GCP PubSub не соблюдает унаследованные разрешения - PullRequest
Новая
       43

GCP PubSub не соблюдает унаследованные разрешения

1 голос
/ 14 мая 2019

Некоторые из моих учетных записей служб получают 403 (пользователь не авторизован) ошибки при попытке опубликовать / подписаться на PubSub. Похоже, он не соблюдает «унаследованные» разрешения от уровня IAM проекта.

Я подтвердил, что учетные записи служб имеют разрешения IAM для подписчика и средства просмотра PubSub; и когда я проверяю тему и подписки, они перечисляют учетные записи служб как тип «Наследуется». Если я вручную добавлю учетную запись службы к тому же разрешению из консоли PubSub, пользовательский интерфейс отобразит ее как «Смешанная», и тогда она будет работать.

enter image description here

Фон - это работало раньше!

Что странно, раньше это работало нормально. Я случайно удалил эти же сервисные аккаунты вчера. Я воссоздал их таким же образом, настроил разрешения таким же образом, и он не будет работать. Кроме того, учетные записи, которые не были удалены, по-прежнему работают с разрешениями «Наследование».

Некоторые другие вещи, которые я пробовал:

  • Создана служебная учетная запись с именем, отличным от того, что было удалено - не работает
  • Повторное создание тем / подписок после создания учетных записей служб и предоставления им разрешений для всего проекта - не работает

В долгосрочной перспективе я бы предпочел контролировать права доступа для каждой темы / субтитра; но я все еще озадачен, почему это не работает или что я сделал неправильно.

1 Ответ

2 голосов
/ 15 мая 2019

В настоящее время, похоже, существует ограничение с разрешениями на уровне проекта, когда учетная запись службы удаляется и создается заново.Разрешения для вновь созданной учетной записи службы не будут распространяться должным образом.

Если учетная запись службы создается с другим именем, унаследованные разрешения должны работать правильно.Обратите внимание, что распространение разрешений не является немедленным и может иметь задержку.Возможно, вам придется подождать несколько минут , чтобы увидеть отраженные изменения.

Для получения дополнительной помощи вам, возможно, придется обратиться в службу поддержки Cloud, чтобы они могли изучить особенности вашей ситуации.

...