在自建Jupyter环境使用GCP Vertex AI遇权限拒绝问题求助

一、验证应用默认凭据（ADC）是否关联目标服务账号 #

• 用Python代码在Notebook中检查当前凭据对应的账号：

  from google.auth import default
  credentials, project_id = default()
  print(f"当前凭据账号: {credentials.service_account_email if hasattr(credentials, 'service_account_email') else '非服务账号凭据'}")
  

  如果输出不是vertex-custom-training-sa@<你的项目ID>.iam.gserviceaccount.com，说明ADC未正确绑定目标账号，按以下步骤修复：
  1. 删除现有ADC缓存文件：

     rm -rf ~/.config/gcloud/application_default_credentials.json
     

  2. 下载目标服务账号的JSON密钥文件，在Notebook中设置环境变量指定密钥路径：

     import os
     os.environ["GOOGLE_APPLICATION_CREDENTIALS"] = "/path/to/vertex-custom-training-sa-key.json"
     

     或者在终端设置环境变量后重启Jupyter服务。

二、验证服务账号权限是否达标 #

• 检查服务账号是否已授予roles/aiplatform.user角色：

  gcloud projects get-iam-policy <你的项目ID> --filter="bindings.members:serviceAccount:vertex-custom-training-sa@<你的项目ID>.iam.gserviceaccount.com" --format="value(bindings.role)"
  

  若输出无roles/aiplatform.user，重新添加角色：

  gcloud projects add-iam-policy-binding <你的项目ID> --member="serviceAccount:vertex-custom-training-sa@<你的项目ID>.iam.gserviceaccount.com" --role="roles/aiplatform.user"
  

• 测试核心权限是否允许：

  gcloud iam simulate-test-permissions <你的项目ID> --permissions="aiplatform.models.get,aiplatform.predictions.create" --principal="serviceAccount:vertex-custom-training-sa@<你的项目ID>.iam.gserviceaccount.com"
  

  若两个权限均显示ALLOWED，说明权限配置无问题；若有DENIED，需排查组织或项目级别的权限拒绝策略。

三、Notebook环境与代码检查 #

• 安装兼容版本的依赖：

  pip install google-cloud-aiplatform==1.35.0 shapely<2.0.0
  

• 确保Vertex AI初始化时项目ID和区域正确：

  import vertexai
  vertexai.init(project="<你的项目ID>", location="us-central1") # 替换为实际使用的区域
  

• 用最小代码测试模型调用：

  from vertexai.language_models import TextGenerationModel
  
  model = TextGenerationModel.from_pretrained("text-bison@001")
  response = model.predict("Hello")
  print(response.text)
  

  若仍报错，重点查看错误信息中的permission字段，该字段会直接指明缺少的具体权限。

内容的提问来源于stack exchange，提问作者netskink