账号添加最小权限 #

无需授予Logging Admin这类宽泛权限，遵循最小权限原则，添加Logs Writer角色即可（该角色包含logging.logEntries.create权限）：

• 打开GCP控制台→IAM与管理员→IAM页面；
• 搜索找到你确认的服务账号；
• 点击账号右侧的编辑按钮，添加角色→搜索「Logs Writer」并选中；
• 保存更改，等待1-2分钟让权限生效。

3. 修复代码中的错误处理逻辑 #

你的代码存在逻辑问题：当Firestore客户端创建失败时，先执行log.Fatalf会直接终止程序，导致后续日志记录代码无法执行。调整顺序如下：

firestoreClient, err = firestore.NewClientWithDatabase(ctx, projectID, "capstone")
if err != nil {
    // 先记录日志再终止程序
    logger.Log(logging.Entry{
        Payload:  fmt.Sprintf("Failed to create Firestore client: %v", err),
        Severity: logging.Error,
    })
    log.Fatalf("Failed to create Firestore client: %v", err)
}

内容的提问来源于stack exchange，提问作者Shreyas Awankar