配置GCP Cloud Build IaC时无法找到Cloud Build服务账号

问题分析 #

Cloud Build默认服务账号在触发器页面不显示，是因为触发器页面默认只展示用户创建的服务账号，而Cloud Build的默认服务账号属于GCP托管的系统账号，不在常规列表里。设为首选账号后出现权限问题，是因为editor角色虽然权限范围广，但可能缺少服务账号扮演（actAs）的关键权限，或是触发器执行时的上下文权限范围不符合预期。

解决方案步骤 #

1. 直接手动指定默认服务账号 #

创建触发器时，无需在下拉列表中查找，直接手动输入默认服务账号的完整邮箱地址：

# 先获取账号邮箱（你已用过该命令）
CLOUDBUILD_SA="$(gcloud projects describe $PROJECT_ID --format 'value(projectNumber)')@cloudbuild.gserviceaccount.com"

将命令输出的邮箱地址粘贴到触发器的服务账号输入框，保存即可。

2. 补充必要权限修复报错 #

如果手动指定后仍有权限问题，给默认服务账号添加服务账号令牌创建者角色，确保它能正确完成服务账号扮演操作：

gcloud projects add-iam-policy-binding $PROJECT_ID \
    --member serviceAccount:$CLOUDBUILD_SA \
    --role roles/iam.serviceAccountTokenCreator

同时检查Terraform配置中涉及的资源（如GKE集群、Cloud Storage桶等），确认editor角色覆盖了这些资源的权限，若有缺失，补充对应的细粒度角色。

3. 验证配置有效性 #

创建触发器后手动触发一次构建，查看日志中的权限报错信息，针对性调整IAM绑定。若日志提示缺少特定权限，直接给服务账号添加对应角色即可。

内容的提问来源于stack exchange，提问作者grostaco