使用Cloud Function调用Cloud Speech API时遇权限拒绝错误求助

这个7 PERMISSION_DENIED错误指向很明确——你的Cloud Function使用的服务账号没有访问Cloud Speech API和Cloud Translation API的权限，我给你梳理几个最常见的排查和解决步骤：

• 先确认API是否已启用
  登录Google Cloud控制台，进入API库，检查Cloud Speech-to-Text API和Cloud Translation API有没有被启用。很多时候权限报错的根源其实是API本身没开，先把这个基础项排查掉。

• 检查Cloud Function的默认服务账号权限
  Cloud Function默认使用的是你的项目ID@appspot.gserviceaccount.com这个App Engine服务账号，你需要给它添加对应API的权限（遵循最小权限原则，别给超出需求的权限）：

  1. 进入控制台的IAM页面，找到这个服务账号
  2. 点击编辑权限，添加合适的角色：
     • 针对Speech API：可以加Cloud Speech-to-Text Editor（满足调用识别功能的需求）或者更基础的Viewer角色（仅需读取权限时）
     • 针对Translation API：加Cloud Translation API Editor或者对应的Admin/Viewer角色
       注意：权限变更通常需要1-5分钟才会生效，改完别马上测试，等一会儿再验证。

• 本地测试时检查密钥文件配置
  如果是在本地运行Cloud Function代码测试，要确保你用的服务账号密钥文件对应的账号有上述权限，而且环境变量GOOGLE_APPLICATION_CREDENTIALS正确指向了密钥文件的路径，别写错路径或者用了过期的密钥。

• 确认代码里的API调用逻辑
  检查你的Node.js代码，确保初始化Speech和Translation客户端时没有指定错误的项目ID，或者用了错误的认证方式。比如有没有硬编码错误的凭证，或者客户端初始化时的配置项写错了。

• 排查VPC/防火墙限制（如果有配置）
  要是你的Cloud Function配置了VPC网络，得确认VPC的防火墙规则允许出站访问Google的API服务，有没有设置私有访问限制导致无法连接到Speech/Translation API的端点。

另外，你可以去Cloud Function的日志里查看更详细的错误详情，有时候日志会明确指出缺少哪个具体的权限，能帮你更快定位问题。

内容的提问来源于stack exchange，提问作者TechieNext