跨项目使用ServiceAccount部署Dataflow Job遇PERMISSION_DENIED错误

核心错误分析 #

当前用户无法扮演服务账号my-sa@prj_B.iam.gserviceaccount.com，需授予包含iam.serviceAccounts.actAs权限的角色。

这个错误的核心是发起Dataflow部署的身份（个人账号/部署用服务账号）没有权限“扮演”prj_B下的目标ServiceAccount，和你之前配置的Dataflow相关权限、Token Creator角色不属于同一权限逻辑。

解决步骤 #

• 给发起部署的身份添加关键角色：在prj_B的IAM控制台中，找到目标ServiceAccount my-sa@prj_B.iam.gserviceaccount.com，为发起部署的身份（比如你的个人邮箱、prj_A中用于部署的服务账号）授予Service Account User角色——该角色直接包含iam.serviceAccounts.actAs权限，是跨项目扮演ServiceAccount的核心权限。
• 排除跨组织限制疑虑：GCP支持跨组织的ServiceAccount扮演，只要权限配置正确，组织不同不会触发该错误。
• 理清权限配置逻辑：你此前给prj_B的SA在prj_A配置Dataflow权限，是让该SA能在prj_A执行Dataflow操作；给prj_B的SA配置Token Creator角色给prj_A的服务账号，是让prj_A的服务能为该SA生成令牌——这两项配置都无法解决“发起者需要扮演该SA”的核心需求。

内容的提问来源于stack exchange，提问作者robin