Cloud Tasks调用Cloud Run Jobs时认证失败问题求助

核心问题定位 #

结合你手动调用成功、Cloud Run无调用记录的现象，UNAUTHORIZED错误大概率是OIDC令牌受众（audience）配置不符合Google Cloud API要求，或是任务请求细节存在偏差。以下是具体排查和修正步骤：

1. 修正OIDC Audience配置 #

调用Google Cloud API（如Cloud Run Job的v2 API）时，OIDC令牌的audience必须设置为API根域名，而非具体endpoint路径。你当前代码中使用完整URL作为audience是错误的：

错误配置：

audience: url, // 即 "https://run.googleapis.com/v2/projects/my-project-id/locations/us-west1/jobs/process-item:run"

正确配置：

audience: "https://run.googleapis.com",

Google Cloud API会验证令牌受众是否匹配API服务根域名，而非具体接口路径。你手动调用成功时，gcloud生成的令牌默认受众就是API根域名，这也是手动调用正常的核心原因。

2. 验证请求Body结构正确性 #

Cloud Run Job run API的请求体需严格符合v2版本格式，你当前的overrides结构存在格式错误：args应为字符串数组，而非单个字符串。

修正后的Body示例：

body: Buffer.from(JSON.stringify({
  overrides: {
    containerOverrides: [{
      args: ["--item-id=123"] // 改为数组格式
    }]
  }
})).toString("base64"),

3. 确认IAM角色绑定范围 #

确保Cloud Tasks服务账号的自定义角色（包含run.jobs.runWithOverrides等权限）直接绑定到目标Cloud Run Job "process-item"，而非仅绑定到项目级别。仅项目级绑定可能存在权限生效延迟或范围不匹配问题。

4. 查看Cloud Tasks详细错误日志 #

在Cloud Console的Cloud Tasks队列详情页，查看任务执行日志，里面会包含UNAUTHORIZED错误的具体原因（如令牌验证失败的细节），可进一步定位问题。

内容的提问来源于stack exchange，提问作者Jordankid93