调用projects.timeSeries接口：服务账号报403，谷歌账号报400

1. 服务账号需计费的核心原因 #

服务账号是谷歌云项目级别的身份实体，调用API时会直接关联其所属项目的计费状态——Cloud Monitoring API（包含projects.timeSeries接口）属于付费API，服务账号调用时必须依赖所属项目的计费启用状态，没有个人用户的免费额度豁免。而真实谷歌账号可能关联到个人免费层级额度、组织内的计费豁免政策，所以即使项目计费关闭也能调用。

2. 服务账号403（已开计费仍报错）的排查步骤 #

• 确认服务账号归属项目：检查服务账号所属的项目是否与你启用计费的项目一致——很多时候会误将服务账号创建在未开计费的项目下，导致关联错误。
• 检查API启用状态：确保服务账号所属项目已经启用了Cloud Monitoring API（在谷歌云控制台的API库中搜索启用），未启用API的话，哪怕计费和权限都正常也会触发权限类错误。
• 验证权限范围（Scopes）：调用projects.timeSeries需要的有效scope是https://www.googleapis.com/auth/monitoring.read或https://www.googleapis.com/auth/monitoring，生成服务账号令牌时必须指定正确的scope，否则会出现权限不足的403。
• 检查令牌有效性：用gcloud auth activate-service-account --key-file=your-key.json激活服务账号，再用gcloud auth print-access-token生成测试令牌，解析令牌确认是否包含正确的scope和项目信息，同时检查令牌是否过期。
• 确认请求参数正确性：有时候403会被错误提示，但实际是请求参数不符合要求（比如项目ID写错），可以对比真实账号的请求参数，排查是否存在参数差异。

3. 真实账号400错误的说明 #

400属于请求格式/参数错误，和计费、权限无关，常见原因包括：

• 请求体中timeSeries的结构不符合API规范（比如指标名称格式错误、时间范围参数无效）
• 缺少必填参数，或者参数值类型不匹配
• 项目ID或资源路径填写错误

可以参考Cloud Monitoring API的官方文档，核对请求体的结构和参数，对比服务账号的请求内容找出差异。

内容的提问来源于stack exchange，提问作者Peter