GCP服务账号因serviceusage.serviceUsageConsumer权限错误无法使用求助

1. 报错中的"Caller"身份 #

报错里的Caller就是你使用的skyplane-manual服务账号。因为你通过服务账号密钥初始化google.cloud.storage.Client，所有API请求都以该服务账号身份发起，和GCP主账号无关。

2. 持有密钥仍无法访问的原因 #

尽管已分配对应角色，仍可能存在以下问题：

• 权限传播延迟：GCP IAM权限生效通常需要5-10分钟，刚配置的权限可能未完全同步。
• IAM API未启用：检查项目中iam.googleapis.com服务是否已启用。创建存储客户端时会触发IAM接口校验，若API未开启，即使有权限也无法调用。
• 密钥配置错误：确认加载的JSON密钥确实属于skyplane-manual服务账号，文件路径、内容无错误。
• 项目ID不匹配：代码中使用的<PROJECT_ID>必须和服务账号所属项目完全一致，避免拼写错误。

3. 找不到serviceusage.serviceUsageConsumer的原因 #

roles/serviceusage.serviceUsageConsumer是预定义角色，而非单个权限项。在GCP控制台IAM页面添加角色时，直接搜索角色名称Service Usage Consumer即可找到，无需搜索单个权限serviceusage.services.use（单个权限仅在自定义角色中配置）。

额外排查步骤 #

• 用命令行验证服务账号权限：

  gcloud auth activate-service-account skyplane-manual@<PROJECT>.iam.gserviceaccount.com --key-file=path/to/key.json
  gcloud storage ls
  

• 确保代码中创建Client时指定了正确项目ID：

  google.cloud.storage.Client.from_service_account_json(
      self.service_account_credentials,
      project="<PROJECT_ID>"
  )
  

内容的提问来源于stack exchange，提问作者swooders