App Engine CronJob调用API出现权限错误，求原因及解决方案

我在App Engine上部署了CronJob及对应的定时调度规则，但通过Postman调用API接口{{appEngineHost}}/publish/delete-users时，收到如下权限错误响应：

{
    "message": {
        "code": 7,
        "metadata": {
            "_internal_repr": {},
            "flags": 0
        },
        "details": "User not authorized to perform this action.",
        "note": "Exception occurred in retry method that was not classified as transient"
    }
}

原因分析 #

• 这个错误的核心原因是发起请求的身份缺少目标API的访问权限：App Engine CronJob默认使用[你的项目ID]@appspot.gserviceaccount.com这个服务账号来触发API请求，如果该账号没有被授予调用目标API的必要权限，就会触发此授权失败提示。

解决步骤 #

• 先明确目标API所需的具体权限（比如对应Cloud IAM的预设角色，或是自定义的权限集合）
• 为[你的项目ID]@appspot.gserviceaccount.com服务账号添加权限：
  1. 进入Google Cloud Console的IAM管理页面
  2. 找到该服务账号，点击编辑按钮
  3. 添加所需的角色或权限，保存更改
• 等待权限生效后，重新发起请求或触发CronJob验证

更新：我排查后确认appspot.gserviceaccount.com服务账号确实缺少调用该API的必要权限，接下来会为其授予对应权限后重试。

内容的提问来源于stack exchange，提问作者AliOz