部署第二代GCP函数时自定义服务账户自动恢复默认的解决方法

核心前提：确保权限配置正确 #

• 给自定义服务账户添加Cloud Functions Developer角色：允许该账户运行函数并访问所需资源
• 给执行部署操作的个人账号添加Service Account User角色：确保你有权将自定义服务账户分配给函数

控制台部署的正确操作 #

1. 进入Cloud Functions部署页面，填完基本信息后，点击「运行时、构建、连接和安全性设置」展开高级选项
2. 在「运行时」标签下找到「运行时服务账户」，选中你的自定义服务账户
3. 关键步骤：进入部署预览页后，再次核对「运行时服务账户」是否为你选定的自定义账户，避免页面跳转或缓存导致选项重置
4. 确认无误后点击部署

gcloud命令行部署（推荐，规避控制台缓存问题） #

部署时必须显式指定自定义服务账户参数，示例命令：

gcloud functions deploy your-function-name \
  --gen2 \
  --runtime python311 \
  --trigger-http \
  --service-account your-custom-sa@your-project-id.iam.gserviceaccount.com

• 若此前用默认账户部署过该函数，建议先删除函数再重新部署，避免旧配置残留

额外排查方向 #

• 检查自定义服务账户状态：进入IAM > 服务账户页面，确认目标账户处于「启用」状态
• 查看关联Cloud Run服务：第二代函数基于Cloud Run运行，可进入Cloud Run控制台找到对应服务，检查其使用的服务账户是否正确，若有误可直接修改保存

内容的提问来源于stack exchange，提问作者Chris Fotheringham