GCE虚拟机执行gcloud Pub/Sub拉取命令遇PERMISSION_DENIED权限错误

这种权限问题在GCE和Pub/Sub联动时挺常见的，我帮你梳理几个关键排查点，按步骤来应该能解决：

• 确认GCE实例绑定的服务账号权限
  首先得搞清楚你的GCE实例用的是哪个服务账号，执行这条命令：

  gcloud compute instances describe YOUR_INSTANCE_NAME --format='value(serviceAccounts.email)'
  

  拿到服务账号邮箱后，给这个账号添加Pub/Sub Subscriber角色（roles/pubsub.subscriber）：

  gcloud projects add-iam-policy-binding YOUR_PROJECT_ID \
    --member="serviceAccount:YOUR_SERVICE_ACCOUNT_EMAIL" \
    --role="roles/pubsub.subscriber"
  

• 验证实例的API访问范围
  即使服务账号有权限，如果实例的访问范围没包含Pub/Sub，也会触发权限拒绝。检查当前实例的访问范围：

  gcloud compute instances describe YOUR_INSTANCE_NAME --format='value(serviceAccounts.scopes)'
  

  看看输出里有没有https://www.googleapis.com/auth/pubsub，如果没有，你需要停止实例，修改访问范围为"允许完全访问所有Cloud API"（或者单独添加Pub/Sub的范围），然后重启实例。

• 检查GCE实例的身份认证状态
  在GCE实例里执行gcloud auth list，确认当前活跃的账号是不是你刚才绑定的服务账号。如果显示的是其他账号（比如你的个人账号），可以切换到服务账号：

  gcloud config set account YOUR_SERVICE_ACCOUNT_EMAIL
  

  另外，GCE实例默认会自动使用服务账号认证，如果之前手动登录过其他账号，可能需要清除旧凭证：

  gcloud auth revoke --all
  

  之后系统会自动用实例绑定的服务账号完成认证，无需手动操作。

• 排查订阅本身的IAM政策
  有时候项目级的权限不够，订阅本身可能有单独的IAM设置。检查订阅的权限：

  gcloud pubsub subscriptions get-iam-policy MY_SUBSCRIPTION_NAME
  

  如果你的服务账号不在订阅的权限列表里，给订阅单独添加权限：

  gcloud pubsub subscriptions add-iam-policy-binding MY_SUBSCRIPTION_NAME \
    --member="serviceAccount:YOUR_SERVICE_ACCOUNT_EMAIL" \
    --role="roles/pubsub.subscriber"
  

• 最后验证SDK状态
  虽然你已经更新了SDK，还是可以再确认版本：

  gcloud --version
  

  如果版本没问题，尝试重置一下gcloud配置：

  gcloud init
  

  按提示选择对应项目和服务账号即可。

内容的提问来源于stack exchange，提问作者Marcus Vinicius Melo