触发Pub/Sub Topic调用Cloud Function时遭遇403认证错误

• 确认调用方身份：触发你Cloud Function的确实是Pub/Sub的系统服务账号，格式为service-<你的项目ID>@gcp-sa-pubsub.iam.gserviceaccount.com，这个账号需要拥有roles/cloudfunctions.invoker角色才能合法调用函数。

• 之前权限配置的误区：你给Cloud Function自身的服务账号分配pubsub.editor和storage.user角色没用，因为这些是函数执行阶段用来访问Pub/Sub或存储资源的权限，而不是被调用阶段的认证权限。问题核心是调用方（Pub/Sub的系统SA）没有调用函数的权限，而非函数本身缺执行权限。

• cloudfunctions.functions.setIamPolicy权限的关联：这个权限和你当前的问题直接相关。不管是给Pub/Sub的SA添加调用权限，还是给函数开放allUsers访问，都需要修改函数的IAM策略，而修改IAM策略必须拥有cloudfunctions.functions.setIamPolicy权限（该权限通常包含在roles/cloudfunctions.admin或roles/owner角色中）。你当前缺失这个权限，导致无法配置正确的调用权限，这正是触发认证错误的关键原因。

• 解决步骤：

  1. 先确认当前操作账号拥有roles/cloudfunctions.admin或roles/owner角色（或直接持有cloudfunctions.functions.setIamPolicy权限）
  2. 定位到Pub/Sub的系统服务账号（格式如上文），给它分配roles/cloudfunctions.invoker角色，并绑定到你的Cloud Function资源上
  3. 避免使用allUsers权限（仅测试场景可用），否则会导致函数公开可访问，存在安全风险

内容的提问来源于stack exchange，提问作者Joaquin Garcia