GCP服务账号Impersonate时提示iam.serviceAccounts.getAccessToken权限被拒

核心问题：权限授予对象错误 #

你遇到的PERMISSION_DENIED: unable to impersonate: Permission 'iam.serviceAccounts.getAccessToken' denied错误，根源是**iam.serviceAccounts.getAccessToken权限的授予对象搞反了**：

• 这个权限不是授予给你要模拟的目标服务账号，而是需要授予给你本地登录GCP的用户账号（也就是执行gcloud auth application-default login时使用的账号）。
• 当你通过ADC模拟服务账号时，是你的用户账号需要具备获取目标服务账号访问令牌的权限，而非目标服务账号自身拥有该权限。

具体修复步骤 #

1. 登录GCP控制台，进入IAM与管理员 > IAM页面
2. 在IAM列表中找到你本地登录使用的用户账号（通常是你的邮箱）
3. 点击该账号右侧的编辑按钮，添加权限：
   • 可以直接选择预定义角色Service Account Token Creator（该角色包含iam.serviceAccounts.getAccessToken等模拟服务账号所需的权限）
   • 或者自定义角色，确保包含iam.serviceAccounts.getAccessToken权限，且权限的资源范围指定为你要模拟的目标服务账号（或整个项目）
4. 保存权限设置，等待1-2分钟让GCP权限同步生效

额外需要修复的问题 #

你的自定义角色中缺少storage.buckets.create权限，即使解决了模拟问题，后续执行创建存储桶的代码仍会报错。需要给目标服务账号的自定义角色添加该权限。

验证操作 #

重新执行认证命令：

./gcloud auth application-default login --impersonate-service-account=principle_email_address_here

然后运行Jest测试，确认存储桶创建功能正常。

内容的提问来源于stack exchange，提问作者J. Christopher Alexander