将AppEngine预配至GTM所需的最小权限角色咨询

你遇到的权限报错是因为App Engine administrator角色仅覆盖App Engine本身的操作权限，而GTM服务端预配流程还需要操作其他关联GCP资源，所以单给这个角色会触发权限不足，完全不需要给全量editor基础角色，你可以用以下最小权限组合：

方案1：直接复用GCP预定义角色组合（配置成本最低） #

以下四个角色组合的权限范围远小于editor，可覆盖完整预配流程：

• roles/appengine.appAdmin：即你已配置的App Engine管理员角色，负责App Engine服务创建、版本部署、配置更新等核心操作
• roles/cloudbuild.builds.editor：负责触发Cloud Build任务，完成GTM服务端容器镜像的构建与上传
• roles/storage.objectAdmin：负责读写App Engine关联存储桶中的GTM配置文件、构建产物，若要进一步收权可限定该角色仅作用于你的App Engine默认存储桶
• roles/iam.serviceAccountUser：允许预配操作时模拟App Engine默认服务账号执行部署动作

方案2：自定义专属角色（权限粒度最细） #

如果需要进一步压缩权限范围，你可以创建自定义角色，仅添加以下必要权限即可：

• App Engine全量操作权限：appengine.*
• Cloud Build必要权限：cloudbuild.builds.create、cloudbuild.builds.get、cloudbuild.operations.get
• 云存储必要权限：storage.buckets.get、storage.objects.create、storage.objects.get、storage.objects.list
• 服务账号模拟权限：iam.serviceAccounts.actAs

如果配置后仍有报错，可以直接在GCP控制台的IAM审计日志中过滤permissionDenied类型的日志，定位缺失的权限后补充到自定义角色即可。

内容的提问来源于stack exchange，提问作者HERO