Docker镜像中Google Cloud SDK认证后GCS访问权限错误排查

架构老林

2026-7-7

问题描述

运行Docker镜像时触发Google Cloud Storage权限错误：

ApiError: Anonymous caller does not have storage.objects.get access to the Google Cloud Storage Object.

已完成的排查动作：

确认ServiceAccountKey.json关联的服务账号已配置以下IAM角色：Firebase Admin SDK Service Agent、Service Account Token Creator、Storage Admin、Storage Object Admin

Dockerfile中已安装Google Cloud SDK并完成认证配置：

RUN curl -sSL https://sdk.cloud.google.com | bash
ENV PATH $PATH:/root/google-cloud-sdk/bin
RUN gcloud auth activate-service-account --key-file=ServiceAccountKey.json
RUN gcloud --quiet config set project myproject

通过dotenv管理环境变量，.env文件已成功复制到镜像内
镜像构建过程无报错
本地代码运行完全正常，业务流程为：监听Firebase集合文档更新→从GCS获取LaTeX模板→转换为PDF→保存至目标存储桶→发送PDF邮件。Docker镜像可正常触发监听逻辑，能定位到存储桶中的模板对象，但无法下载，触发上述权限错误。

解决方向

1. 确保代码明确加载服务账号密钥

本地运行时可能自动读取了本地默认凭证或环境变量，但Docker容器内需要确保代码直接指定使用ServiceAccountKey.json，而非依赖gcloud CLI的配置。多数Google Cloud SDK（如Node.js的@google-cloud/storage）会优先读取GOOGLE_APPLICATION_CREDENTIALS环境变量，而非gcloud的认证状态。

在Dockerfile中添加环境变量指定密钥路径：

ENV GOOGLE_APPLICATION_CREDENTIALS=/容器内密钥的实际路径/ServiceAccountKey.json

检查代码中是否显式传入密钥路径初始化存储客户端，示例（Node.js）：

const { Storage } = require('@google-cloud/storage');
const storage = new Storage({
  keyFilename: process.env.GOOGLE_APPLICATION_CREDENTIALS
});

2. 验证容器内服务账号密钥的有效性

进入运行中的容器，执行以下命令排查权限问题：

# 查看当前gcloud认证账号
gcloud auth list
# 尝试直接拉取目标模板对象
gsutil cp gs://你的存储桶名/模板路径/template.tex /tmp/test.tex

如果gsutil命令同样报错，说明密钥在容器内存在路径错误、文件损坏等问题，可通过cat /容器内密钥路径/ServiceAccountKey.json对比本地密钥内容是否一致。

3. 排查IAM角色的权限边界与条件限制

即使配置了Storage Admin角色，也可能存在以下限制：

服务账号的权限边界（Permission Boundary）未允许storage.objects.get操作，可在GCP控制台IAM页面查看该账号的权限边界配置
角色绑定带有条件限制（如仅允许特定IP、时间范围访问），而容器运行环境不符合条件

4. 检查存储桶的对象级权限

部分存储桶开启了对象级权限，会覆盖IAM角色的权限配置。进入GCS控制台，查看目标模板对象的权限列表，确认服务账号是否拥有storage.objects.get权限。

5. 移除gcloud CLI认证步骤，避免凭证冲突

gcloud CLI的认证配置针对用户场景，而SDK通常优先使用GOOGLE_APPLICATION_CREDENTIALS或默认凭证链。Dockerfile中执行的gcloud auth activate-service-account可能导致凭证混淆，建议去掉该步骤，直接通过环境变量或代码指定密钥。

内容的提问来源于stack exchange，提问作者Shayn Voon