调用Node.js Cloud Scheduler API runJob()时出现PERMISSION_DENIED错误如何解决

你遇到的报错本质是调用Cloud Scheduler API的服务账号缺少对应Job的cloudscheduler.jobs.run权限，你可以按以下步骤排查配置：

• 确认服务账号的角色配置
  你之前配置的Cloud Scheduler相关角色可能不包含run权限，你可以给调用用的服务账号（报错日志中的firebase-adminsdk-xxxxx@myproject.iam.gserviceaccount.com）授予以下任意一个预定义角色：
  • Cloud Scheduler Job Runner：仅包含执行Job的最小权限，符合最小权限原则
  • Cloud Scheduler Admin：包含Scheduler所有操作权限，权限范围更大
    如果你用的是自定义角色，需要在角色权限中手动添加cloudscheduler.jobs.run权限。
• 确认权限授予的层级正确
  权限需要在项目层级或者对应Scheduler Job的资源层级授予，不要在服务账号本身的IAM配置页授予：
  1. 打开GCP控制台的IAM页面，选择对应项目
  2. 找到上述服务账号，点击编辑权限
  3. 添加对应角色后保存，等待1-2分钟权限生效后重试
     如果需要更细粒度的权限控制，你也可以进入Cloud Scheduler控制台，找到对应Job的详情页，单独给该Job授予当前服务账号的run权限。
• 确认Job资源路径配置正确
  Firebase自动生成的定时任务Job ID可能和你猜想的不一致，你可以先执行以下代码列出当前项目指定区域下的所有Scheduler Job，核对路径是否正确：

  const [jobs] = await client.listJobs({
    parent: client.locationPath(projectId, 'europe-west1')
  });
  jobs.forEach(job => console.log('Job路径：', job.name));
  

  输出的路径和你构造的client.jobPath(projectId, "europe-west1", jobId)完全一致即可。
• 确认客户端身份正确
  初始化CloudSchedulerClient时，确保使用的身份就是上述被授权的服务账号：
  本地测试时可以设置环境变量GOOGLE_APPLICATION_CREDENTIALS指向服务账号的JSON密钥文件路径；部署到GCP服务时，确认服务绑定的服务账号和授权的账号一致。

内容的提问来源于stack exchange，提问作者gparis