Cloud Build触发器因错误项目ID触发PERMISSION_DENIED问题求助

问题描述 #

在GCP中使用Cloud Build结合GitHub触发器搭建CI/CD流水线时，触发构建出现错误：

Failed to trigger build: Permission 'cloudbuild.builds.create' denied on resource 'projects/00000045af180780' (or it may not exist)

触发器能被正常识别，但尝试访问错误的项目ID（00000045af180780）而非目标项目（example-project），导致构建失败。

自定义cloudbuild.yaml用于构建并部署Docker容器到Cloud Run，通过gcloud CLI手动部署可正常完成，配置内容如下：

steps:
  - name: 'gcr.io/cloud-builders/docker'
    id: Build Docker image
    args:
      - 'build'
      - '-t'
      - 'example-region-docker.pkg.dev/example-project/cloud-run-source-deploy/example-service'
      - '.'  

  - name: 'gcr.io/cloud-builders/docker'
    id: Push Docker image
    args:
      - 'push'
      - 'example-region-docker.pkg.dev/example-project/cloud-run-source-deploy/example-service'

  - name: 'gcr.io/cloud-builders/gcloud'
    id: Deploy to Cloud Run
    args:
      - 'run'
      - 'deploy'
      - 'example-service'  
      - '--image=example-region-docker.pkg.dev/example-project/cloud-run-source-deploy/example-service'  
      - '--platform=managed'
      - '--region=example-region'  
      - '--allow-unauthenticated'  

timeout: '1200s'  

所用服务账号已配置IAM角色：Cloud Build Editor、Cloud Run Admin、Cloud Run Invoker、Artifact Registry Administrator、Storage Admin、Cloud Build WorkerPool Owner及其他相关角色。

GitHub触发器配置：分支规则^main$，构建配置cloudbuild.yaml。推送至main分支时触发器触发，但访问错误项目ID。

已尝试操作：确认服务账号权限、检查IAM角色、重新创建触发器、验证GitHub webhook、确认gcloud config配置正确项目，问题仍未解决。

需解决：

1. 如何修复Cloud Build使用错误项目ID导致的PERMISSION_DENIED问题？
2. 需额外验证服务账号的哪些IAM角色/权限？
3. 如何确保Cloud Build触发器在控制台中正确关联目标项目ID？

解决方案 #

一、修复错误项目ID关联问题 #

• 检查触发器所属项目：进入GCP控制台Cloud Build触发器页面，确认当前触发器所在项目为example-project。若触发器创建时选错项目，直接删除后在目标项目中重新创建。
• 验证GitHub Webhook地址：登录GitHub仓库的Settings -> Webhooks页面，查看Cloud Build配置的Webhook的Payload URL，确认URL中包含的项目ID是example-project。若地址错误，删除现有Webhook，在GCP目标项目中重新创建触发器以生成正确的Webhook。
• 排查cloudbuild.yaml隐式配置：检查yaml文件是否存在substitutions字段意外覆盖项目ID的情况，若有则删除或修正该字段。

二、额外验证服务账号权限 #

• 确认服务账号所属项目：使用命令gcloud iam service-accounts list --project example-project，验证当前触发器使用的服务账号属于目标项目，而非错误项目下的账号。
• 验证核心权限绑定：
  • 在GCP IAM页面搜索服务账号，确认其在example-project下已绑定Cloud Build Editor角色（该角色包含cloudbuild.builds.create权限），且绑定关系未关联到错误项目。
  • 检查服务账号是否拥有resourcemanager.projects.get权限，该权限用于识别项目合法性，可通过添加Project Viewer角色或直接授予该权限验证。

三、确保触发器与目标项目正确关联 #

• 创建触发器前锁定项目：在GCP控制台创建触发器前，先通过顶部项目选择器切换到example-project，再进入Cloud Build触发器页面操作，避免跨项目创建。
• CLI验证触发器归属：
  • 执行gcloud builds triggers list --project example-project，确认目标触发器在输出列表中。
  • 执行gcloud builds triggers describe <TRIGGER_NAME> --project example-project，查看输出的project字段是否为example-project。

内容的提问来源于stack exchange，提问作者William Lin