创建Cloud Scheduler作业的GCP服务账号角色及权限异常问题

问题背景 #

我有一个服务账号，具备部署镜像到Cloud Run实例的常规角色且运行正常，此操作通过GitHub Actions工作流使用setup-gcloud action配置gcloud完成。
编写了bash脚本执行gcloud命令创建项目所需的Scheduler作业：

#!/bin/bash

run_command() {
    gcloud scheduler jobs describe $1 --location=europe-west1 && echo "Job $1 already exists, skipping..." ||
        echo "Creating scheduler job $1 with schedule $2 and uri $3$4..." &&
        gcloud scheduler jobs create http $1 --location=europe-west1 \
            --schedule "$2" \
            --uri "$3$4" \
            --http-method $5 \
            --time-zone "Europe/Rome"
}

工作流运行脚本时返回权限拒绝错误：

ERROR: (gcloud.scheduler.jobs.describe) PERMISSION_DENIED: The principal (user or service account) lacks IAM permission "cloudscheduler.jobs.get" for the resource "projects/***/locations/europe-west1/jobs/***" (or the resource may not exist).
Creating scheduler job *** with schedule 30 * * * * and uri ***...
ERROR: (gcloud.scheduler.jobs.create.http) PERMISSION_DENIED: The principal (user or service account) lacks IAM permission "cloudscheduler.jobs.create" for the resource "projects/***/locations/europe-west1" (or the resource may not exist).

该服务账号已配置Cloud Scheduler Service Agent角色，但无所需权限。尝试授予Cloud Scheduler Admin角色时，该角色未出现在可选列表中。请问是否需创建自定义角色，或是服务账号使用方式有误？

问题原因分析 #

1. Cloud Scheduler Service Agent角色不适用：这个角色是Google内部专用服务账号（service-<PROJECT_NUMBER>@gcp-sa-cloudscheduler.iam.gserviceaccount.com）的角色，用于Scheduler服务自身的后台操作，给用户自己的服务账号添加此角色完全无效。
2. Cloud Scheduler Admin角色未显示：核心原因是你的项目未启用Cloud Scheduler API——未启用对应API时，其关联的IAM角色不会出现在可选列表中。

解决方案 #

方案1：启用API后使用内置角色 #

1. 启用Cloud Scheduler API
   • 控制台操作：进入项目的「API和服务」→「库」，搜索「Cloud Scheduler API」并启用。
   • 命令行操作：

     gcloud services enable cloudscheduler.googleapis.com
     

2. 授予Cloud Scheduler Admin角色
   API启用后，即可在IAM角色列表中找到Cloud Scheduler Admin（roles/cloudscheduler.admin），将其授予你的服务账号，即可满足脚本的全部权限需求。

方案2：创建最小权限的自定义角色（推荐遵循最小权限原则） #

如果不想给服务账号过大的Admin权限，可以创建仅包含所需权限的自定义角色：

1. 创建自定义角色
   命令行示例：

   gcloud iam roles create schedulerJobCreator --project=你的项目ID \
     --title="Scheduler Job Creator" \
     --description="仅拥有创建和查询Cloud Scheduler作业的权限" \
     --permissions=cloudscheduler.jobs.get,cloudscheduler.jobs.create
   

   或在控制台IAM→角色→创建角色，添加上述两个权限后保存。
2. 将自定义角色授予服务账号
   命令行示例：

   gcloud projects add-iam-policy-binding 你的项目ID \
     --member=serviceAccount:你的服务账号@你的项目ID.iam.gserviceaccount.com \
     --role=projects/你的项目ID/roles/schedulerJobCreator
   

额外检查 #

确保GitHub Actions工作流中使用的是该服务账号的有效密钥文件，且密钥未过期、权限配置已同步生效。

内容的提问来源于stack exchange，提问作者antipopp