GCP Compute中通过GCE Metadata服务器调用Drive API权限不足怎么办

是否支持通过GCE Metadata生成的令牌访问Drive API #

完全支持，GCP环境内运行的服务默认可通过GCE Metadata服务器自动完成服务账号认证，无需额外加载本地JSON凭据文件。

权限不足问题修复方案 #

你遇到的Insufficient Permission: Request had insufficient authentication scopes.报错和代码层面配置的作用域无关，核心原因是GCE实例层面默认限制了允许使用的API访问范围，代码中声明的作用域无法超出实例配置的权限上限，可按以下步骤排查修复：

• 调整GCE实例的Cloud API访问范围
  1. 进入GCP控制台Compute Engine页面，找到运行代码的对应实例
  2. 停止实例后进入编辑页面，找到「Cloud API访问范围」配置板块
  3. 两种配置二选一即可：
     • 直接选择「允许对所有Cloud API的完全访问」
     • 手动在API列表中找到Google Drive相关选项，勾选匹配的权限范围
  4. 保存配置后重启实例
• 确认实例绑定的服务账号权限
  确保GCE实例绑定的服务账号，和你之前使用JSON凭据的服务账号为同一个，且该账号已经获得对应Drive文件/文件夹的访问授权
• 验证配置生效
  实例重启后可在内部执行如下命令测试令牌获取：

  curl "http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/default/token?scopes=https://www.googleapis.com/auth/drive" -H "Metadata-Flavor: Google"
  

  拿到返回的访问令牌后调用Drive接口测试，确认权限正常即可。

你当前使用的Node.js代码本身没有问题，GoogleAuth客户端会自动识别GCE环境，从Metadata服务器拉取符合要求的认证令牌，不需要额外修改代码逻辑。

内容的提问来源于stack exchange，提问作者Tomas Romero