通过Cloud Build更新App Engine任务队列时遇PERMISSION_DENIED错误

我之前遇到过几乎一模一样的问题，结合Google Cloud的权限模型和实际排查经验，你可能缺少以下关键权限配置：

1. 需要为Cloud Build服务账号添加roles/iam.serviceAccountUser角色（作用于App Engine默认服务账号） #

当你执行gcloud app deploy queue.yaml时，这个命令会尝试以App Engine默认服务账号（格式为[你的项目ID]@appspot.gserviceaccount.com）的身份调用Cloud Tasks API。你的Cloud Build服务账号需要具备扮演这个服务账号的权限，也就是roles/iam.serviceAccountUser角色，但注意这个角色需要绑定到App Engine默认服务账号上，而不是整个项目：

• 打开Google Cloud Console的IAM与管理员页面
• 找到App Engine默认服务账号（搜索appspot.gserviceaccount.com即可定位）
• 点击该账号右侧的编辑按钮，选择添加成员
• 输入你的Cloud Build服务账号邮箱（xxx@cloudbuild.gserviceaccount.com）
• 在角色列表中选择IAM > 服务账号用户（对应英文IAM > Service Account User）
• 保存配置

2. 确认Cloud Build服务账号保留了默认的roles/cloudbuild.serviceAgent角色 #

如果在添加自定义角色时，你意外移除了Cloud Build服务账号的默认角色，会导致它无法执行构建相关的基础操作。默认情况下，Cloud Build服务账号会被授予roles/cloudbuild.serviceAgent，这个角色允许它管理构建资源、调用相关Google Cloud API。你可以通过IAM页面检查该角色是否存在：

• 在IAM页面搜索你的Cloud Build服务账号
• 查看已分配的角色列表，确认Cloud Build Service Agent角色存在

3. 验证Cloud Tasks API已启用 #

虽然你已经在使用任务队列，但偶尔会出现API被意外禁用的情况。你可以在Cloud Console的API库中搜索Cloud Tasks API，确认它处于启用状态。

额外排查步骤 #

如果以上配置都没问题，可以在Cloud Build的构建步骤中添加以下命令，验证当前服务账号的权限：

gcloud projects get-iam-policy [你的项目ID] --filter="bindings.members:serviceAccount:[你的Cloud Build服务账号邮箱]"

这个命令会列出该服务账号的所有已分配角色，帮助你确认是否有遗漏。

内容的提问来源于stack exchange，提问作者Fabian