API Key调用GCP DLP脱敏/复敏接口遇403权限问题排查

API Key属于无身份的认证机制，只能用于不涉及其他GCP资源访问的DLP操作（比如content:inspect、infoTypes查询）。但content:deidentify/content:reidentify操作需要DLP服务调用GCP KMS接口完成密钥加密/解密，此时API Key无法提供合法的身份凭证触发KMS权限校验，因此返回PERMISSION_DENIED错误。

1. 创建并配置服务账号 #

• 在GCP控制台创建一个服务账号，为其添加以下IAM权限：
  • DLP权限：roles/dlp.user（或按需分配更细粒度的权限如dlp.deidentifyJobs.create、dlp.reidentifyJobs.create）
  • KMS权限：
    • 用于deidentify：roles/cloudkms.cryptoKeyEncrypter（对应错误提示中的KMS_ENCRYPT权限）
    • 用于reidentify：额外添加roles/cloudkms.cryptoKeyDecrypter
• 下载该服务账号的JSON密钥文件，保存到本地。

2. 在Postman中配置OAuth2认证 #

• 选择请求的认证类型为OAuth 2.0
• 切换到"Get New Access Token"页面：
  • Token URL：https://oauth2.googleapis.com/token
  • Grant Type：选择"Service Account"
  • 上传之前下载的服务账号JSON密钥文件
  • Scope：填入https://www.googleapis.com/auth/cloud-platform
• 点击"Request Token"，获取到Access Token后，选择"Use Token"自动填充到请求头。

3. 验证请求 #

确保DLP请求中的cryptoKeyName格式正确，示例：

projects/[你的项目ID]/locations/[KMS地域]/keyRings/[密钥环名称]/cryptoKeys/[密钥名称]

发起请求后即可正常调用content:deidentify/content:reidentify接口。

• 永远不要用API Key处理涉及其他GCP资源的操作，这类场景必须依赖服务账号的OAuth2身份认证
• 检查KMS密钥的IAM绑定：确认服务账号已被添加到KMS密钥的成员列表中，且权限配置生效
• 如果使用自定义权限，需确保权限包含cloudkms.cryptoKeyVersions.encrypt（对应KMS_ENCRYPT）和cloudkms.cryptoKeyVersions.decrypt（对应KMS_DECRYPT）

内容的提问来源于stack exchange，提问作者Stornu2