GCP使用Cloud KMS加密存储桶时出现403权限拒绝错误

核心缺失权限 #

你大概率漏掉了**cloudkms.cryptoKeys.get**权限——Terraform在关联GCS桶和KMS密钥时，需要先读取密钥的元数据（比如验证密钥存在、获取密钥路径），仅添加useToEncrypt/useToDecrypt不足以完成这个操作。

所需最小权限组合 #

给Terraform执行身份（当前用户或服务账号）绑定以下权限：

• cloudkms.cryptoKeys.get：允许读取KMS密钥的基本信息
• cloudkms.cryptoKeyVersions.useToEncrypt：允许使用密钥版本加密GCS桶内容
• storage.buckets.update：允许修改GCS桶的配置（如果还未拥有此权限）
• （可选）cloudkms.cryptoKeyVersions.useToDecrypt：后续解密桶内对象时所需

关键排查步骤 #

1. 确认Terraform使用的身份：执行gcloud auth list查看当前活跃账号，或检查Terraform配置的服务账号
2. 验证权限绑定：用以下命令检查KMS密钥的IAM策略，确认目标身份已被授予权限：

   gcloud kms keys get-iam-policy YOUR_KEY_NAME --location YOUR_LOCATION --keyring YOUR_KEYRING_NAME
   

3. 测试权限有效性：直接验证目标身份是否拥有所需权限：

   gcloud kms keys test-permissions YOUR_KEY_NAME --location YOUR_LOCATION --keyring YOUR_KEYRING_NAME --permissions cloudkms.cryptoKeys.get cloudkms.cryptoKeyVersions.useToEncrypt
   

额外注意点 #

• 权限需绑定在KMS密钥级别（而非仅密钥环级别），遵循最小权限原则
• 如果KMS密钥和GCS桶不在同一GCP项目，需确保跨项目IAM权限配置正确
• 避免给身份过度授权，比如不要直接绑定roles/cloudkms.admin这类宽权限角色

内容的提问来源于stack exchange，提问作者N. Blore