GCloud Vision API’s NewImageAnnotatorClient lanzando “Permission Denied” usando la opción WithCredentialsFile.

Tengo dos proyectos de GCP, projectA para recursos de Kubernetes y projectB para product-search-api y la base de datos Spanner. Creé una cuenta de servicio en projectB con los permisos necesarios y monté su credentials.json en el servicio de projectA como variable de entorno GOOGLE_APPLICATION_CREDENTIALS y funciona bien.

Pero debido a esto, hay algunos problemas de permisos para el servicio que utiliza funciones en projectA, por ejemplo, el monitoreo de stackdriver, etc. Podría otorgar estos permisos a la cuenta de servicio que creé, pero luego encontré una ClientOption - withCredentialsFile.

Tenía planeado usar esta opción sin modificar la variable de entorno GOOGLE_APPLICATION_CREDENTIALS en el servicio, es decir, seguir usando las credenciales de projectA. Entonces, lo pasé al cliente de Spanner de la siguiente manera y funciona bien:


client, err := spanner.NewClientWithConfig(contexto, dbn, spanner.ClientConfig{
SessionPoolConfig: spanner.SessionPoolConfig{
MaxIdle: 100,
},
}, option.WithCredentialsFile(cfg.CredsPathtoProjectB))


Pero cuando lo paso a vision.NewImageAnnotatorClient para hacer una solicitud a ProductSearchAPI, obtengo Permiso denegado.

c, err := vision.NewImageAnnotatorClient(contexto, option.WithCredentialsFile(cfg.CredsPathtoProjectB))
ictx := &pb.ImageContext{
    ProductSearchParams: &pb.ProductSearchParams{
        ProductSet:        fmt.Sprintf("projects/%s/locations/%s/productSets/%s", cfg.ProjectID, cfg.ProjectLocation, cfg.ProductSetID),
        ProductCategories: []string{cfg.ProductCategory},
        Filter:            filter,
    },
}
response, err := c.AnnotateImage(contexto, &pb.AnnotateImageRequest{
    Image:        img,
    ImageContext: ictx,
    Features:     []*pb.Feature{{Type: visionpb.Feature<em>PRODUCT</em>SEARCH, 
    MaxResults: int32(maxItems)}},
})

"response:" : "error: {code:7 message:\"Permiso denegado.\"}"
```

Podría usar las mismas credenciales para solicitar la API de búsqueda de productos cuando sobrescriba GOOGLE_APPLICATION_CREDENTIALS. ¿Estoy cometiendo algún error?