GCP PubSub不遵守继承的权限

Question

我的某些服务帐户在尝试发布/订阅PubSub时遇到403错误（用户未授权）。看来这不符合项目级别IAM的“继承”权限。

我已验证服务帐户具有对PubSub订阅者和查看者的IAM权限；当我检查主题和订阅时，它们将服务帐户列为“继承”类型。如果我从PubSub Console手动将服务帐户添加到相同的权限，则UI会将其列出为“混合”，然后就可以使用。

背景-之前在工作！

奇怪的是，这之前工作得很好。我昨天不小心删除了这些相同的服务帐户。我以相同的方式重新创建了它们，以相同的方式设置了权限，因此无法正常工作。另外，未删除的帐户仍可以使用“继承”权限。

我尝试过的其他一些事情：

• 创建的服务帐户名称与被删除的名称不同-无效
• 在创建服务帐户并向他们授予项目范围的权限后，重新创建的主题/订阅不起作用

长期来看，我想我希望控制每个Topic / Sub的权限；但我仍然困惑为什么这不起作用或我做错了什么。

Answer 1

当前，删除和重新创建服务帐户时，项目级权限似乎受到限制。新创建的服务帐户的权限将不会按预期传播。

如果使用其他名称创建服务帐户，则继承的权限应正常工作。请注意，权限传播不是立即进行的，可能会有延迟。您可能需要等待a few minutes才能看到更改。

要获取更多帮助，您可能需要联系Cloud Support，以便他们可以调查您的具体情况。