跨项目为GCP服务账号配置Pub/Sub订阅权限遇权限拒绝问题

核心权限点核查 #

你当前遇到的通用权限拒绝报错，要先明确：跨项目订阅Pub/Sub主题时，不同场景需要的权限不一样：

• 如果是创建新订阅：需要两个关键权限——对Project B目标主题的pubsub.topics.attachSubscription权限（包含在roles/pubsub.subscriber角色中），以及在Project B项目下的pubsub.subscriptions.create权限（默认roles/pubsub.subscriber不包含这个权限，需额外配置roles/pubsub.editor或自定义角色）。
• 如果是使用已存在的订阅：只需要对该订阅的pubsub.subscriptions.consume权限（同样在roles/pubsub.subscriber角色中），但要确认订阅归属Project B，且服务账号已被授权访问该订阅。

逐项排查步骤 #

• 确认VM使用的服务账号正确
  登录VM实例，执行命令验证当前生效的服务账号：

  curl -H "Metadata-Flavor: Google" http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/default/email
  

  输出必须是你配置的my-sa@my-project.iam.gserviceaccount.com，如果不符，说明VM未正确加载目标服务账号，检查实例的服务账号配置。

• 验证作用域是否生效
  在VM上执行以下命令，确认作用域配置已生效：

  curl -H "Metadata-Flavor: Google" http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/default/scopes
  

  确保输出包含https://www.googleapis.com/auth/pubsub，如果没有，说明实例基于旧模板创建，需重新配置实例作用域。

• 直接测试权限有效性
  用目标服务账号模拟订阅操作，在VM或本地执行：

  # 激活目标服务账号（VM上可跳过，直接用元数据认证）
  gcloud auth activate-service-account my-sa@my-project.iam.gserviceaccount.com --key-file=/path/to/your-sa-key.json
  # 尝试创建测试订阅
  gcloud pubsub subscriptions create test-cross-sub --topic=projects/project-b/topics/your-target-topic --project=project-b
  

  这个命令会返回具体的权限缺失信息，比如明确提示缺少pubsub.subscriptions.create还是pubsub.topics.attachSubscription，比代码报错更精准。

• 等待IAM权限生效
  GCP IAM权限变更最长可能有10分钟左右的生效延迟，刚配置完权限就测试的话，建议等待一段时间再重试。

• 排查代码认证逻辑
  确认Node.js代码没有硬编码其他服务账号的密钥文件，确保使用VM元数据服务自动获取认证凭据。比如代码里如果有指定keyFilename的逻辑，会导致使用错误的服务账号。

日志优化方案 #

要获取更详细的权限日志，在Project B的Pub/Sub控制台开启数据访问审计日志：

1. 进入Project B的Cloud Logging页面
2. 左侧菜单选择「日志库」→「日志路由」
3. 点击「创建路由」，目标选择「Cloud Logging日志桶」，日志过滤器填protoPayload.serviceName="pubsub.googleapis.com"
4. 开启「包含数据访问日志」选项
   之后就能在日志里看到完整的权限检查请求，包括请求使用的服务账号、访问的资源、具体缺失的权限项。

内容的提问来源于stack exchange，提问作者cis