配置访问公开共享日历的最小IAM角色及解决签名错误

先澄清错误根源 #

「Invalid JWT Signature」错误一般和IAM角色权限无关，先优先排查以下问题：

• 确认Service Account密钥文件未被篡改、过期，且是当前生产环境SA的有效密钥
• 检查Deno代码中加载密钥的逻辑：比如是否正确读取了密钥文件里的private_key字段，有没有格式错误（比如换行符丢失）
• 验证代码中指定的SA邮箱、GCP项目ID和密钥文件的信息完全匹配

针对公开日历事件读取的正确权限配置 #

你混淆了GCP IAM角色和Google Calendar自身的权限体系：GCP IAM的「Viewer」角色仅作用于GCP资源（比如虚拟机、存储桶），对Google Calendar这类Workspace资源无效。正确配置方式如下：

1. GCP基础配置：确保已在GCP控制台的「API和服务」中启用Google Calendar API
2. 日历共享权限：
   • 如果是完全公开的日历，确认其共享设置为「任何人（即使未登录）都可以查看所有事件」
   • 如果是需要限定SA访问的公开日历，直接把SA的邮箱添加到日历的共享列表中，授予「查看者」权限
3. Workspace IAM角色（可选）：如果你的组织使用Workspace，可在Workspace Admin控制台给SA分配「Calendar Viewer」（roles/calendar.viewer）角色，批量授权查看多个日历

额外注意 #

测试阶段的全权限SA之所以能正常工作，是因为它拥有GCP项目的所有权限，包括自动获取Calendar API的访问权限，但生产环境必须遵循最小权限原则，不要使用全权限SA。

内容的提问来源于stack exchange，提问作者Bertuz