使用服务账号接入Google CloudLogging出现PERMISSION_DENIED错误如何解决

问题原因 #

该权限报错的核心原因是服务账号缺少Cloud Logging的写入权限，和凭证加载逻辑无关，你之前的排查方向是正确的。

最小权限配置方案 #

方案一：使用GCP预定义角色（推荐） #

直接给对应服务账号分配roles/logging.logWriter（日志写入者）预定义角色即可，该角色仅包含写入日志所需的最小权限，没有多余的日志配置修改、删除、全局读取等高风险权限，完全符合最小权限原则。
你可以通过GCP控制台的IAM页面直接绑定该角色，也可以通过gcloud命令行执行绑定操作：

gcloud projects add-iam-policy-binding <替换为你的GCP项目ID> \
  --member="serviceAccount:<替换为你的服务账号完整邮箱>" \
  --role="roles/logging.logWriter"

方案二：自定义最小权限角色 #

如果你需要完全自定义权限集合，仅需要添加以下2个权限即可满足日志写入需求：

• logging.logEntries.create：写入日志条目的核心权限
• logging.logs.create：自动创建不存在的日志资源的权限，如果你已经提前在项目中创建好了对应日志ID的资源，可以省略该权限

可选排查项 #

如果配置完权限后仍出现报错，可以检查以下两项配置：

1. 确认nodejs-logging-bunyan初始化时传入的projectId参数和服务账号所属的GCP项目ID一致
2. 确认对应GCP项目已经启用了Cloud Logging API

内容的提问来源于stack exchange，提问作者Milkncookiez