具有足够访问权限的服务帐户的权限被拒绝

Question

我的服务帐户有一个问题，该帐户具有附加的角色，称为Preemptible Killer。

该角色已绑定到该服务帐户，我什至为它提供了“编辑器”访问权限，以进行调试。

我有一个项目，并且仔细检查了名称是否正确。

当我点击删除实例API时收到403时，我遇到了问题。如果我转到策略疑难解答，从理论上我可以看到它具有正确的访问量。

  

已授予对preemptible-killer @ {project} .iam.gserviceaccount.com，compute.instances.delete，instances / {instance}的API调用的访问权限。

但是，当从我的K8s群集节点调用它时，我得到了403。这是意外的403，服务帐户和角色的屏幕截图。我肯定错过了一些我不知道的东西。

这是角色：

这是附加到服务帐户的自定义角色+编辑者角色。

❯ gcloud projects get-iam-policy {project}
bindings:
- members:
  - serviceAccount:preemptible-killer@{project}.iam.gserviceaccount.com
  role: projects/{project}/roles/preemptible_killer
- members:
  - serviceAccount:preemptible-killer@{project}.iam.gserviceaccount.com
  role: roles/editor

Answer 1

我最终创建了一个具有完全相同角色的另一个服务帐户，并且可以正常工作，实际上是一个克隆。

老实说，不确定这是GCP错误还是我错过了什么。

Answer 2

如果您删除了SA，然后使用相同的名称重新创建了SA，但未对IAM进行任何更改，请记住，在GCP的后端，即使名称恰好是SA，这也是一个完全不同的SA。相同。仅供参考！