копія gsutil, що повертає “AccessDeniedException: 403 недостатньо дозволу” від GCE

Я ввійшов до екземпляра GCE через SSH. Звідти я хотів би отримати доступ до сховища за допомогою облікового запису служби:

GCE> gcloud auth list
Credentialed accounts:
 - 1234567890-compute@developer.gserviceaccount.com (active)

Спочатку я переконався, що цей обліковий запис Служби позначений як "Можна редагувати" у дозволах проекту, в якому я працюю. Я також переконався, що дав йому запис ACL у відрі, в якому я хотів би, щоб він скопіював файл:

local> gsutil acl ch -u 1234567890-compute@developer.gserviceaccount.com:W gs://mybucket

Але тоді не вдається виконати наступну команду:

GCE> gsutil cp test.txt gs://mybucket/logs

(Я також переконався, що "журнали" створюються в "mybucket").

Я отримую повідомлення про помилку:

Copying file://test.txt [Content-Type=text/plain]...
AccessDeniedException: 403 Insufficient Permission               0 B  

Чого мені не вистачає?

Ще одне, на що слід звернути увагу, - це переконатися, що ви створили відповідні області дії під час створення VCE GCE. Навіть якщо до віртуальної машини приєднаний обліковий запис служби, їй повинні бути призначені області зберігання, щоб отримати доступ до GCS.

Наприклад, якби ви створили свою віртуальну машину із devstorage.read_onlyсферою дії, спроба записати у сегмент зазнала б невдачі, навіть якщо ваш обліковий запис служби має дозвіл на запис у сегмент. Вам знадобиться devstorage.full_controlабо devstorage.read_write.

Докладніше див. У розділі Підготовка екземпляра для використання службових облікових записів .

Примітка: обліковий запис обчислювальної служби за замовчуванням має дуже обмежений обсяг (включаючи доступ лише для читання до GCS). Це робиться, оскільки обліковий запис служби за замовчуванням має дозволи редактора проектів IAM. Якщо ви використовуєте будь-який обліковий запис служби користувача, це, як правило, не проблема, оскільки створені користувачем облікові записи служб отримують весь доступ до обсягу за замовчуванням.

Після додавання необхідних областей до віртуальної машини, gsutilможливо, все ще використовуються кешовані облікові дані, які не мають нових областей. Видаліть, ~/.gsutilперш ніж повторити спробу команд gsutil. (Дякую @mndrix за те, що вказав на це в коментарях.)

Ви повинні увійти з обліковим записом, який має дозволи, необхідні для цього проекту:

gcloud auth login

gsutil config -b

Потім перейдіть за наданою URL-адресою, [КЛАЦНАТИ Дозволити]

Потім скопіюйте код підтвердження та вставте у термінал.

Я написав відповідь на це запитання, оскільки не можу залишати коментарі:

Ця помилка також може статися, якщо в деяких випадках ви виконуєте gsutilкоманду з sudoпрефіксом.

1. Зупиніть ВМ
2. got -> деталі екземпляра VM.
3. у розділі "Області доступу до Cloud API" виберіть "Дозволити повний доступ до всіх API Cloud", а потім натисніть "Зберегти".
4. перезапустіть VM і видаліть ~ / .gsutil.

1. Після створення сегмента перейдіть на вкладку дозволів, додайте свою електронну адресу та встановіть дозвіл адміністратора сховища .

2. Доступ до екземпляра VM за допомогою команди SSH >> run: gcloud auth loginі виконайте кроки.

Посилання: https://groups.google.com/d/msg/gce-discussion/0L6sLRjX8kg/kP47FklzBgAJ

Тому я спробував купу речей, намагаючись скопіювати з відра GCS на свою віртуальну машину. Сподіваюся, ця публікація комусь допоможе.

Через з'єднання SSHed:

і слідуючи цьому сценарію:

sudo gsutil cp gs://[BUCKET_NAME]/[OBJECT_NAME] [OBJECT_DESTINATION_IN_LOCAL]

Отримав цю помилку:

AccessDeniedException: 403 Доступ не налаштовано. Будь ласка, перейдіть на консоль Google Cloud Platform ( https://cloud.google.com/console#/project ) для свого проекту, виберіть API та авторизацію та ввімкніть API JSON Google Cloud Storage.

Що виправлено це було після розділу "Активація API", згаданого у цьому посиланні - https://cloud.google.com/storage/docs/json_api/

Після того, як я активував API, я пройшов автентифікацію у вікні SSHed через

gcloud auth login

Після процедури автентифікації я нарешті зміг завантажити з Google Storage Bucket на свою віртуальну машину.

PS

Я обов’язково:

1. Переконайтеся, що gsutils інстальовано на моєму екземплярі віртуальної машини.

2. Перейдіть до мого сегмента, перейдіть на вкладку дозволів і додайте потрібні облікові записи служби та встановіть дозвіл / роль адміністратора сховища.

   3.Переконайтесь, що моя віртуальна машина мала належні обсяги доступу до Cloud API:

З документів: https://cloud.google.com/compute/docs/access/create-enable-service-accounts-for-instance#changeserviceaccountandscopes

Спочатку потрібно зупинити екземпляр -> перейти на сторінку редагування -> перейти до «Області доступу до хмарного API» і вибрати «повний доступ до сховища або читання / запис або все, що вам потрібно»

Зміна облікового запису служби та областей доступу для екземпляра Якщо ви хочете запустити віртуальну машину як інший ідентифікатор або ви визначили, що екземпляру потрібен інший набір областей для виклику необхідних API, ви можете змінити обліковий запис служби та сфери доступу існуючого екземпляра. Наприклад, ви можете змінити сфери доступу, щоб надати доступ до нового API, або змінити екземпляр, щоб він працював як обліковий запис служби, який ви створили, замість облікового запису служби за замовчуванням Compute Engine.

Щоб змінити обліковий запис служби та сфери доступу екземпляра, екземпляр потрібно тимчасово зупинити. Щоб зупинити екземпляр, прочитайте документацію щодо Зупинення екземпляра. Змінивши обліковий запис служби або області доступу, не забудьте перезапустити екземпляр. Використовуйте один із наведених нижче методів для зміни облікового запису служби або обсягу доступу зупиненого екземпляра.

Змініть дозволи сегмента.

Додайте користувача для "Усі користувачі" та надайте "Адміністратору сховища" доступ.