部署Cloud Function(gen-2)设为公开访问时IAM策略更新失败求助

问题原因 #

你遇到的错误是因为你的Google Cloud组织启用了**constraints/iam.allowedPolicyMemberDomains**组织策略，该策略强制要求所有IAM权限的主体必须属于指定的域名范围。而设置“允许未经验证的调用”本质是给allUsers（所有互联网用户）或allAuthenticatedUsers（所有已认证的Google用户）添加权限，这两个主体不属于任何特定域，因此触发了策略限制，导致IAM更新失败。

解决方案 #

1. 确认组织策略的生效范围 #

首先确认该策略是在组织、文件夹还是项目级别生效：

• 进入Google Cloud控制台的IAM & Admin > 组织策略页面
• 搜索allowedPolicyMemberDomains约束
• 查看该策略的应用范围（组织根节点、特定文件夹或项目）以及是否处于**强制（Enforced）**状态

2. 请求组织管理员调整策略 #

由于该策略属于组织级管控，普通项目成员无权限修改，需联系组织管理员执行以下操作之一：

• 临时放宽策略：将allowedPolicyMemberDomains的状态改为不强制（Not enforced），这样就能正常给Cloud Run服务添加allUsers权限
• 添加项目例外：在策略设置中添加当前项目为例外，允许该项目绕过域限制，给allUsers/allAuthenticatedUsers分配权限
• 调整允许的域范围：如果业务允许，可将allUsers对应的特殊主体纳入策略允许范围（部分场景下支持）

3. 替代方案：使用域限定的访问（若无需完全公开） #

如果无法修改组织策略，且业务仅需对特定域开放访问，可直接给目标域的用户组添加权限：

• 在Cloud Run的权限设置中，添加主体user:*@your-domain.com（替换为你的组织域名），并分配Cloud Run Invoker角色
• 这样仅该域内的用户可访问服务，不会触发域限制策略

4. 替代方案：通过API Gateway/Cloud Endpoints代理访问 #

若必须完全公开且无法调整组织策略，可通过API Gateway或Cloud Endpoints作为中间层：

• 将Cloud Function的权限仅开放给Gateway服务账号
• 在Gateway层配置公开访问（或按需设置认证），通过Gateway转发请求到Cloud Function
• 这种方式绕开了直接给Cloud Run添加allUsers权限的限制，同时实现对外服务

错误信息回顾：
IAM policy update failed
存在域限制组织策略。仅允许域中的主体可作为策略中的主体添加。请修正主体邮箱后重试。

内容的提问来源于stack exchange，提问作者Ali