GCP Cloud Run生成Cloud Storage V4签名URL时提示'missing required GoogleAccessID'

我在Google Cloud Run上部署了一个Go应用，需要为Google Cloud Storage中的对象生成V4签名URL。本地环境中使用Go Storage客户端调用以下代码：

signedURL, err := storage.SignedURL(bucketName, objectPath, &storage.SignedURLOptions{
    Scheme:  storage.SigningSchemeV4,
    Method:  "GET",
    Expires: time.Now().Add(15 * time.Minute),
})

本地编译正常，但在Cloud Run上的日志中出现如下错误：

failed to generate signed URL: storage: missing required GoogleAccessID

此外，本地使用服务账号凭证JSON文件运行时也出现相同错误（该文件目前可正常向Cloud Storage上传图片）。我已为Cloud Run服务分配该服务账号，且在项目级别为其授予了roles/iam.serviceAccountTokenCreator角色，同时已启用IAM Credentials API。请问还遗漏了什么配置？

核心问题是调用storage.SignedURL时未明确指定签名所需的服务账号标识及签名逻辑，即使权限配置正确，SDK也无法自动获取所需参数。以下是针对性修复：

1. 本地环境（使用服务账号JSON文件） #

加载服务账号凭证并提取邮箱作为GoogleAccessID，同时通过IAM Credentials API完成签名：

import (
    "context"
    "fmt"
    "time"
    "cloud.google.com/go/storage"
    "golang.org/x/oauth2/google"
    "google.golang.org/api/iamcredentials/v1"
)

func generateSignedURL(ctx context.Context, bucketName, objectPath string) (string, error) {
    // 加载默认凭证（读取GOOGLE_APPLICATION_CREDENTIALS环境变量指向的JSON文件）
    creds, err := google.FindDefaultCredentials(ctx, storage.ScopeReadWrite)
    if err != nil {
        return "", err
    }

    saEmail := creds.ServiceAccountEmail
    if saEmail == "" {
        return "", fmt.Errorf("无法从凭证中获取服务账号邮箱")
    }

    signedURL, err := storage.SignedURL(bucketName, objectPath, &storage.SignedURLOptions{
        Scheme:         storage.SigningSchemeV4,
        Method:         "GET",
        Expires:        time.Now().Add(15 * time.Minute),
        GoogleAccessID: saEmail,
        // 通过IAM Credentials API签名，无需手动管理私钥
        SignBytes: func(b []byte) ([]byte, error) {
            iamClient, err := iamcredentials.NewService(ctx, google.WithCredentials(creds))
            if err != nil {
                return nil, err
            }
            req := iamClient.Projects.ServiceAccounts.SignBlob(
                "projects/-/serviceAccounts/"+saEmail,
                &iamcredentials.SignBlobRequest{Payload: b},
            )
            resp, err := req.Do()
            if err != nil {
                return nil, err
            }
            return resp.SignedBlob, nil
        },
    })
    return signedURL, err
}

2. Cloud Run环境 #

利用Cloud Run的元数据服务器获取服务账号信息，签名逻辑与本地一致：

import (
    "context"
    "time"
    "cloud.google.com/go/storage"
    "google.golang.org/api/iamcredentials/v1"
)

func generateSignedURL(ctx context.Context, bucketName, objectPath string) (string, error) {
    // 从元数据服务器获取当前服务账号邮箱
    saEmail, err := storage.ServiceAccount(ctx)
    if err != nil {
        return "", err
    }

    signedURL, err := storage.SignedURL(bucketName, objectPath, &storage.SignedURLOptions{
        Scheme:         storage.SigningSchemeV4,
        Method:         "GET",
        Expires:        time.Now().Add(15 * time.Minute),
        GoogleAccessID: saEmail,
        SignBytes: func(b []byte) ([]byte, error) {
            iamClient, err := iamcredentials.NewService(ctx)
            if err != nil {
                return nil, err
            }
            req := iamClient.Projects.ServiceAccounts.SignBlob(
                "projects/-/serviceAccounts/"+saEmail,
                &iamcredentials.SignBlobRequest{Payload: b},
            )
            resp, err := req.Do()
            if err != nil {
                return nil, err
            }
            return resp.SignedBlob, nil
        },
    })
    return signedURL, err
}

关键检查项 #

• 确认roles/iam.serviceAccountTokenCreator角色是直接绑定到目标服务账号，而非通过角色继承（如项目编辑器角色不包含该权限）。
• 本地测试时，确保GOOGLE_APPLICATION_CREDENTIALS环境变量正确指向服务账号JSON文件路径。
• 无需手动管理服务账号私钥，使用IAM Credentials API签名是托管环境下的安全最佳实践。

内容的提问来源于stack exchange，提问作者Nicolas Gimelli