Una Cloud Function en el proyecto A recibe un error 403 al intentar escribir en un bucket de Cloud Storage en el proyecto B. ¿Cómo se soluciona?

Una Cloud Function se ejecuta con una cuenta de servicio. El error 403 indica un problema de permisos. Para que la función en el Proyecto A escriba en un bucket del Proyecto B, la cuenta de servicio predeterminada de Cloud Functions del Proyecto A (service-PROJECTA@gcf-admin-robot.iam.gserviceaccount.com) necesita el rol roles/storage.objectCreator directamente en el bucket del Proyecto B. Conceder el rol a su cuenta de usuario no afectaría los permisos de la Cloud Function. Conceder roles/iam.serviceAccountUser a su cuenta de usuario le permitiría actuar como la cuenta de servicio, pero no otorgaría permisos a la cuenta de servicio en el bucket. La Cloud Storage API debe estar habilitada en el Proyecto B para que Cloud Storage funcione, pero un error 403 específico de permisos indica que la API ya está habilitada y el problema es la autorización.