Cloud Storage切换Uniform访问控制缺storage.objects.get权限无法查看文件详情如何解决

报错根因 #

Additional permissions required to view this object's metadata: Ask an object owner to grant you 'storage.objects.get' permission (e.g., by giving your account the IAM Storage Admin role.)

该报错的核心触发逻辑如下：

• 存储桶从「Fine-grained（细粒度）」访问控制切换为「Uniform（统一）」访问控制后，所有对象级ACL（访问控制列表）权限会被完全禁用，所有访问校验仅识别存储桶层面配置的IAM权限
• 你在细粒度模式下可以正常查看文件，是依赖账号被分配的对象级ACL权限，切换模式后该类权限自动失效，同时你的账号未在存储桶IAM中配置对应的对象访问权限，因此触发报错

修复步骤 #

• 第一步：确认需要授权的账号全称，格式一般为 xxx@xxx.iam.gserviceaccount.com（服务账号）或 xxx@gmail.com（个人/企业账号）
• 第二步：使用拥有存储桶IAM管理员权限的账号登录Google Cloud Console，进入对应存储桶的详情页
• 第三步：切换到「权限」标签页，点击「授予访问权限」按钮
• 第四步：在「新增主体」输入框中填入第一步确认的账号全称
• 第五步：在「分配角色」下拉框中，按需选择对应权限角色即可：
  • 仅需要查看文件详情、下载文件：选择 Storage Object Viewer 角色，该角色内置包含storage.objects.get权限，完全满足查看需求
  • 需要额外的编辑、上传、删除对象权限：可以选择 Storage Object Admin 角色
  • 若需要存储桶全量管理权限：可以选择 Storage Admin 角色
• 第六步：点击「保存」等待权限生效，通常1-2分钟后刷新存储桶文件列表，即可点击文件名正常查看详情

注意事项 #

• Uniform模式切换后有90天的回退窗口期，窗口期内可以切回Fine-grained模式恢复原ACL权限，窗口期结束后无法再回退
• 如果只需要给账号分配单个/部分对象的访问权限，在Uniform模式下可以通过IAM条件配置指定对象路径的访问规则，无需授予全桶权限

内容的提问来源于stack exchange，提问作者Super Kai - Kazuya Ito