在Google Cloud App Engine部署Verdaccio出现Datastore权限错误求助

你遇到的PERMISSION_DENIED: Missing or insufficient permissions报错，核心是verdaccio-google-cloud插件运行所需的服务账号权限配置不全，缺少Secret Manager的写入权限，以及可能存在服务账号匹配错误的问题，可按以下步骤排查修复：

1. 确认权限授予的目标服务账号 #

你需要分别为两个使用场景的服务账号授予权限：

• 本地测试场景：对应keyFilename配置的./userKey.json文件关联的GCP服务账号
• App Engine部署场景：默认使用<你的项目ID>@appspot.gserviceaccount.com平台默认服务账号

2. 补全所需权限 #

除了你已经配置的权限外，必须额外添加Secret Manager 管理员（法语对应：Administrateur Secret Manager）权限，原因是verdaccio-google-cloud插件初始化时需要在Secret Manager中创建加密密钥，仅配置读取者权限无法满足初始化要求。
如果调整权限后仍报错，可额外检查两个配置：

• 确认你的GCP项目已经完成Datastore初始化：进入GCP控制台Datastore页面，选择任意区域完成数据库创建，模式选择Datastore模式即可
• 确认你的verdaccio-bucket存储桶已给对应服务账号授予存储对象管理员权限，避免桶级权限覆盖项目级权限

3. App Engine部署优化配置 #

部署到App Engine时可删除config.yaml中的keyFilename: ./userKey.json配置，App Engine会自动为运行环境注入默认服务账号的凭证，无需额外上传密钥文件，同时避免密钥泄漏风险。

4. 本地验证方法 #

本地测试前先执行以下命令验证权限配置是否生效：

# 激活本地服务账号
gcloud auth activate-service-account --key-file=./userKey.json
# 验证Datastore访问权限
gcloud datastore entities list --kind npm1234
# 验证Secret Manager访问权限
gcloud secrets list

以上命令无报错后再启动verdaccio即可正常运行。

内容的提问来源于stack exchange，提问作者Romain