Mensagens de erro de permissão

Neste documento, descrevemos as mensagens de erro que podem aparecer se você não tiver as permissões de acesso necessárias para um recurso.

Problemas que causam mensagens de erro de permissão

O console Google Cloud , a Google Cloud CLI e a API REST mostram mensagens de erro quando você tenta acessar um recurso sem permissão.

Essas mensagens de erro podem ser causadas por um dos seguintes motivos:

  • Há uma política de negação que bloqueia o acesso. Se uma política de negação impedir que você use qualquer uma das permissões necessárias, o Google Cloud vai mostrar uma mensagem de erro.
  • Você não tem acesso ao recurso: se você estiver sujeito a alguma política de limite de acesso de principal, o recurso que você está tentando acessar precisará estar incluído nas regras de limite de acesso de principal das políticas. Caso contrário, o Google Cloud vai mostrar uma mensagem de erro.
  • O recurso não existe: se o recurso não existir, o Google Cloud vai mostrar uma mensagem de erro.

As seções a seguir mostram como essas mensagens de erro aparecem no consoleGoogle Cloud , na CLI gcloud e na API REST.

Google Cloud mensagens de erro do console

No console Google Cloud , as mensagens de erro são semelhantes a estas:

Essas mensagens de erro contêm as seguintes informações:

  • O recurso que você tentou acessar:o nome do recurso aparece no título da página de erro e indica o recurso que você estava tentando acessar quando encontrou o erro de permissão.
  • As permissões necessárias ausentes:uma lista das permissões necessárias para acessar o recurso.

  • Uma lista de direitos do Privileged Access Manager com papéis que contêm as permissões necessárias:essa lista não é exaustiva. Ela contém apenas os principais direitos que o Google Cloud sugere para resolver o problema de acesso.

    Essa lista só está disponível para erros de permissão que podem ser resolvidos concedendo mais papéis do IAM.

    Clique em um direito para saber mais sobre ele e solicitar uma concessão. Para saber mais, consulte Solicitar uma concessão de acesso do Privileged Access Manager.

    Se nenhum direito tiver as permissões necessárias, a página de mensagem de erro não vai incluir a lista de direitos.

  • Uma lista de papéis do IAM que contêm as permissões necessárias:essa lista não é exaustiva. Ela contém uma lista selecionada de papéis que oGoogle Cloud sugere para resolver o problema de acesso. A ordem é baseada no tipo de ações permitidas pelo papel, na relevância do serviço e no número de permissões.

    Se você tiver as permissões necessárias para conceder papéis, essa seção será chamada de Selecionar um papel para conceder. Se você não tiver as permissões necessárias, essa seção será chamada de Solicitar um papel específico.

    Clique em uma função para saber mais sobre ela e solicitar que ela seja concedida a você. Se você tiver as permissões necessárias para conceder papéis, poderá atribuir um papel a si mesmo em vez de solicitar.

  • Um URL do Solucionador de problemas de políticas:use este link para navegar até o resumo do Solucionador de problemas de políticas para essa solicitação de acesso.

Mensagens de erro da Google Cloud CLI e da API REST

A mensagem de erro exata depende do comando executado. No entanto, ele normalmente contém as seguintes informações:

  • A permissão necessária
  • O recurso em que você tentou realizar uma ação
  • A conta de autenticação
  • Um identificador exclusivo do erro.
  • Um link para um resumo do Solucionador de problemas de políticas para esse erro

Por exemplo, se você não tiver permissão para listar buckets em um projeto, vai aparecer uma mensagem de erro como esta:

gcloud

ERROR: (gcloud.storage.buckets.list) PERMISSION_DENIED:
EMAIL_ADDRESS does not have
storage.buckets.list access to the Google Cloud project. Permission
'storage.buckets.list' denied on resource (or it may not exist). This command
is authenticated as EMAIL_ADDRESS which
is the active account specified by the [core/account] property.
- '@type': type.googleapis.com/google.rpc.ErrorInfo
  domain: storage.googleapis.com
  metadata:
    permission: storage.buckets.list
    error_info_id: ERROR_ID
  reason: IAM_PERMISSION_DENIED

REST

{
  "error": {
    "code": 403,
    "message": "Permission 'storage.buckets.list' denied on resource (or it may not exist). Remediate access with this Troubleshooter URL or share it with your administrator - https://console.cloud.google.com/iam-admin/troubleshooter;errorId=ERROR_ID .",
    "details": [
      {
        "@type": "type.googleapis.com/google.rpc.ErrorInfo",
        "reason": "forbidden",
        "domain": "global",
        "metadata": {
          "error_info_id": "ERROR_ID",
          "permission": "storage.buckets.list"
        }
      }
    ]
  }
}

A seguir