使用服务帐户访问 Google 容器构建器日志 - 403 禁止错误

Question

我有一个服务帐户可以在 Google Container Builder 上触发构建。这工作正常，但现在我想使用该服务帐户检索构建日志。

这是获取日志的代码（令牌是使用 google-auto-auth 包获取的，这部分在其他地方运行良好，所以我真的不认为这是问题所在）：

var url = logsBucket + '/log-' + buildId + '.txt';
debug('Requesting log at %s', url);
request
  .get(url)
  .set('Authorization', 'Bearer ' + token)
  .end(function(err, res) {
    if (err) return cb(err);
    var log = res.body;
    debug('Received build log : %o', log);
    cb(null, log);
  });

目前，虽然服务帐户可以访问以下角色，但失败并返回 401 Unauthorized：

管理 kubernetes 引擎
管理员存储
存储中的管理对象
云容器构建器
Reader 云容器构建器
Reader 存储对象

这是错误：

{
  "message": "Forbidden",
  "stack": "Error: Forbidden\n    at Request.callback (/app/node_modules/superagent/lib/node/index.js:696:15)\n [...]",
  "status": 403,
  "response": {
    "req": {
      "method": "GET",
      "url": "https://storage.googleapis.com/{PROJECT_ID}.cloudbuild-logs.googleusercontent.com/log-42602b35-af02-4e75-8100-8a3bd0e720fb.txt",
      "headers": {
        "user-agent": "node-superagent/3.8.2",
        "authorization": "Bearer {BEARER_TOKEN}"
      }
    },
    "header": {
      "x-guploader-uploadid": "{SOME-UPLOAD-ID}",
      "content-type": "application/xml; charset=UTF-8",
      "content-length": "337",
      "date": "Wed, 10 Jan 2018 11:06:54 GMT",
      "expires": "Wed, 10 Jan 2018 11:06:54 GMT",
      "cache-control": "private, max-age=0",
      "server": "UploadServer",
      "alt-svc": "...",
      "connection": "close"
    },
    "status": 403
  }
}

知道请求失败并返回 403 的原因吗？它可能来自丢失的范围吗？到目前为止我只设置了scopes: 'https://www.googleapis.com/auth/cloud-platform'。

Answer 1

GCS 权限早于 IAM，因此工作方式略有不同。

要查看构建日志，有问题的服务帐户除了要有 Builder Editor[=30= 之外，还需要是项目的 Viewer ]角色。

role/viewer 包含角色 role/cloudbuild.builds.viewer

role/cloudbuild.builds.editor

作为最后一步，您可能需要：（不需要）

禁用 Container Builder API 并重新启用它。这样做应该可以让您的服务帐户再次访问您的项目。

另请查看：docs

使用服务帐户访问 Google 容器构建器日志 - 403 禁止错误

Access Google Container builder logs with a service account - 403 Forbidden Error

node.js

google-cloud-platform

google-container-builder

GCS 权限早于 IAM，因此工作方式略有不同。