使用GCP Workflow导入GCS CSV至Cloud SQL遇403权限错误求助

核心原因 #

你混淆了两个服务账号的权限范围：
你给Cloud SQL实例的服务账号配置了GCS权限，但执行Workflow调用SQL Import API的是Workflow自身的服务账号——这个账号既没有被授予访问目标GCS桶的权限，也可能缺少调用Cloud SQL Admin API的权限，导致403错误。

具体解决步骤 #

1. 确认Workflow使用的服务账号 #

默认情况下，Workflow使用项目的App Engine默认服务账号：[你的项目ID]@appspot.gserviceaccount.com。如果你自定义了Workflow的执行服务账号，以实际配置为准。

2. 为Workflow服务账号添加必要权限 #

给该服务账号授予以下两类权限：

• Storage Object Admin（仅需读取文件时，可降级为Storage Object Viewer）：允许访问目标GCS桶内的文件。
• Cloud SQL Admin：允许调用Cloud SQL的Import API完成导入操作。

3. 优化Workflow代码（推荐） #

不要手动用http.post拼接API请求，改用Workflow内置的googleapis.sqladmin.v1.instances.import客户端，权限处理更符合GCP规范，避免手动配置OAuth的潜在问题：

main:
  params: [event]
  steps:
  - log_event:
      call: sys.log
      args:
          text: ${event}
          severity: INFO
  - extract_bucket_and_file:
      assign:
        - bucket: ${event.data.bucket}
        - file: ${event.data.name}
  - init:
      assign:
        - project_id: ${sys.get_env("GOOGLE_CLOUD_PROJECT_ID")}
        - instance: "xxx-instance"
        - database_name: "xxx-db"    
  - start_sql_instance:
      call: googleapis.sqladmin.v1.instances.patch
      args:
          instance: ${instance}
          project: ${project_id}
          body:
              settings:
                activationPolicy: 'ALWAYS'
      result: startSqlResponse
  - log_start_sql_instance_response:
      call: sys.log
      args:
          text: ${startSqlResponse}
          severity: INFO
  - import_data:
      call: googleapis.sqladmin.v1.instances.import
      args:
          project: ${project_id}
          instance: ${instance}
          body:
              importContext:
                fileType: CSV
                uri: gs://${bucket}/${file}
                database: ${database_name}
                kind: sql#importContext
                csvImportOptions:
                  table: 'xxx'
      result: importResponse
  - log_import_data_response:
      call: sys.log
      args:
          text: ${importResponse}
          severity: INFO                          
  - the_end:
      return: "SUCCESS"

4. 额外验证（可选） #

如果仍报错，检查：

• GCS桶的权限绑定是否正确，且权限已生效（GCP权限可能有1-2分钟的延迟）。
• Cloud SQL实例的服务账号确实拥有GCS桶的访问权限（SQL实例最终会直接拉取GCS文件，该权限不能省略）。

内容的提问来源于stack exchange，提问作者MQ.