Учетная запись службы GCP не может прочитать учетную запись организации или биллинга

Question

Я считаю, что это проблема с разрешениями. Я пытаюсь запустить terraform в Google Cloud Build, который использует учетные данные приложения по умолчанию в своем образе сборщика.

Учетные данные - учетная запись службы Cloud Build - достаточно просто.

В моем коде terraform у меня есть несколько data запросов, которые загружают данные текущей организации и данные платежного аккаунта - и они не выполняются, когда я пытаюсь подать заявку в Cloud Build.

Я предоставил служебной учетной записи Organization Admin, Project Owner и Project Billing Manager ролей, и, похоже, ничто не изменит этого.

Я подумал, что, возможно, мне удастся создать членство в организации iam для служебной учетной записи с ролью администратора для нее - но когда я пытаюсь запустить его (локально, в моем собственном терминале gcloud), я получаю 403. - У вызывающей стороны нет разрешения, запрещено.

Чего мне здесь не хватает, это ограничение служебных учетных записей?

Answer 1

Получается, что организация G Suite и организация GCP - это одно и то же.Несмотря на то, что я активировал GCP для организации, я не был ни владельцем, ни администратором.

Как только мой клиент дал мне привилегии администратора организации, я смог создать нужные мне роли IAM.