目录里有账号、项目 IAM 里有角色、控制台里仍提示没有许可证，是三套身份各管一段。合成一把服务账号钥匙，新项目上会 403。关键词：Google Workspace、Gemini、IAM、DWD、Discovery Engine目录前言一、三把钥匙各管什么二、顺序：先等委派，再小写建号三、IAM 带条件时不要用单条绑定