Contul de serviciu nu are acces storage.buckets.get la compartimentul Google Cloud Storage

Rulez Ansible cu un serviciu următoarea configurație care ar trebui să creeze o găleată de stocare pe Google Cloud.

- nume: „Creați {{ environ.name }}-cluster-backups”
  google.cloud.gcp_storage_bucket:
    nume: „zeipt-io-{{ environ.name }}-cluster-backups”
    locație: „{{ google_cloud.region }}”
    storage_class: „NEARLINE”
    ciclu de viață:
      regulă:
        - condiție:
            vârsta_zile: 28
          acțiune:
            tip: „Șterge”
    proiect: „{{ google_cloud.project }}”
    auth_kind: „{{ google_cloud.auth_kind }}”
    service_account_file: „{{ google_cloud.service_account_file }}”
    stare: prezent

Ceea ce dă eroarea

fatal: [localhost]: FAILED! => {"changed": false, "msg": "GCP a returnat eroare: {'error': {'code': 403, 'message': '[email protected] nu are stocare .buckets.get acces la compartimentul Google Cloud Storage.', 'errors': [{'message': '[email protected] nu are storage.buckets.get acces la Google Cloud Storage găleată.', 'domeniu': 'global', 'motivul': 'interzis'}]}}"}

Înțeleg eroarea, dar am verificat astfel rolurile atribuite acestui utilizator

Proiectele gcloud get-iam-policy staging-environment --flatten="bindings[].members" --format='table(bindings.role)' --filter="bindings.members:[email protected]. gserviceaccount.com"
ROL
roluri/proprietar
roluri/stocare.admin
roles/storage.objectAdmin
roluri/storage.objectCreator
roles/storage.objectViewer

roluri/stocare.admin ar trebui să îndeplinească cerința pe măsură ce am verificat Pagina Roluri IAM Google Cloud care afirmă că acest rol are depozitare.găleți.* permisiune.

Nu înțeleg de ce mai primesc aceeași eroare?

Înțeleg că unii membri ai comunității ți-au oferit câteva soluții pentru a-ți rezolva problema, dar se pare că niciuna dintre ele nu a fost utilă pentru problema ta.De asemenea, înțeleg că utilizați GCP pentru a crea contul de serviciu și a atribui rolurile.

Poate că puteți încerca să creați contul de serviciu și rolurile pentru contul de serviciu din ansible și să verificați dacă funcționează.

Puteți crea contul de serviciu folosind acest plugin google.cloud.gcp_iam_service_account â creează un cont de serviciu GCP

Exemplu:

- nume: creați un cont de serviciu
  google.cloud.gcp_iam_service_account:
    nume: sa-{{ resource_name.split("-")[-1] }}@graphite-playground.google.com.iam.gserviceaccount.com
    display_name: Cheia mea de testare Ansible
    proiect: proiect_test
    auth_kind: serviceaccount
    service_account_file: „/tmp/auth.pem”
    stare: prezent

Și puteți atribui rolurile folosind pluginul google.cloud.gcp_iam_role â creează un rol GCP

Exemplu:

- nume: creați un rol
  google.cloud.gcp_iam_role:
    nume: myCustomRole2
    titlu: Rolul meu personalizat
    descriere: descrierea rolului meu personalizat
    permisiuni_incluse:
    - iam.roles.list
    - iam.roles.create
    - iam.roles.delete
    proiect: proiect_test
    auth_kind: serviceaccount
    service_account_file: „/tmp/auth.pem”
    stare: prezent

Amintiți-vă că aceste pluginuri fac parte din colecția google.cloud, care ar trebui să fie instalat dacă utilizați pachetul ansible.