gcloud builds submit因权限缺失执行失败求助

1. 确认当前gcloud活跃服务账号 #

在VM上执行命令，查看实际发起请求的账号：

gcloud auth list

重点关注带*标记的活跃账号——你可能误以为用的是988260741259-compute@developer.gserviceaccount.com，但实际可能是个人账号或其他服务账号。如果活跃账号不符，切换到目标服务账号：

gcloud auth activate-service-account 988260741259-compute@developer.gserviceaccount.com --key-file=/path/to/your/service-account-key.json

2. 检查存储桶的直接权限与继承设置 #

• 打开Cloud Storage控制台，找到luccid-mvp_cloudbuild存储桶
• 进入权限标签页，确认目标服务账号是否被直接添加，且拥有Storage Object Admin或Storage Admin角色
• 验证存储桶是否开启继承项目权限：如果存储桶单独设置了权限并关闭继承，项目级Owner角色会失效

3. 确认Cloud Build API已启用 #

执行命令检查API状态：

gcloud services list --enabled | grep cloudbuild.googleapis.com

若未启用，执行启用命令：

gcloud services enable cloudbuild.googleapis.com

API未启用时，即使拥有权限角色也会触发权限类报错。

4. 排查存储桶IAM条件限制 #

部分存储桶会设置IAM条件（如IP范围、访问时间限制），若VM的外部IP不在允许范围内，即使有Owner角色也会被拒绝。查看存储桶权限中的条件设置，确认未限制VM的访问。

5. 强制刷新权限会话 #

Google Cloud权限缓存最长可能存在1小时延迟，执行以下命令强制刷新会话权限：

gcloud auth revoke --all
gcloud auth activate-service-account 988260741259-compute@developer.gserviceaccount.com --key-file=/path/to/key.json

完成后重新执行build命令。

6. 为Cloud Build默认服务账号添加存储桶权限 #

Cloud Build默认服务账号格式为[PROJECT_NUMBER]@cloudbuild.gserviceaccount.com，直接给该账号添加Storage Object Admin角色到luccid-mvp_cloudbuild存储桶上，避免项目级权限的继承问题。

内容的提问来源于stack exchange，提问作者Pascal Gula