Mensajes de error de permisos

En este documento, se describen los mensajes de error que puedes encontrar si no tienes los permisos de acceso necesarios para un recurso.

Problemas que causan mensajes de error de permisos

La consola, Google Cloud CLI y la API de REST muestran mensajes de error cuando intentas acceder a un recurso al que no tienes permiso para acceder. Google Cloud

Estos mensajes de error pueden deberse a cualquiera de los siguientes motivos:

  • Hay una política de denegación que bloquea el acceso. Si una política de denegación te impide usar cualquiera de los permisos obligatorios, Google Cloud mostrará un mensaje de error.
  • No cumples con los requisitos para acceder al recurso. Si estás sujeto a alguna política de límite de acceso de las principales, el recurso al que intentas acceder debe incluirse en las reglas de límite de acceso de las principales de las políticas. De lo contrario, Google Cloud mostrará un mensaje de error.
  • El recurso no existe. Si el recurso no existe,Google Cloud muestra un mensaje de error.

En las siguientes secciones, se muestra cómo se ven estos mensajes de error en la consola deGoogle Cloud , gcloud CLI y la API de REST.

Mensajes de error de la consola deGoogle Cloud

En la consola de Google Cloud , los mensajes de error son similares a los siguientes:

Estos mensajes de error contienen la siguiente información:

  • El recurso al que intentaste acceder: El nombre del recurso aparece en el título de la página de error y muestra el recurso al que intentabas acceder cuando se produjo el error de permiso.
  • Los permisos obligatorios faltantes: Es una lista de los permisos que necesitas tener para acceder al recurso.

  • Una lista de derechos del Administrador de acceso con privilegios con roles que contienen los permisos requeridos: Esta lista no es exhaustiva, ya que solo contiene los derechos principales que Google Cloud sugiere para resolver el problema de acceso.

    Esta lista solo está disponible para los errores de permisos que se pueden resolver otorgando roles de IAM adicionales.

    Puedes hacer clic en un derecho para obtener más información sobre él y solicitar un permiso en relación con él. Para obtener más información, consulta Cómo solicitar una concesión de acceso a Privileged Access Manager.

    Si ningún derecho contiene los permisos requeridos, la página del mensaje de error no incluirá la lista de derechos.

  • Una lista de roles de IAM que contienen los permisos requeridos: Esta lista no es exhaustiva, sino que contiene una lista seleccionada de roles queGoogle Cloud sugiere para resolver el problema de acceso. El orden se basa en el tipo de acciones permitidas por el rol, la relevancia del servicio y la cantidad de permisos.

    Si tienes los permisos necesarios para otorgar roles, esta sección se titula Selecciona un rol para otorgar. Si no tienes los permisos necesarios, esta sección se titula Solicita un rol específico.

    Puedes hacer clic en un rol para obtener más información sobre él y solicitar que se te otorgue. Si tienes los permisos necesarios para otorgar roles, puedes otorgarte el rol en lugar de solicitarlo.

Mensajes de error de Google Cloud CLI y la API de REST

La redacción exacta del mensaje de error depende del comando que ejecutes. Sin embargo, suele contener la siguiente información:

  • El permiso requerido
  • El recurso en el que intentaste realizar una acción
  • La cuenta de autenticación

Por ejemplo, si no tienes permiso para mostrar la lista de buckets en un proyecto, verás un mensaje de error como el siguiente:

gcloud

ERROR: (gcloud.storage.buckets.list) HTTPError 403:
EMAIL_ADDRESS does not have
storage.buckets.list access to the Google Cloud project. Permission
'storage.buckets.list' denied on resource (or it may not exist). This command
is authenticated as EMAIL_ADDRESS which
is the active account specified by the [core/account] property.

REST

{
  "error": {
    "code": 403,
    "message": "EMAIL_ADDRESS does not have storage.buckets.list access to the Google Cloud project. Permission 'storage.buckets.list' denied on resource (or it may not exist).",
    "errors": [
      {
        "message": "EMAIL_ADDRESS does not have storage.buckets.list access to the Google Cloud project. Permission 'storage.buckets.list' denied on resource (or it may not exist).",
        "domain": "global",
        "reason": "forbidden"
      }
    ]
  }
}

¿Qué sigue?