Google Cloud翻译权限被拒绝但已配置对应角色问题排查

问题场景 #

配置Cloud Translation与Text-to-speech服务账号时，持续收到如下权限拒绝错误：

[error]  {
    "message": "Cloud IAM permission 'cloudtranslate.generalModels.predict' denied. ",
    "code": 7,
    "status": "PERMISSION_DENIED",
    "details": []
} 

已完成的排查：

• 确认服务账号拥有cloudtranslate.generalModels.predict权限及「Cloud Translation API User」角色
• 个人Google控制台的同配置服务账号可正常使用，仅组织账号异常
• 通过IAM Policy Troubleshooter验证权限有效，组织管理员确认服务账号通过祖先策略获得访问授权

额外排查方向 #

• 核对资源所属项目：检查代码或配置中指定的Cloud Translation资源项目ID是否与服务账号授权的项目一致，硬编码错误会直接导致权限不匹配。
• 验证API启用状态：确认目标项目中Cloud Translation API是否已启用，组织级项目可能存在全局API启用限制，即便账号有权限，API未开启也会报错。
• 排查组织级IAM限制：查看组织是否设置了IAM拒绝策略、API访问黑白名单，这类全局规则会优先于账号的直接授权。
• 检查服务账号密钥：确认使用的密钥属于目标账号，且未过期、未被吊销，组织级账号的密钥可能有更严格的管控规则。
• 匹配请求区域：部分Cloud Translation模型需要指定特定区域，若请求的区域与账号授权的资源区域不匹配，也可能触发权限拒绝。

最终解决 #

经定位，问题根源是代码中硬编码的资源位置指向了错误项目，服务账号的授权无法覆盖该项目，因此触发权限拒绝。修正资源位置为服务账号授权的项目后，问题解决。

内容的提问来源于stack exchange，提问作者John Brandenburg