Après la migration de namespace, plus aucun document d'export n'est généré (403)

Tasdir Export, commissionnaire en douane de Tanger, génère pour ses clients exportateurs les certificats d'origine et factures pro forma (PDF) avec le service generateur-documents, sur le cluster GKE gke-tasdir-prod (europe-west9). Les PDF sont écrits dans le bucket gs://tasdir-documents-prod. Le pod utilise Workload Identity : le compte Kubernetes sa-documents emprunte l'identité du compte Google gsa-documents@tasdir-prod-6630.iam.gserviceaccount.com.

Hier, Mehdi (plateforme) a fait le ménage : le namespace historique docs a été remplacé par documents (nouvelles quotas, NetworkPolicies). Il a recréé le ServiceAccount sa-documents avec la même annotation et redéployé. Les pods sont Running.

Ce matin, aucun document ne sort : les camions attendent leurs certificats au port de Tanger Med. L'équipe soupçonne les droits sur le bucket.

Vous êtes sur le bastion, kubectl pointé sur le cluster (namespace documents), gcloud configuré sur tasdir-prod-6630.