GCP为用户组分配Service Consumer角色提示角色不存在于资源层级如何解决

报错原因 #

你收到该报错的核心原因是 roles/servicemanagement.serviceConsumer 不属于项目级预定义角色，它的生效层级仅限组织层级或单个Google云服务资源层级，直接向项目资源绑定该角色时，系统无法在项目的角色层级库中找到对应角色，因此触发参数无效报错。
你执行命令时返回的完整报错如下：

ERROR: Policy modification failed. For a binding with condition, run "gcloud alpha iam policies lint-condition" to identify issues in condition.
ERROR: (gcloud.projects.add-iam-policy-binding) INVALID_ARGUMENT: Role (roles/servicemanagement.serviceConsumer) does not exist in the resource's hierarchy.

排查解决步骤 #

• 确认业务场景选择正确的绑定层级
  该角色的作用是授予主体消费Google云服务的权限，根据你的需求选择对应层级执行绑定命令：
  1. 若需要给用户组授予单个指定服务的消费权限，执行以下命令，替换对应占位符即可：
     gcloud services add-iam-policy-binding [目标服务名称，例：compute.googleapis.com] --member=group:group1 --role=roles/servicemanagement.serviceConsumer
  2. 若需要给用户组授予组织下全局的服务消费权限，执行以下命令，替换组织ID即可：
     gcloud organizations add-iam-policy-binding [你的组织ID] --member=group:group1 --role=roles/servicemanagement.serviceConsumer
• 验证绑定结果
  绑定完成后可执行对应层级的IAM查询命令验证角色是否绑定成功，比如查询服务的IAM策略：
  gcloud services get-iam-policy [目标服务名称]
• 项目级等效权限替换
  如果你的需求确实是要在项目层级授予服务消费相关权限，可以使用项目层级支持的等效预定义角色 roles/serviceusage.serviceConsumer，执行绑定命令如下：
  gcloud projects add-iam-policy-binding [你的项目ID] --member=group:group1 --role=roles/serviceusage.serviceConsumer

内容的提问来源于stack exchange，提问作者Harman Singh