GitLab提交合并请求时遇GCS权限错误，求解决方案

核心问题定位 #

你混淆了两个不同的GCS权限：

• storage.objects.get：针对存储桶内具体对象的读取权限，Storage Object Admin角色确实包含这个权限
• storage.buckets.get：针对存储桶本身元数据的读取权限，Storage Object Admin角色不包含该权限，这就是错误的根源

可行解决方案 #

• 添加Bucket级权限：给git@gcp.iam.gserviceaccount.com服务账号分配Storage Bucket Viewer角色（该角色包含storage.buckets.get权限），或者直接在目标存储桶的IAM设置中添加单独的storage.buckets.get权限
• 验证权限有效性：用gcloud命令直接测试服务账号权限，确认配置生效：

  gcloud storage buckets describe gs://[你的存储桶名称] --impersonate-service-account=git@gcp.iam.gserviceaccount.com
  

  能正常返回存储桶元数据说明权限已配置正确
• 检查CI/CD配置：确认GitLab合并请求触发的CI作业使用的是正确的服务账号密钥，同时排查是否有IAM条件（如时间限制、资源范围）限制了权限生效
• 确认存储桶状态：核对错误中提到的存储桶名称是否完全正确（GCS存储桶名称全局唯一且区分大小写），确保存储桶确实存在

内容的提问来源于stack exchange，提问作者Arya