GCP Cloud Run环境变量更新失败：类型不匹配错误求助

错误原因 #

当前Cloud Run服务中MONGODB_CONNECTION_STRING环境变量的类型与你试图设置的类型不一致——之前它是通过Secret Manager引用类型配置的，而你现在用--set-env-vars尝试设置为字符串字面量，导致类型冲突。

解决方案 #

方案1：直接引用Secret Manager（推荐，更安全） #

放弃通过Cloud Build传递秘密值，让Cloud Run直接引用Secret Manager中的秘密，避免类型冲突：

修改cloudbuild.yaml中的部署步骤，替换--set-env-vars为--set-secrets，同时移除secretEnv和availableSecrets相关配置：

steps:
  # Build the container image
  ...
  # Push the container image to Container Registry
  ...
  # Deploy container image to Cloud Run
  - id: 'deploy-image-to-cloud-run'
    name: 'gcr.io/google.com/cloudsdktool/cloud-sdk'
    args: [
        'run', 'deploy', 'my-project',
        '--image', 'gcr.io/my-project/backend:$COMMIT_SHA',
        '--region', 'us-central1',
        '--set-secrets', 'MONGODB_CONNECTION_STRING=projects/my-project/secrets/MONGODB_CONNECTION_STRING:1'
      ]
images:
  - gcr.io/my-project/backend:$COMMIT_SHA

权限配置

确保Cloud Run服务的默认服务账号拥有Secret Manager的访问权限：

1. 找到Cloud Run服务的服务账号（格式：[服务名]-sa@[你的项目ID].iam.gserviceaccount.com）
2. 给该账号添加roles/secretmanager.secretAccessor角色（Secret Manager Secret Accessor）

方案2：强制覆盖为字符串字面量（不推荐） #

如果必须使用字符串字面量，先删除原有类型的环境变量，再重新设置：

修改cloudbuild.yaml中的部署命令，添加--remove-env-vars参数：

steps:
  # Build the container image
  ...
  # Push the container image to Container Registry
  ...
  # Deploy container image to Cloud Run
  - id: 'deploy-image-to-cloud-run'
    name: 'gcr.io/google.com/cloudsdktool/cloud-sdk'
    entrypoint: bash
    args: [
        '-c',
        'gcloud run deploy my-project --image gcr.io/my-project/backend:$COMMIT_SHA
        --region us-central1
        --remove-env-vars MONGODB_CONNECTION_STRING
        --set-env-vars MONGODB_CONNECTION_STRING=$$SECRET_MONGODB_CONNECTION_STRING
        ',
      ]
    secretEnv: ['SECRET_MONGODB_CONNECTION_STRING']
images:
  - gcr.io/my-project/backend:$COMMIT_SHA
availableSecrets:
  secretManager:
    - versionName: projects/my-project/secrets/MONGODB_CONNECTION_STRING/versions/1
      env: 'SECRET_MONGODB_CONNECTION_STRING'

注意：此方法会导致服务短暂重启，且秘密值会以明文形式在部署流程中传递（虽Cloud Build会隐藏输出，但仍存在安全风险）。

前置检查（可选） #

可以先执行以下命令确认当前环境变量的类型：

gcloud run services describe my-project --region us-central1

查看输出中envVars下的MONGODB_CONNECTION_STRING，如果包含valueSource字段，说明是Secret Manager引用类型；如果是value字段，则是字符串字面量。

内容的提问来源于stack exchange，提问作者CCCC