Una Cloud Function nel progetto A riceve un errore 403 quando tenta di scrivere in un bucket Cloud Storage nel progetto B. Come si risolve il problema?

L'errore 403 indica un problema di autorizzazione. Le Cloud Functions utilizzano un account di servizio predefinito per eseguire le operazioni. Questo account di servizio è service-PROJECTA@gcf-admin-robot.iam.gserviceaccount.com (dove PROJECTA è l'ID del progetto della funzione). Per consentire alla funzione di scrivere in un bucket Cloud Storage, è necessario concedere a questo account di servizio il ruolo roles/storage.objectCreator (o un ruolo equivalente con permessi di scrittura) sul bucket specifico nel progetto B. Concedere ruoli al tuo account utente non risolverebbe il problema, poiché è l'account di servizio della funzione che esegue l'operazione, non il tuo utente. Il ruolo roles/iam.serviceAccountUser è per impersonare un account di servizio, non per concedere permessi a risorse. L'API Cloud Storage è abilitata per impostazione predefinita e non è la causa di un errore 403.