Google Cloud Composer环境创建报错：GCS存储桶写入校验失败

报错根因 #

• 核心原因是Composer专属服务账号缺少GCS存储桶的写入权限：创建Composer环境时，系统会自动生成格式为service-<项目编号>@cloudcomposer-accounts.iam.gserviceaccount.com的服务账号，该账号默认需要存储对象写入权限才能完成环境初始化。你手动创建存储桶后依然报错，是因为该服务账号没有你手动创建的桶的写入权限。
• 你遇到的权限页面无法编辑问题，是因为你当前登录的Google账号没有项目的IAM管理员权限，只有项目所有者、IAM安全管理员角色的账号才能修改权限配置。
• 少部分场景为项目所属组织设置了限制GCS写入的组织策略，就算权限配置正确也会被拦截。

解决步骤 #

• 先联系项目管理员，给你当前使用的账号授予项目级的roles/owner或roles/iam.securityAdmin权限，确保你可以编辑IAM权限配置。
• 找到上述的Composer专属服务账号，给该账号授予roles/storage.objectAdmin权限，如果你要使用手动创建的存储桶，可以直接在对应桶的权限配置页给该服务账号授予桶级的写入权限。
• 如果你是企业组织下的项目，联系组织管理员确认是否存在限制GCS写入的组织策略，放开对应限制后再重试。
• 重试创建环境时优先选择默认配置，让Composer自动生成存储桶，避免手动配置桶参数不匹配的问题。

内容的提问来源于stack exchange，提问作者Nick Knauer