Cloud SQL跨实例导入Cloud Storage文件的403权限问题排查

看起来你遇到的这个403权限问题，核心是没搞清楚SQL导入操作中涉及的两个关键服务账号的权限要求，我来帮你拆解一下可能的遗漏点和解决方案：

1. 别漏了发起导入请求的Cloud Function服务账号权限 #

你现在用的是Compute Engine默认服务账号跑Cloud Function，虽然给了它Project Editor角色，但这里有个容易忽略的点：当你通过SQL Admin API发起导入请求时，API会先检查发起请求的这个Cloud Function服务账号是否能访问目标GCS文件，之后才会让Cloud SQL实例的服务账号去读取。

所以你需要给这个Compute Engine默认服务账号，在存储桶或者sql-exports文件夹上添加Storage Object Viewer角色（或者更细的storage.objects.get权限），确保它能读取导出的SQL文件。

2. 确认Cloud SQL实例服务账号的权限生效方式 #

你已经给目标SQL实例的服务账号加了存储桶权限，但要注意两种情况：

• 如果你的存储桶开了统一桶级权限（Uniform Bucket Level Access），那你之前给单个文件加的ACL权限会被直接忽略，必须在桶级别给SQL实例的服务账号授予Storage Object Viewer角色。
• 就算没开统一权限，也建议直接给SQL实例服务账号授予整个桶或文件夹的读取权限，而不是单个文件——有时候单个文件的权限同步会有延迟，导致导入时还没生效。

3. 确保Cloud Function服务账号能发起SQL导入操作 #

虽然Project Editor理论上包含sql.instances.import权限，但有时候角色继承可能有坑。保险起见，你可以单独给Cloud Function的服务账号加个Cloud SQL Admin角色，或者更细粒度的sql.instances.import权限，避免因为权限范围不足导致请求被拒。

4. 给权限一点同步时间 #

GCP的权限变更偶尔会有几分钟的生效延迟，你的代码在导出后立刻改权限就发起导入，可能刚好赶上权限还没同步完成的情况。可以在更新权限后加个30秒左右的等待：

print("Updating exported file permissions...")
__update_export_permissions(__sql_file_name(source["db"], timestamp))
print("Waiting for permissions to propagate...")
sleep(30)  # 加个等待，让权限完全生效
print("Done.")

顺便给你推荐个更省心的原生方案 #

其实你完全不用自己写这么多代码维护导出导入流程，GCP有更简便的原生方案：

• 如果staging环境需要的是整个Cloud SQL实例的复制，直接用Cloud SQL实例克隆功能，比导出导入快得多，而且是GCP原生维护的，稳定性更好。你可以用Cloud Scheduler触发一个简单的Cloud Function或者gcloud命令来定期执行克隆。
• 如果只需要复制单个数据库，也可以用Cloud Scheduler触发Cloud Run/Cloud Function，直接调用gcloud sql export和gcloud sql import命令——gcloud会自动处理状态等待、权限检查这些细节，比自己调用API省事儿多了。

内容的提问来源于stack exchange，提问作者Olivier Lance