Messaggi di errore di autorizzazione

Questo documento descrive i messaggi di errore che potresti riscontrare se non disponi delle autorizzazioni di accesso richieste per una risorsa.

Problemi che causano messaggi di errore di autorizzazione

La console Google Cloud , Google Cloud CLI e l'API REST mostrano messaggi di errore quando tenti di accedere a una risorsa per cui non disponi dell'autorizzazione.

Questi messaggi di errore possono essere causati da uno dei seguenti motivi:

  • Esiste un criterio di negazione che blocca l'accesso. Se un'norma di negazione ti impedisce di utilizzare una delle autorizzazioni richieste, Google Cloud mostra un messaggio di errore.
  • Non hai l'idoneità per accedere alla risorsa. Se sei soggetto a policy di Principal Access Boundary, la risorsa a cui stai tentando di accedere deve essere inclusa nelle regole di Principal Access Boundary delle policy. In caso contrario, Google Cloud visualizza un messaggio di errore.
  • La risorsa non esiste. Se la risorsa non esiste,Google Cloud visualizza un messaggio di errore.

Le sezioni seguenti mostrano l'aspetto di questi messaggi di errore per la consoleGoogle Cloud , gcloud CLI e l'API REST.

Google Cloud Messaggi di errore della console

Nella console Google Cloud , i messaggi di errore sono simili ai seguenti:

Questi messaggi di errore contengono le seguenti informazioni:

  • La risorsa a cui hai tentato di accedere: il nome della risorsa viene visualizzato nel titolo della pagina di errore e indica la risorsa a cui stavi tentando di accedere quando si è verificato l'errore di autorizzazione.
  • Autorizzazioni obbligatorie mancanti:un elenco delle autorizzazioni necessarie per accedere alla risorsa.

  • Un elenco di diritti di Privileged Access Manager con ruoli che contengono le autorizzazioni richieste: questo elenco non è esaustivo, ma contiene solo i diritti principali che Google Cloud suggerisce per risolvere il problema di accesso.

    Questo elenco è disponibile solo per gli errori di autorizzazione che possono essere risolti concedendo ruoli IAM aggiuntivi.

    Puoi fare clic su un diritto per saperne di più e per richiedere una concessione in base al diritto. Per saperne di più, consulta Richiedere una concessione di accesso al Gestore degli accessi con privilegi.

    Se nessun diritto contiene le autorizzazioni richieste, la pagina del messaggio di errore non include l'elenco dei diritti.

  • Un elenco di ruoli IAM che contengono le autorizzazioni richieste: Questo elenco non è esaustivo: contiene un elenco selezionato di ruoli che Google Cloud suggerisce di risolvere il problema di accesso. L'ordinamento si basa sul tipo di azioni consentite dal ruolo, sulla pertinenza del servizio e sul numero di autorizzazioni.

    Se disponi delle autorizzazioni necessarie per concedere ruoli, questa sezione si intitola Seleziona un ruolo da concedere. Se non disponi delle autorizzazioni richieste, questa sezione si chiama Richiedi un ruolo specifico.

    Puoi fare clic su un ruolo per saperne di più e richiedere che ti venga concesso. Se disponi delle autorizzazioni necessarie per concedere i ruoli, puoi concederti il ruolo anziché richiederlo.

Messaggi di errore di Google Cloud CLI e dell'API REST

Il testo esatto del messaggio di errore dipende dal comando eseguito. Tuttavia, in genere contiene le seguenti informazioni:

  • L'autorizzazione richiesta
  • La risorsa su cui hai tentato di eseguire un'azione
  • L'account di autenticazione

Ad esempio, se non hai l'autorizzazione per elencare i bucket in un progetto, viene visualizzato un messaggio di errore simile al seguente:

gcloud

ERROR: (gcloud.storage.buckets.list) HTTPError 403:
EMAIL_ADDRESS does not have
storage.buckets.list access to the Google Cloud project. Permission
'storage.buckets.list' denied on resource (or it may not exist). This command
is authenticated as EMAIL_ADDRESS which
is the active account specified by the [core/account] property.

REST

{
  "error": {
    "code": 403,
    "message": "EMAIL_ADDRESS does not have storage.buckets.list access to the Google Cloud project. Permission 'storage.buckets.list' denied on resource (or it may not exist).",
    "errors": [
      {
        "message": "EMAIL_ADDRESS does not have storage.buckets.list access to the Google Cloud project. Permission 'storage.buckets.list' denied on resource (or it may not exist).",
        "domain": "global",
        "reason": "forbidden"
      }
    ]
  }
}

Passaggi successivi