部署Gen2 Cloud Function遇组织政策权限错误，寻求解决方法

问题背景 #

我尝试使用以下gcloud命令部署名为generate_image的Gen2 Cloud Function：

gcloud functions deploy generate_image  
    --gen2 
    --runtime=python310 
    --region=europe-west3 
    --source=. 
    --entry-point=generate_image 
    --trigger-http 
    --allow-unauthenticated

执行后遇到错误：

ERROR: (gcloud.functions.deploy) ResponseError: status=[400], code=[Ok], message=[One or more users named in the policy do not belong to a permitted customer, perhaps due to an organization policy.]

已确认自身拥有项目Owner权限，且知晓错误源于组织政策限制允许部署函数的身份，但问题仍未解决，需要可行的解决方案。

解决方案 #

1. 排查并调整组织政策限制 #

检查iam.allowedPolicyMemberDomains政策

该政策限制了可添加到IAM政策的用户/身份域名，部署时添加allUsers（由--allow-unauthenticated触发）可能违反政策：

• 查看组织级政策配置：

  gcloud resource-manager org-policies describe constraints/iam.allowedPolicyMemberDomains --organization=你的组织ID
  

• 若政策处于强制状态且未包含允许allUsers的规则，需联系组织管理员修改政策，要么添加allUsers到允许列表，要么调整政策范围适配部署需求。

检查cloudfunctions.allowedIngressSettings政策

该政策限制Cloud Function的访问入口类型，--allow-unauthenticated需要允许开放访问：

• 查看政策配置：

  gcloud resource-manager org-policies describe constraints/cloudfunctions.allowedIngressSettings --organization=你的组织ID
  

• 确保政策包含ALLOW_ALL选项，否则无法开放未认证访问。

2. 调整部署命令规避政策限制 #

若无法修改组织政策，可先关闭未认证访问部署，再手动添加特定权限：

1. 不带--allow-unauthenticated部署函数：

   gcloud functions deploy generate_image  
       --gen2 
       --runtime=python310 
       --region=europe-west3 
       --source=. 
       --entry-point=generate_image 
       --trigger-http
   

2. 部署成功后，给特定用户或服务账号添加调用权限：

   gcloud functions add-iam-policy-binding generate_image \
       --gen2 \
       --region=europe-west3 \
       --member="user:你的邮箱@域名.com" \
       --role="roles/cloudfunctions.invoker"
   

   如需服务账号访问，替换member为serviceAccount:你的服务账号@项目ID.iam.gserviceaccount.com。

3. 验证当前认证身份与权限 #

• 确认当前gcloud使用的账号属于组织允许的范围：

  gcloud auth list
  

  若使用的账号不符合要求，切换到组织内的合法账号：

  gcloud auth login 合法邮箱@域名.com
  

• 验证当前账号的项目Owner权限是否生效：

  gcloud projects get-iam-policy 你的项目ID --filter="bindings.members:user:你的邮箱@域名.com"
  

内容的提问来源于stack exchange，提问作者DarioB