GCP Cloud Run服务无需显式权限可读取存储桶，本地运行无权限求排查建议

• 检查存储桶的IAM继承与项目级权限
  查看存储桶的IAM设置，确认是否存在项目级的角色绑定——比如项目给服务账号所在的组、域，甚至allAuthenticatedUsers（可能性低但需排查）授予了roles/storage.objectViewer或包含storage.objects.list的权限。另外要确认存储桶是否继承了项目的IAM政策，项目级权限常会向下覆盖到存储资源。

• 验证Cloud Run服务的权限配置
  查看Cloud Run服务的权限范围与绑定策略，用命令输出服务的详细配置：

  gcloud run services describe [你的服务名] --region [部署区域]
  

  重点看serviceAccount字段确认服务账号，再检查oauth2Scopes是否包含https://www.googleapis.com/auth/devstorage.read_only这类存储只读权限范围，以及iamPolicyBindings里是否有未注意到的角色绑定。

• 排查工作负载身份池或身份代理配置
  如果项目用了工作负载身份池，要确认Cloud Run的服务账号是否关联到了池中的身份，而该身份绑定了存储读取角色。部分场景下身份代理会给Cloud Run请求自动附加权限。

• 检查存储桶的条件绑定与默认权限
  查看存储桶的IAM条件规则，是否存在基于请求来源（比如限定Cloud Run）的权限策略，允许服务自动读取。另外检查存储桶的默认对象权限，虽然桶级权限优先，但不排除对象本身设置了特殊权限。

• 核实服务账号的隐式/高权限角色
  有些高权限角色（比如项目编辑器、所有者）会包含存储读取权限，可能你没注意到给服务账号加过这类角色。用命令列出服务账号的所有绑定角色：

  gcloud projects get-iam-policy [你的项目ID] --filter="bindings.members:serviceAccount:[服务账号邮箱]" --format="value(bindings.role)"
  

• 测试Cloud Run的实际权限上下文
  给Cloud Run服务加一段代码打印当前权限，或者启用交互式shell执行命令验证：

  gcloud auth print-access-token
  curl -H "Authorization: Bearer $(gcloud auth print-access-token)" "https://storage.googleapis.com/storage/v1/b/[你的桶名]/o?maxResults=1"
  

  也可以用IAM有效权限命令查看服务账号的实际权限：

  gcloud projects get-iam-policy [你的项目ID] --effective-iam-policy --filter="bindings.members:serviceAccount:[服务账号邮箱]"
  

• 检查组织级IAM政策
  如果项目属于GCP组织，组织级的IAM政策可能给所有项目服务账号授予了存储权限，联系组织管理员确认组织层面的角色绑定。

内容的提问来源于stack exchange，提问作者Alexander