stackdriverにログがはきだされない

Question

pythonコードをローカルから実行し、ログをstackdriverni吐き出そうとしているのですが、上手く行かず。
権限周りに問題があると思い、一番強い権限を付与してみてやってみても変わらず、プロジェクトを違うのにしても上手くいきませんでした。
何か、お気づきの点ありましたら、ご教示いただけると助かります。

エラー

    six.raise_from(exceptions.from_grpc_error(exc), exc)
  File "<string>", line 3, in raise_from
google.api_core.exceptions.PermissionDenied: 403 The caller does not have permission

試したコードその一

import logging
import google.cloud.logging

client = google.cloud.logging.Client('project_name')
client.setup_logging()
logger = logging.getLogger(__name__)
logging.info('This is an error')

試したコードその二

import logging
import google.cloud.logging
from google.cloud.logging.handlers import CloudLoggingHandler

client = google.cloud.logging.Client('project_name')
handler = CloudLoggingHandler(client)
client.setup_logging()
logger = logging.getLogger(__name__)
logger.addHandler(handler)
logging.info('This is an error')

Answer 1

google.api_core.exceptions.PermissionDeniedというエラーなので、Stackdriver Logging APIを無効にしている可能性が考えられます。

コンソールの「APIとサービス」で一度確認してみるといいと思います。

GCP 側の設定は、「サービスアカウント」に役割が付与されているかとAPIが有効になっているかだけだと思います。

別の回答で発言しているようにkeyファイルの指定誤りが想定されるのであれば、以下のコードを追加して、環境変数GOOGLE_APPLICATION_CREDENTIALSが正しい値になっているか確認してみてください。

import os
print(os.environ['GOOGLE_APPLICATION_CREDENTIALS'])

それでもだめであれば、環境変数GOOGLE_APPLICATION_CREDENTIALSのexportをすべて削除して、以下のようにすると

import logging
import google.cloud.logging

client = google.cloud.logging.Client()
client.setup_logging()
logger = logging.getLogger(__name__)
logging.info('This is an error')

エラーメッセージは、以下のように変わります。

google.auth.exceptions.DefaultCredentialsError: Could not automatically determine credentials. Please set GOOGLE_APPLICATION_CREDENTIALS or explicitly create credentials and re-run the application. 

そこで、from_service_account_jsonを使ってkeyファイルを指定します。

import logging
import google.cloud.logging

client = google.cloud.logging.Client.from_service_account_json('keyファイルへのpath')
client.setup_logging()
logger = logging.getLogger(__name__)
logging.info('This is an error')

そこで表示されるエラーメッセージによって対応するといいです。なお、keyファイルへのpathは始めはフルパスで入力した方がいいです。

Comments

[sequelanonymous]

コメントありがとうございます。APIは有効になってました。

[YasuhiroNiji]

回答を追加しました

[sequelanonymous]

ありがとうございます。やってみましたが、エラー文言に変化はありませんでした。

[YasuhiroNiji]

環境変数 'GOOGLE_APPLICATION_CREDENTIALS' の設定をせずに、project_name の指定もしなかったら、permission よりも前に logging のクライアントがどのprojectに接続にいっていいかわからないじゃないですか。だからエラー文言は変わります。

エラー文言が変わらないというのは、環境変数 'GOOGLE_APPLICATION_CREDENTIALS' を別の場所で設定していてそれを忘れているのではないですか。

[YasuhiroNiji]

GOOGLE_APPLICATION_CREDENTIALSのexportをすべて削除して、エラーメッセージが変化するかどうかは重要なところです。そう変更したとしても、エラーメッセージが変わらないというのであれば、上記以外に、使用している google.cloud.logging のパッケージが古いという可能性があります。

[sequelanonymous]

ありがとうございます。解決しました。
GOOGLE_APPLICATION_CREDENTIALSに設定しているkeyを作成したサービスアカウントの権限がことなっていました。

Answer 2

403 The caller does not have permission

「呼び出し元に権限がありません」とあります。

通常何かのAPIを呼び出すときには認証や認可の仕組みがあります。（何もなかったらプロジェクト名だけ指定すれば誰でもログを書き込めたりしてしまいますよね。）
StackDriver Logging を呼び出すときに認証などをしていると思うのですが、認証されたサービスアカウントにログを書き込む権限がないのだと思います。
IAMの権限を再確認してください。

Comments

[sequelanonymous]

コメントありがとうございます。それが権限は一番強いオーナー権限です。key のjsonファイルのパスを指定する必要があってやり方が間違っているのかなだと思ったりはしています。一度試してみましたが。

[mather]

それはあなたがコンソールログインしたときの権限の話でしょうか？
通常は「サービスアカウント」を作成し権限を絞った状態でクライアントからアクセスすることが多いと思うのですが、そうなっていないのでしょうか。
ちなみに「プロジェクトが違う」というオチもないですよね？

[sequelanonymous]

> 通常は「サービスアカウント」を作成し権限を絞った状態でクライアントからアクセスすることが多いと思うのですが、そうなっていないのでしょうか
最初は、それでやっていてできなかったので権限をなんでもできるものに変えて試しています。

現状、一つだけしかプロジェクトがないです。