GCP云函数调用时出现Logging权限拒绝错误求助

可能原因及解决步骤 #

• 确认权限绑定范围：检查Logs Writer（roles/logging.logWriter）角色是否绑定在Cloud Function所在的项目层级。进入IAM页面搜索目标服务账号，查看角色绑定的资源是否覆盖当前项目，避免仅绑定在文件夹/组织层级导致权限不生效。
• 验证服务账号匹配性：打开Cloud Function详情页，在「运行时、构建和连接设置」标签下确认服务账号字段是你配置了日志权限的账号，排除部署时选错账号的情况。
• 等待权限生效延迟：GCP IAM权限变更可能存在5-10分钟的延迟，若刚添加权限，等待后再测试调用。
• 排查组织级政策限制：检查组织是否有针对logging.logEntries.create的组织政策约束，阻止服务账号创建日志条目。可通过组织政策页面搜索相关规则。
• 直接添加特定权限测试：若以上步骤无效，尝试直接给服务账号添加logging.logEntries.create具体权限，而非依赖Logs Writer角色，排查是否为角色权限继承问题。

错误信息参考：
error details: name = ErrorInfo reason = IAM_PERMISSION_DENIED domain = iam.googleapis.com metadata = map[permission:logging.logEntries.create]
timestamp: 2024-01-28T03:33:06.830860Z

内容的提问来源于stack exchange，提问作者Shreyas Awankar