部署Flask应用至GAE时调用Secret Manager遇CONSUMER_INVALID错误求助

• 确认GAE使用的服务账号：GAE默认环境会使用[你的项目ID]@appspot.gserviceaccount.com作为默认服务账号，先在IAM控制台找到这个账号。
• 分配正确的Secret Manager IAM角色：给该服务账号添加最小必要权限，推荐Secret Manager Secret Accessor（仅允许访问指定密钥内容），如果需要列出密钥则添加Secret Manager Viewer，避免过度授权。
• 验证权限是否生效：
  • 等待1-2分钟让IAM权限同步（权限变更不会立即生效）
  • 用gcloud命令模拟服务账号访问密钥：

    gcloud secrets versions access latest --secret=你的密钥名称 --impersonate-service-account=你的项目ID@appspot.gserviceaccount.com
    

    如果能成功返回密码，说明权限配置正确。
• 检查密钥的单独权限绑定：部分情况下，密钥本身会设置独立的权限列表，确保GAE服务账号被添加到该密钥的访问权限中。
• 核对代码中的密钥访问逻辑：
  • 确认代码使用GAE默认凭据（无需手动加载密钥文件，GAE会自动注入服务账号凭据）
  • 检查密钥名称、项目ID是否填写正确，没有拼写错误
• 确认Secret Manager API已启用：在Google Cloud控制台的API库中，检查Secret Manager API是否处于启用状态，未启用API也会触发权限类错误。
• 查看详细错误日志：在Cloud Logging中过滤secretmanager.googleapis.com相关日志，查找具体的权限缺失描述（比如permission 'secretmanager.versions.access' denied），进一步定位问题。

内容的提问来源于stack exchange，提问作者Matt