Google cloud gcloud为服务帐户电子邮件启用API服务

Question

如何专门为服务帐户而不是用户帐户启用API服务？

上下文：我正在使用一个Python脚本本地测试一个云函数（查询BQ，将结果转换为json，加入GCS bucket）。我可以用我自己的测试帐户来做这件事，在那里我能够启用服务，但是不确定我将如何为客户的服务帐户做这件事（或者客户如何着手做这件事）。我自己的服务账户是这样做的：

1. 作为JSON获取服务帐户凭据
2. 跟踪gcloud cloud SDK的安装
3. 问题:GCloud auth activate-service-account--key-file=“/path/to/json-todd-credentials.json”--project=“json-todd”
4. 启用API服务，如下所示:gcloud enable-account=“[e-mail]”cloudfunctions.googleapis.com pubsub.googleapis.com等

我有客户机的服务帐户json，我可以auth activate-service-account服务帐户，但我不能启用，因为我没有权限--但是客户机如何启用API，专门针对GCP上的服务帐户，而不必按照上面的方式安装/初始化/验证服务帐户呢？

Answer 1

我想这是个误会。API是为项目启用的，而不是为服务帐户（或用户帐户）启用的。然后，您就有权访问已激活的API。

如果您在新项目中有一个服务帐户，但没有启用API，那么授予该服务帐户roles/ServiceUsage.ServiceUsageAdmin就没有问题。像这样，服务帐户将能够激活项目上的API，可能，所有的API。但是，如果服务帐户只有访问BigQuery（例如）的权限，并且服务帐户激活了compute engine API，则它将无法访问VM，即使启用了API。

相反，如果已经在项目上启用了API，则服务帐户不需要授予roles/serviceUsage.serviceUsageAdmin角色，只需要授予使用激活的API的权限。