如何调试谷歌云存储的访问控制问题？

Question

在学习如何使用谷歌计算引擎和谷歌云存储时，我遇到了一个ACL问题。在我自己的计算机上，使用我自己的SSH凭据，我可以用我的bucket做任何我想做的事情。但是当我使用基于Web的SSH客户机登录到我的compute实例时，我只能从bucket中读取。将数据复制到bucket时会出现“AccessDeniedException：403权限不足”错误。（我正在用Gsutil做所有这些复制实验。）

这对我来说毫无意义。唯一的服务帐户被授予了项目编辑器角色，我确认了bucket ACL列表为所有者提供了对项目编辑器角色和服务帐户的访问权限。我还尝试将服务帐户更改为具有“写”权限，而不是桶上的“所有者”权限，但这没有帮助。最后，在本地计算机上执行所有这些操作时，我将为相同的默认服务帐户使用下载的ssh密钥，所以我不明白为什么它会发生变化。

问题的一部分是我看不出橡胶在哪里遇到了道路--我得到的只是一辆403，没有更多的信息。我看不到gsutil在做什么（事实上，我甚至不确定gsutil是如何获得其凭据的，因为当您通过控制台ssh时，这一切都是自动完成的--我只是假设它在服务帐户下进行日志记录）。

很明显，我想解决这个直接的问题，但我也希望有任何关于如何在将来调试这些问题的提示。

Answer 1

默认情况下，compute engine上的gsutil不使用您的个人用户凭据。相反，它将自动获取凭据，以充当为该VM配置的服务帐户（通常是Compute Engine默认服务帐户）。

该服务帐户需要两件事才能写到GCS：1.）来自GCS的写到特定位置的权限，以及2.）写到GCS的作用域。

听起来好像您已经将服务帐户设置为项目编辑器，甚至使其成为有问题的桶的所有者，所以您已经处理了第1项。但是，默认情况下，GCE只授予实例访问存储的只读范围。这很可能就是为什么读对你有用，而写对你没用的原因。