本地运行ASP.NET访问Google Cloud Datastore遇权限不足错误

这个问题的核心在于本地环境和云端环境的身份验证机制不一样：云端部署时会自动使用平台提供的服务账号凭据，但本地运行时需要你手动配置有效的身份凭据，否则Datastore客户端无法获得足够权限访问资源。下面是具体的解决步骤：

• 配置应用默认凭据（ADC）
  这是本地开发最常用的方式，执行以下命令登录你的Google账号，生成本地可用的凭据：

  gcloud auth application-default login
  

  执行后会弹出浏览器让你登录，选择拥有云端Datastore权限的账号即可。登录完成后，本地的.NET项目会自动读取这个凭据进行身份验证。

• 确认本地gcloud配置的项目正确
  有时候可能本地gcloud默认项目和你部署的云端项目不一致，导致访问了错误的项目资源。执行命令检查当前项目：

  gcloud config get-value project
  

  如果结果不是你的目标项目ID，用以下命令切换：

  gcloud config set project YOUR_PROJECT_ID
  

• 使用服务账号密钥文件（备选方案）
  如果ADC方式无效，可以创建一个服务账号并使用密钥文件：

  1. 在Google Cloud控制台创建一个服务账号，为其分配Datastore所有者或Datastore用户权限；
  2. 下载该服务账号的JSON密钥文件到本地；
  3. 设置环境变量指向密钥文件路径：
     • Windows（命令提示符）：

       set GOOGLE_APPLICATION_CREDENTIALS=C:\path\to\your-service-account-key.json
       

     • Linux/macOS：

       export GOOGLE_APPLICATION_CREDENTIALS=/path/to/your-service-account-key.json
       

  4. 重新启动你的.NET项目，现在会使用这个服务账号的凭据进行访问。

• 验证权限有效性
  确保你本地使用的账号（不管是ADC登录的个人账号还是服务账号）确实在云端项目中拥有Datastore的读写权限。可以在Google Cloud控制台的"IAM与管理员"页面检查账号的权限配置，确认权限已经正确应用。

内容的提问来源于stack exchange，提问作者tephe