跨不同项目设置发布/订阅订阅？

Question

在我的 GCP 项目（项目 A）中，我创建了一个 Pub/sub 主题（topicA），并且在此 pub/sub 主题中发布的消息需要在订阅 (subscriptionB) 的其他 GCP 项目（项目 B）。

subscriptionB的推荐设置方式是什么？

1. 在项目 A 中定义 subscriptionB，并从项目 B 中添加具有适当 IAM 权限的服务帐户。
2. 在项目 B 中定义 subscriptionB。在云控制台中，可以通过授予 pubsub.topic.attachSubscription 来附加来自不同主题的订阅（如下所示）。

方法 2 甚至可能吗？如果是，那么何时使用方法 2 以及方法 2 需要做什么？

Answer 1

可以有两种方法，也有第三种。

1. 在项目 B 的服务帐户上，在项目 A 的订阅（或项目）上使用角色 roles/pubsub.subscriber
2. 您需要在项目 A 上拥有您想要的主题（或项目）的角色 roles/pubsub.subscriber。如消息中所定义，您至少需要该主题（或项目）。为此，如果您只想授予此权限，则可以创建 custom role 和 not the 2 others of the role roles/pubsub.subscriber
3. 第三种方案是在方案1的基础上，在项目A中创建订阅，但是是Push订阅，将消息推送到HTTP端点。这次Project B不需要认证。但是，如果您想保护您的 HTTP 端点（例如部署在 Cloud Run 或 Cloud Functions 上），您将需要 projectB 中的 in the push subscription in the projectA, to have the correct authorization to call the endpoint