设置 IAM 策略适用于本地计算机，但不适用于 GCE 实例

Question

我的 Python 应用程序中的以下行在我的本地计算机上执行没有问题。

import googleapiclient.discovery
project_id = 'some-project-id'
resource_manager = googleapiclient.discovery.build('cloudresourcemanager', 'v1')
iam_policy_request = resource_manager.projects().getIamPolicy(resource=project_id, body={})
iam_policy_response = iam_policy_request.execute(num_retries=3)
new_policy = dict()
new_policy['policy'] = iam_policy_response
del new_policy['policy']['version']
iam_policy_update_request = resourcemanager.projects().setIamPolicy(resource=project_id, body=new_policy)
update_result = iam_policy_update_request.execute(num_retries=3)

当我在 GCE 实例中运行应用程序时，更准确地说是从 GCE 实例内的 Docker 容器中运行时，我得到异常：

URL being requested: POST https://cloudresourcemanager.googleapis.com/v1/projects/some-project-id:setIamPolicy?alt=json
Traceback (most recent call last):
File "/env/lib/python3.5/site-packages/google/api_core/grpc_helpers.py", line 54, in error_remapped_callable
return callable_(*args, **kwargs)
File "/env/lib/python3.5/site-packages/grpc/_channel.py", line 487, in __call__
return _end_unary_response_blocking(state, call, False, deadline)
File "/env/lib/python3.5/site-packages/grpc/_channel.py", line 437, in _end_unary_response_blocking
raise _Rendezvous(state, None, None, deadline)
grpc._channel._Rendezvous: <_Rendezvous of RPC that terminated with (StatusCode.PERMISSION_DENIED, User not authorized to perform this action.)>

即授权错误。 奇怪的是，当我在GCE实例中打开Python终端会话并逐行运行Python代码时，我没有收到异常。 仅当代码作为应用的一部分运行时，它才会引发异常。

我在 GCE 实例中使用服务帐户，而不是本地计算机上的常规帐户。 但我不认为这是问题所在，因为我能够在实例内一行一行地运行代码，同时仍然依赖服务帐户角色。

我希望能够在GCE内部的Docker容器中无一例外地运行该应用程序。 我觉得我错过了什么，但无法弄清楚缺少的是什么。

Answer 1

查看您的问题，这似乎是一个身份验证问题，因为您的应用程序未正确进行身份验证：

1-首先运行此命令，它将让您的应用程序临时使用您自己的用户凭据： GCLOUD 测试版身份验证应用程序默认登录

输出应如下所示：

保存到文件的凭据：$SOME_PATH/application_default_credentials.json

2-然后，您将GOOGLE_APPLICATION_CREDENTIALS环境变量设置为密钥文件的路径：

export GOOGLE_APPLICATION_CREDENTIALS=$SOME_PATH/application_default_credentials.json

之后尝试运行您的应用程序。