如何授权GCP生产环境Cloud Build服务账号访问开发环境密钥？

1. 确认Cloud Build使用的服务账号 #

Cloud Build默认使用项目专属服务账号，格式为[生产项目编号]@cloudbuild.gserviceaccount.com。先通过命令获取生产项目编号：

gcloud projects describe [生产项目ID] --format="value(projectNumber)"

将编号替换后得到完整服务账号，这是需要授权的核心账号，避免混淆成项目ID或其他账号。

2. 给生产服务账号授权开发项目密钥访问权限 #

直接用命令行操作（比UI配置更可靠），在开发项目中为生产Cloud Build服务账号添加secretmanager.secretAccessor角色：

# 针对单个密钥授权（遵循最小权限原则，推荐）
gcloud secrets add-iam-policy-binding gpapi-gcr-env-dev --project [开发项目ID] --member="serviceAccount:[生产项目编号]@cloudbuild.gserviceaccount.com" --role="roles/secretmanager.secretAccessor"

# 测试场景可临时给整个开发项目授权（不推荐生产环境）
gcloud projects add-iam-policy-binding [开发项目ID] --member="serviceAccount:[生产项目编号]@cloudbuild.gserviceaccount.com" --role="roles/secretmanager.secretAccessor"

3. 排查权限不生效的原因 #

• 等待权限同步：GCP IAM权限存在1-5分钟的延迟，授权后不要立刻触发构建，等待片刻再测试。
• 检查组织级限制：若项目归属GCP组织，确认是否有组织级IAM deny规则阻止跨项目权限访问，联系组织管理员排查。
• 验证权限配置：用命令查看开发项目密钥的IAM政策，确认生产服务账号已在列表中：

  gcloud secrets get-iam-policy gpapi-gcr-env-dev --project [开发项目ID]
  

4. 解决开发项目IAM安全洞察不可见问题 #

安全洞察需要操作账号拥有iam.securityReviewer角色，给你的个人账号添加该角色：

gcloud projects add-iam-policy-binding [开发项目ID] --member="user:[你的邮箱地址]" --role="roles/iam.securityReviewer"

添加后刷新IAM页面，或使用无痕模式打开，即可查看安全洞察。

5. 验证构建配置正确性 #

确保构建步骤中正确引用密钥：

steps:
  - name: 'gcr.io/cloud-builders/gcloud'
    entrypoint: 'bash'
    args:
      - '-c'
      - |
        echo "$$DEV_TEST_ENV" > .env.test
    secretEnv: ['DEV_TEST_ENV']

availableSecrets:
  secretManager:
    - versionName: projects/$PROJECT_ID/secrets/github_token/versions/latest
      env: 'GITHUB_TOKEN'
    - versionName: projects/617239722448/secrets/gpapi-gcr-env-dev/versions/latest
      env: 'DEV_TEST_ENV'

注意$$DEV_TEST_ENV是Cloud Build中转义环境变量的正确写法，且secretEnv数组必须包含DEV_TEST_ENV。

6. 快速测试权限有效性 #

在本地模拟生产Cloud Build服务账号访问开发项目密钥：

# 激活生产服务账号（需提前下载该账号的密钥文件）
gcloud auth activate-service-account [生产项目编号]@cloudbuild.gserviceaccount.com --key-file=/path/to/service-account-key.json

# 尝试访问开发项目密钥
gcloud secrets versions access latest --secret=gpapi-gcr-env-dev --project=[开发项目ID]

若命令返回密钥内容，说明权限配置正确；若报错，回到步骤2重新检查授权逻辑。

内容的提问来源于stack exchange，提问作者stuckj