Mensagens de erro de permissão

Neste documento, descrevemos as mensagens de erro que podem aparecer se você não tiver as permissões de acesso necessárias para um recurso.

Problemas que causam mensagens de erro de permissão

O console Google Cloud , a Google Cloud CLI e a API REST mostram mensagens de erro quando você tenta acessar um recurso sem permissão.

Essas mensagens de erro podem ser causadas por um dos seguintes motivos:

  • Há uma política de negação que bloqueia o acesso. Se uma política de negação impedir que você use qualquer uma das permissões necessárias, o Google Cloud vai mostrar uma mensagem de erro.
  • Você não atende aos requisitos para acessar o recurso. Se você estiver sujeito a alguma política de limite de acesso de principal, o recurso que você está tentando acessar precisará estar incluído nas regras de limite de acesso de principal das políticas. Caso contrário, Google Cloud vai mostrar uma mensagem de erro.
  • O recurso não existe. Se o recurso não existir, o Google Cloud vai mostrar uma mensagem de erro.

As seções a seguir mostram como essas mensagens de erro aparecem no consoleGoogle Cloud , na CLI gcloud e na API REST.

Google Cloud mensagens de erro do console

No console Google Cloud , as mensagens de erro são semelhantes a estas:

Essas mensagens de erro contêm as seguintes informações:

  • O recurso que você tentou acessar:o nome do recurso aparece no título da página de erro e indica o recurso que você estava tentando acessar quando encontrou o erro de permissão.
  • As permissões necessárias ausentes:uma lista das permissões necessárias para acessar o recurso.

  • Uma lista de direitos do Privileged Access Manager com papéis que contêm as permissões necessárias:essa lista não é exaustiva. Ela contém apenas os principais direitos que o Google Cloud sugere para resolver o problema de acesso.

    Essa lista só está disponível para erros de permissão que podem ser resolvidos concedendo mais papéis do IAM.

    Clique em um direito para saber mais sobre ele e solicitar uma concessão. Para saber mais, consulte Solicitar uma concessão de acesso do Privileged Access Manager.

    Se nenhum direito tiver as permissões necessárias, a página de mensagem de erro não vai incluir a lista de direitos.

  • Uma lista de papéis do IAM que contêm as permissões necessárias:essa lista não é exaustiva. Ela contém uma lista selecionada de papéis que oGoogle Cloud sugere para resolver o problema de acesso. A ordem é baseada no tipo de ações permitidas pelo papel, na relevância do serviço e no número de permissões.

    Se você tiver as permissões necessárias para conceder papéis, essa seção vai se chamar Selecionar um papel para conceder. Se você não tiver as permissões necessárias, essa seção vai se chamar Solicitar uma função específica.

    Clique em um papel para saber mais sobre ele e pedir que ele seja concedido a você. Se você tiver as permissões necessárias para conceder papéis, poderá atribuir um papel a si mesmo em vez de solicitar.

Mensagens de erro da Google Cloud CLI e da API REST

A redação exata da mensagem de erro depende do comando executado. No entanto, ele normalmente contém as seguintes informações:

  • A permissão necessária
  • O recurso em que você tentou realizar uma ação
  • A conta de autenticação

Por exemplo, se você não tiver permissão para listar buckets em um projeto, vai aparecer uma mensagem de erro como esta:

gcloud

ERROR: (gcloud.storage.buckets.list) HTTPError 403:
EMAIL_ADDRESS does not have
storage.buckets.list access to the Google Cloud project. Permission
'storage.buckets.list' denied on resource (or it may not exist). This command
is authenticated as EMAIL_ADDRESS which
is the active account specified by the [core/account] property.

REST

{
  "error": {
    "code": 403,
    "message": "EMAIL_ADDRESS does not have storage.buckets.list access to the Google Cloud project. Permission 'storage.buckets.list' denied on resource (or it may not exist).",
    "errors": [
      {
        "message": "EMAIL_ADDRESS does not have storage.buckets.list access to the Google Cloud project. Permission 'storage.buckets.list' denied on resource (or it may not exist).",
        "domain": "global",
        "reason": "forbidden"
      }
    ]
  }
}

A seguir