Eine Cloud Function in Projekt A erhält einen 403-Fehler, wenn sie in einen Cloud Storage-Bucket in Projekt B schreibt. Wie beheben Sie das Problem?

Der 403-Fehler (Zugriff verweigert) tritt auf, weil die Cloud Function nicht die erforderlichen Berechtigungen hat, um in den Cloud Storage-Bucket in Projekt B zu schreiben. Cloud Functions verwenden ein Dienstkonto, um auf andere Google Cloud-Ressourcen zuzugreifen. In diesem Fall ist das Dienstkonto für die Cloud Function in Projekt A service-PROJECTA@gcf-admin-robot.iam.gserviceaccount.com. Um das Problem zu beheben, muss diesem Dienstkonto die Rolle roles/storage.objectCreator für den spezifischen Cloud Storage-Bucket in Projekt B zugewiesen werden. Die Option, Ihrem Benutzerkonto die Rolle roles/storage.objectCreator zu gewähren, ist falsch, da die Cloud Function unter ihrem eigenen Dienstkonto und nicht unter Ihrem Benutzerkonto ausgeführt wird. Die Zuweisung der Rolle roles/iam.serviceAccountUser zu Ihrem Benutzerkonto hilft nicht, da dies nur die Berechtigung gibt, andere Dienstkonten zu imitieren, aber nicht die Schreibberechtigung für den Bucket selbst. Das Aktivieren der Cloud Storage API ist zwar notwendig, löst aber keine Berechtigungsprobleme; die API ist wahrscheinlich bereits aktiviert, sonst gäbe es einen anderen Fehler.