Google Cloud Storage可上传文件但无法设置元数据，求权限解决办法

我可以将文件复制到Google Cloud Storage，执行命令及结果如下：

% gsutil -m cp audio/index.csv gs://passive-english/audio/
If you experience problems with multiprocessing on MacOS, they might be related to https://bugs.python.org/issue33725. You can disable multiprocessing by editing your .boto config or by adding the following flag to your command: `-o "GSUtil:parallel_process_count=1"`. Note that multithreading is still available even if you disable multiprocessing.

Copying file://audio/index.csv [Content-Type=text/csv]...
\ [1/1 files][196.2 KiB/196.2 KiB] 100% Done
Operation completed over 1 objects/196.2 KiB.

但无法修改该文件的元数据，执行命令及报错如下：

% gsutil setmeta -h "Cache-Control:public, max-age=7200" gs://passive-english/audio/index.csv
Setting metadata on gs://passive-english/audio/index.csv...
AccessDeniedException: 403 Access denied.

当前通过JSON文件进行授权，环境变量配置如下：

% env | grep GOOGL
GOOGLE_APPLICATION_CREDENTIALS=/app-342xxx-2cxxxxxx.json

请问如何授予权限，使gsutil能够修改该文件的元数据？

更新记录 #

• 更新1：已为服务账号分配Editor角色和Storage Object Admin权限。
• 更新2：已为服务账号分配Owner角色和Storage Object Admin权限，但问题仍未解决。
  

1. 确认服务账号与文件的归属关系 #

确保当前使用的服务账号（对应GOOGLE_APPLICATION_CREDENTIALS中JSON文件的client_email字段）是目标文件的创建者，或文件所在存储桶已将权限正确绑定到该账号。若文件由其他账号上传，即使给当前账号配置桶级权限，也可能无法修改元数据，需单独给文件添加权限。

2. 直接为目标文件添加修改权限 #

执行以下gsutil命令，给目标文件赋予storage.objects.update权限（修改元数据的核心权限）：

gsutil acl ch -u [服务账号邮箱]:W gs://passive-english/audio/index.csv

其中[服务账号邮箱]替换为JSON文件中的client_email值，W代表写入权限（足够修改元数据），也可使用O赋予所有者权限。

3. 检查存储桶IAM的条件限制 #

进入Google Cloud控制台的存储桶权限页面，确认服务账号的权限条目是否带有条件限制（如时间范围、IP限制等），这类限制可能导致权限无法生效。

4. 刷新本地凭证缓存 #

本地凭证缓存可能未同步最新权限，执行以下命令刷新：

gcloud auth application-default revoke
export GOOGLE_APPLICATION_CREDENTIALS=/app-342xxx-2cxxxxxx.json

之后重新执行gsutil setmeta命令测试。

5. 排查组织政策限制 #

若你的GCP组织启用了constraints/storage.objectAdminPermissions等组织政策，可能会限制服务账号的对象修改权限，需联系组织管理员确认并调整。

内容的提问来源于stack exchange，提问作者Phương Nguyễn