无法获取Google云存储桶的位置

Question

我试图使用Java客户机将数据从S3传输到GCS，但我遇到了这个错误。

由于权限不足，无法获取Google云存储（GCS）存储桶的位置。请验证是否已授予必要的权限。

我正在使用具有项目所有者角色的服务号，它应该授予对所有项目资源的无限制访问权限。

Answer 1

服务帐户的格式通常[e-mail]。要查找服务帐户的格式，请使用googleServiceAccounts.getAPI调用。如果你没有找到它，使用前面提到的约定来分配下面的角色（为我工作）

然后为其分配角色：

roles/storage.objectViewer  
roles/storage.legacyBucketReader    
roles/storage.legacyBucketWriter

Answer 2

感谢@thnee的评论，我能够拼凑出一个terraform脚本，将权限添加到隐藏的存储传输服务帐户：

data "google_project" "project" {}

locals {
  // the project number is also available from the Project Info section on the Dashboard
  transfer_service_id = "project-${data.google_project.project.number}@storage-transfer-service.iam.gserviceaccount.com"
}

resource "google_storage_bucket" "backups" {
  location      = "us-west1"
  name          = "backups"
  storage_class = "REGIONAL"
}

data "google_iam_policy" "transfer_job" {
  binding {
    role = "roles/storage.legacyBucketReader"

    members = [
      "serviceAccount:${local.transfer_service_id}",
    ]
  }

  binding {
    role = "roles/storage.objectAdmin"

    members = [
      "serviceAccount:${local.transfer_service_id}",
    ]
  }

  binding {
    role = "roles/storage.admin"

    members = [
      "user:<GCP console user>",
      "serviceAccount:<terraform user doing updates>",
    ]
  }
}

resource "google_storage_bucket_iam_policy" "policy" {
  bucket      = "${google_storage_bucket.backups.name}"
  policy_data = "${data.google_iam_policy.transfer_job.policy_data}"
}

请注意，这将删除存储桶上存在的OWNER和READER的默认ACL。这将阻止您访问控制台中的铲斗。因此，我们添加了角色/存储。管理员返回所有者用户和进行更改的terraform服务帐户。

Answer 3

谷歌传输服务使用内部服务号来回移动数据。此帐户是自动创建的，不应与您自己创建的服务帐户混淆。

您需要为该用户授予一个名为“遗留bucket writer”的权限。

这是写在留档，但它很容易错过：

https://cloud.google.com/storage-transfer/docs/configure-access