无法查看CloudRun服务面板监控指标，缺少哪些IAM权限策略？

开发人员可正常访问独立指标仪表盘，仅CloudRun内置仪表盘指标加载失败，说明已经拥有基础的监控指标读取权限，问题出在CloudRun服务和监控指标的关联读取权限缺失。

必要缺失权限 #

• 预定义角色场景：缺失roles/run.viewer角色，该角色包含CloudRun服务的元数据读取权限，是内嵌仪表盘将当前服务和对应监控指标做关联匹配的前置条件，仅拥有通用监控权限无CloudRun服务读取权限时，内置仪表盘无法定位需要拉取的对应服务指标
• 自定义细粒度权限场景：除CloudRun服务读取权限外，还需要确保权限列表包含monitoring.timeSeries.list时序数据读取权限，且权限的作用范围覆盖CloudRun服务所属项目
• 跨项目监控场景：需要额外给CloudRun服务所在项目的默认服务账号授予roles/monitoring.metricReader角色，避免跨项目权限隔离导致的指标拉取失败

验证方法 #

• 临时给测试账号授予roles/run.viewer角色，刷新CloudRun服务仪表盘确认指标是否正常加载，确认权限问题后再根据团队权限管控要求收敛为最小必要权限集合
• 若使用自定义IAM角色，可通过IAM权限模拟器测试账号访问CloudRun仪表盘时的权限调用记录，定位具体缺失的权限项

内容的提问来源于stack exchange，提问作者Kevin Danikowski