Resolver erros de autorização

Nesta página, explicamos os erros de autorização que podem ocorrer após as mudanças de autorização e como resolvê-los.

As ações negadas geralmente ocorrem por um destes dois motivos:

• Permissões da conta de serviço de execução: o autor da chamada não tem permissão para agir como a conta de serviço ou a conta de serviço não tem as permissões de recurso necessárias. Consulte Erros de conta de serviço de execução como.
• Papéis do IAM do autor da chamada: o autor da chamada não tem o papel do IAM necessário para realizar a ação. Consulte Erros de papel do IAM.

Como a Application Integration verifica os dois requisitos, resolver um problema com um não resolve automaticamente os problemas com o outro.

Erros de conta de serviço de execução como

Como algumas dessas verificações de autorização ainda estão sendo lançadas, talvez você não encontre todos esses erros imediatamente. Nas mensagens de erro, PRINCIPAL é a conta avaliada pelo sistema. A mensagem vai mostrar The caller se não for possível determinar a identidade da conta.

Condição	Erro ou comportamento	Resolução
Um principal (usuário, automação ou gatilho) inicia uma integração, mas não tem permissão para atuar como a conta de serviço de execução da integração.	A execução é rejeitada com o seguinte erro: PRINCIPAL needs roles/iam.serviceAccountUser on SERVICE_ACCOUNT (or its project) to run this integration. Uma chamada de API retorna o erro diretamente, e nenhuma entrada aparece nos registros de execução. Um gatilho de evento do Cloud Pub/Sub, do Eventarc ou do Integration Connectors registra uma falha de execução nos registros de execução, e o evento não é enviado novamente. Um job do Cloud Scheduler informa um erro PERMISSION_DENIED.	Conceda o papel de Usuário da conta de serviço ao principal que está iniciando a integração. Para um gatilho, conceda isso à conta de serviço do gatilho.
Uma integração criada em ou após 15 de outubro de 2026, usando um gatilho diferente de API ou Particular, não tem uma conta de serviço de execução como.	A publicação e o teste falham com o seguinte erro: Set a run-as service account. These triggers run with no caller: TRIGGERS. Required for integrations created on or after October 15, 2026 (UTC).	Defina uma conta de serviço de execução.
Uma execução acionada sem credenciais de usuário não tem uma conta de serviço de execução.	Se a governança de integração estiver ativada para a região, a publicação e o teste vão falhar com o seguinte erro, independentemente da data de criação da integração: Your project requires a run-as service account. Set one before publish or test. Governança se refere à configuração Ativar governança descrita em Editar região. Para regiões sem governança, o sistema não vai rejeitar essas execuções a partir de 15 de outubro de 2026. No entanto, os itens a seguir estão planejados para falhar em uma versão futura: Tarefas sem uma identidade, como conectores, chamar endpoint REST ou tarefas do Cloud Run functions. Execuções assíncronas, que vão falhar com o seguinte erro: Integration NAME needs a run-as service account to run asynchronously via trigger TRIGGER_ID.	Defina uma conta de serviço de execução.
Uma tarefa de integração de chamadas não pode iniciar a subintegração.	A tarefa de integração de chamada da integração de chamada falha por um dos seguintes motivos: A subintegração é chamada de forma assíncrona e não tem uma conta de serviço de execução, mesmo que a integração de chamada tenha uma: Integration NAME needs a run-as service account to run asynchronously via trigger TRIGGER_ID. O principal que iniciou a integração de chamada ou a conta de serviço de execução da integração de chamada não tem permissão para atuar como a conta de serviço de execução da subintegração: PRINCIPAL needs roles/iam.serviceAccountUser on SERVICE_ACCOUNT (or its project) to run this integration.	Defina uma conta de serviço de execução na subintegração ou configure a chamada para ser executada de forma síncrona. Em seguida, conceda o papel de usuário da conta de serviço na conta de serviço da subintegração.
Um principal publica ou testa uma integração que usa um perfil de autenticação sem permissão para atuar como conta de serviço, ou uma execução chega a uma tarefa que usa esse perfil.	A publicação ou o teste falha, ou a tarefa falha, com o seguinte erro: PRINCIPAL needs roles/iam.serviceAccountUser on SERVICE_ACCOUNT (or its project) to use auth config "AUTH_PROFILE_NAME". Se a execução continua depende de como a tarefa está configurada para lidar com erros.	Conceda o papel de Usuário da conta de serviço na conta de serviço especificada no perfil.
Um principal cria ou edita um perfil de autenticação de conta de serviço ou token do OIDC sem permissão para atuar como a conta de serviço especificada.	A gravação do perfil falha com o seguinte erro: PRINCIPAL needs roles/iam.serviceAccountUser on SERVICE_ACCOUNT (or its project) to save this auth config.	Conceda o papel de usuário da conta de serviço na conta nomeada no perfil ao principal que a gerencia.
Um aprovador não tem permissão para atuar como a conta de serviço de execução.	A aprovação ou retomada da execução falha com o seguinte erro: PRINCIPAL needs roles/iam.serviceAccountUser on SERVICE_ACCOUNT (or its project) to resume this execution. A execução permanece pausada até expirar, o que pode fazer com que as aprovações pareçam ter parado de funcionar.	Conceda o papel de usuário da conta de serviço a todos os possíveis aprovadores.
Um principal publica ou testa uma integração sem permissão para atuar como a conta de serviço de execução dela.	PRINCIPAL needs roles/iam.serviceAccountUser on SERVICE_ACCOUNT (or its project) to publish or test this integration. As versões publicadas anteriormente continuam em execução. Se você usar a automação para publicar, esse erro vai aparecer nos registros do pipeline de implantação, e não no console do Google Cloud .	Conceda o papel de usuário da conta de serviço a editores, testadores e contas de serviço de implantação automatizada.
Uma tarefa é executada usando as credenciais do principal que a acionou, e esse principal não tem acesso ao recurso de destino. Em uma nova integração e, a partir de 15 de outubro de 2026, em um teste de qualquer integração, as tarefas JavaScript, Script do transformador de dados e Mapeamento de dados operam dessa maneira.	A execução começa normalmente, mas uma tarefa falha ao referenciar um recurso, mesmo que nenhuma alteração tenha sido feita na integração.	Conceda ao principal acesso ao recurso ou atribua à integração uma conta de serviço de execução que já tenha o acesso necessário. O uso de uma conta de serviço de execução é a abordagem recomendada, porque garante que o acesso da integração permaneça consistente, independentemente de quem a aciona.

Para ver a lista completa de códigos de erro da Application Integration, consulte Códigos de erro.

Erros de papel do IAM

Além de verificar a conta de serviço de execução, o Application Integration verifica as permissões do IAM do autor da chamada para cada ação. Se você encontrar um erro PERMISSION_DENIED ao interagir com uma integração ou se os registros de execução não forem carregados, verifique se você tem um papel que concede as permissões necessárias:

Ação	Funções exigidas
Ver e abrir integrações	roles/integrations.integrationViewer
Ver registros e detalhes de execução	roles/integrations.integrationViewer ou roles/integrations.integrationInvoker
Executar uma integração	roles/integrations.integrationInvoker ou roles/integrations.integrationEditor
Criar e editar integrações	roles/integrations.integrationEditor
Publicar uma integração	roles/integrations.integrationDeployer ou roles/integrations.integrationEditor
Aprovar ou retomar uma execução suspensa	roles/integrations.suspensionResolver ou roles/integrations.integrationAdmin
Acesso total a todas as integrações	roles/integrations.integrationAdmin

Observação: para aprovar ou retomar uma execução suspensa, é necessária a permissão integrations.suspensions.resolve, que não está incluída no papel roles/integrations.integrationEditor. Os aprovadores precisam do papel roles/integrations.suspensionResolver, bem como do papel de usuário da conta de serviço (roles/iam.serviceAccountUser) na conta de serviço de execução.

Observação: os papéis listados acima não permitem modificar as permissões de acesso. A concessão dos papéis e das permissões descritos nesta página requer um papel administrativo separado:

• roles/iam.serviceAccountAdmin para conceder o papel de usuário da conta de serviço em uma conta de serviço.
• roles/resourcemanager.projectIamAdmin para conceder papéis do Application Integration para envolvidos no projeto.

Os proprietários do projeto têm os dois papéis por padrão. Se você não puder atribuir uma concessão, entre em contato com um administrador que tenha as permissões necessárias.

Para conceder um papel, execute o seguinte comando:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member='user:PRINCIPAL' \
    --role='ROLE'

Para saber mais, acesse os recursos a seguir:

• Papéis predefinidos do IAM para ver a lista completa de papéis e as permissões específicas que eles contêm.
• Controle de acesso para detalhes sobre como o Application Integration usa o IAM.

Atenção: se a organização definir o escopo de papéis para integrações individuais usando condições do IAM, a condição precisará corresponder à integração específica que você está acessando. Uma vinculação de papel que concede acesso a uma integração pode não conceder acesso a outra. Se você encontrar erros de permissão mesmo tendo o papel correto, verifique as condições anexadas à vinculação de papel.

Resolver problemas de concessões ineficazes

• Concessão aplicada ao projeto errado: a concessão precisa ser feita no projeto que é proprietário da conta de serviço, que não é necessariamente o projeto que é proprietário da integração.
• Atraso de propagação: as decisões de autorização são armazenadas em cache por um breve período, além dos atrasos de propagação padrão do IAM. Aguarde alguns minutos antes de tentar novamente.
• Várias contas de serviço envolvidas: a conta de serviço de execução, a conta de serviço de cada perfil de autenticação e a conta de serviço de execução de cada subintegração são avaliadas separadamente. Cada uma requer uma concessão explícita.
• Concessão aplicada ao principal errado: para um gatilho de evento do Cloud Scheduler, Cloud Pub/Sub, Eventarc ou Integration Connectors, o principal que requer a concessão é a conta de serviço do gatilho, não sua conta de usuário. Consulte Quem precisa do papel de usuário da conta de serviço.
• Bloqueado por papéis do autor da chamada: o papel de Usuário da Conta de Serviço determina se você pode agir como a conta de serviço de execução. No entanto, um papel do IAM separado determina se você tem permissão para realizar a ação de integração. Consulte Erros de papel do IAM.