部署Google Cloud Function遇服务账号错误求助

问题复现 #

部署Gen1版本Cloud Function时遇到两类服务账号报错：

• 指定自定义服务账号my-service-account@myproject.iam.gserviceaccount.com时，提示账号无效
• 不指定服务账号时，提示默认App Engine服务账号myproject@appspot.gserviceaccount.com不存在

已知两个账号均已创建并启用，权限配置符合要求：默认账号拥有Editor角色，自定义账号已分配Service Account User等必要权限，且已尝试两种部署方式、验证账号状态与权限，但问题未解决。

具体排查步骤 #

1. 核对账号邮箱与项目ID的准确性 #

• 用gcloud iam service-accounts list命令列出当前项目下所有服务账号，对比输出中的邮箱与你使用的账号是否完全一致（注意项目ID是小写，避免拼写错误）
• 确认自定义账号的邮箱格式为[ACCOUNT_NAME]@[PROJECT_ID].iam.gserviceaccount.com，默认App Engine账号格式为[PROJECT_ID]@appspot.gserviceaccount.com

2. 确认服务账号未被禁用 #

• 执行gcloud iam service-accounts describe [ACCOUNT_EMAIL]，查看输出中disabled字段的值，确保为false
• 如果账号被禁用，执行gcloud iam service-accounts enable [ACCOUNT_EMAIL]重新启用

3. 检查部署上下文的项目一致性 #

• 用gcloud config get-value project确认当前gcloud CLI的默认项目是否为目标部署项目
• 若通过Cloud Console部署，确认页面右上角的项目选择无误，避免跨项目引用服务账号

4. 补全自定义服务账号的必要权限 #

• 除Service Account User外，自定义账号还需拥有roles/cloudfunctions.developer角色（部署Cloud Function的核心权限）
• 检查组织级IAM政策是否存在限制，比如是否禁用了自定义服务账号部署Cloud Function的规则

5. 修复默认App Engine服务账号异常 #

• 即使之前创建过App Engine应用，重新执行gcloud app create --region=[你的区域]（不会影响现有资源），触发默认账号的状态同步
• 用gcloud projects get-iam-policy [PROJECT_ID] --filter="bindings.members:serviceAccount:[PROJECT_ID]@appspot.gserviceaccount.com"确认该账号的角色绑定是否存在

6. 排查部署命令/配置的语法错误 #

• 若使用gcloud CLI部署，指定服务账号的命令格式应为：

  gcloud functions deploy [FUNCTION_NAME] --service-account=my-service-account@myproject.iam.gserviceaccount.com --runtime=[RUNTIME] --trigger-http [其他参数]
  

• 避免在账号邮箱中添加多余空格、引号或特殊字符

内容的提问来源于stack exchange，提问作者Sneha Mondal