使用PubsubIO读取Cloud Pub/Sub订阅所需的GCP权限有哪些？

你已配置pubsub.subscriptions.consume权限但操作无法正常完成，核心原因是2.27.0版本的PubsubIO读取流程并非仅执行单纯的消息拉取动作，除了消息消费本身的权限外，还需要覆盖作业初始化、运行态校验环节的配套权限。
完整的必需权限清单如下：

• pubsub.subscriptions.consume：你当前已配置的权限，作用是支撑运行时从订阅拉取消息、对处理完成的消息发送ack确认，是消息读取的核心基础权限
• pubsub.subscriptions.get：最容易遗漏的必需权限。2.27.0版本的PubsubIO在作业启动初始化阶段，会主动调用Pub/Sub接口查询订阅元数据，校验订阅是否存在、订阅关联的Topic配置、订阅的投递模式是否和读取器逻辑匹配，缺少该权限时作业会在初始化阶段直接抛出权限拒绝错误，根本无法进入消息拉取环节
• pubsub.topics.get：如果代码中使用短订阅名（而非完整格式projects/<目标项目ID>/subscriptions/<订阅名称>的全路径）配置读取源，还需要该权限——该版本的PubsubIO会自动通过订阅关联关系查询对应Topic的配置做兼容性校验，缺少该权限会在路径解析阶段直接报错

补充提示：如果你的作业运行在GCP Dataflow上，需要确认上述权限是授予作业运行所用的服务账号，而非单纯的个人用户账号，且授权范围覆盖订阅实际所属的GCP项目，避免跨项目访问时因权限范围不匹配触发的报错。

内容的提问来源于stack exchange，提问作者Leonel