Cloud Run微服务外部调用时Pub/Sub发布权限遭拒问题排查

问题原因 #

你的核心问题在于：Pub/Sub Publisher角色（roles/pubsub.publisher）仅授予了pubsub.topics.publish这单一权限——只能直接向已确认存在的主题发布消息。而外部调用微服务时，代码大概率触发了额外的Pub/Sub操作（比如预检查主题是否存在、获取主题元数据等），这些操作需要pubsub.topics.get权限，但Publisher角色不包含该权限。

内部Cron Job调用正常的原因可能是：

• 内部调用时代码未执行主题存在性检查（比如依赖预先创建好的主题，直接跳过验证）；
• 内部环境下存在隐含的权限继承（比如Cron Job的执行身份附带了额外的主题读取权限，但你误以为是微服务的服务账号在执行）。

而Pub/Sub Admin角色（roles/pubsub.admin）包含了所有Pub/Sub操作权限，自然覆盖了这些额外操作的需求，因此外部调用恢复正常。

所需细粒度权限 #

根据最小权限原则，你不需要给服务账号全量Admin权限，只需要添加以下必要权限：

• pubsub.topics.publish：核心权限，用于向目标主题发布消息（Pub/Sub Publisher角色已包含此权限）；
• pubsub.topics.get：如果代码中存在主题存在性验证、元数据读取操作，必须添加此权限；
• （可选）pubsub.topics.list：如果代码需要枚举项目内的主题列表，才需要添加。

权限配置建议 #

将这些权限直接绑定到特定目标主题而非整个项目，进一步缩小权限范围：

1. 打开GCP控制台的Pub/Sub主题页面；
2. 选择目标主题，进入「权限」标签；
3. 添加你的Cloud Run服务账号，分别授予上述所需的单个权限（或直接使用自定义角色组合这些权限）。

验证步骤 #

1. 移除Pub/Sub Admin角色，保留Pub/Sub Publisher；
2. 给服务账号添加pubsub.topics.get权限（针对目标主题）；
3. 测试外部API调用，确认是否正常发布消息；
4. 如果仍报错，检查代码是否有其他Pub/Sub操作（比如创建订阅、修改主题配置等），对应添加所需的单个权限。

内容的提问来源于stack exchange，提问作者Marcel