GCP跨项目消费Pub/Sub订阅报PERMISSION_DENIED权限配置问询

报错核心原因是项目B中运行Dataflow作业的执行身份，未获得项目A内目标Pub/Sub订阅的访问授权，按以下步骤配置即可解决：

前置确认 #

先定位Dataflow作业的实际运行服务账号：

• 未做自定义配置的情况下，Dataflow默认使用项目B的Compute Engine默认服务账号，格式为<项目B数字ID>-compute@developer.gserviceaccount.com
• 若启动作业时手动指定了服务账号，以指定的自定义服务账号邮箱为准

项目A侧权限配置 #

在项目A中找到目标订阅 projects/Project-A/subscriptions/my-sub，直接在该订阅资源的权限管理页给上述Dataflow运行账号授权，最小必要权限集如下：

• pubsub.subscriptions.get：Dataflow启动时需要查询订阅基础配置（消息保留时长、分片规则等），本次触发的GETTING_PUBSUB_SUBSCRIPTION_FAILED报错就是缺失该权限导致
• pubsub.subscriptions.consume：拉取消息、确认消息消费状态的核心权限，缺失会导致无法实际读取订阅内的消息
  直接给账号绑定 Pub/Sub Subscriber 预设角色即可，该角色已完整包含上述两个权限，无需手动组合自定义权限。

避坑提示 #

• 遵循最小权限原则，不需要把权限绑定到项目A的项目层级，直接绑定到目标订阅资源即可
• 不需要将项目A的服务账号密钥下发到项目B的Dataflow环境，GCP原生跨项目IAM授权不需要持有对方项目的账号密钥
• 权限配置完成后等待1~2分钟全局生效，重新启动Dataflow作业即可正常消费

内容的提问来源于stack exchange，提问作者MasterC