如何为第二代HTTP触发Google Cloud Function配置服务账号认证

针对你用Rails + googleauth gem调用第二代Cloud Function遇到的401问题，结合你的配置和代码，整理几个关键排查与解决方向：

1. 权限配置的核心要点 #

第二代Cloud Function基于Cloud Run构建，所以必须确保服务账号拥有roles/run.invoker权限，且该权限直接绑定到Cloud Function（背后的Cloud Run服务）的成员列表中，而非仅在项目层面添加权限：

• 检查路径：进入Cloud Function详情页 → 「权限」标签 → 确认你的服务账号已被添加为成员，且角色为「Cloud Run Invoker」（第二代函数优先校验Cloud Run权限，Cloud Function Invoker权限可作为补充）

2. 令牌类型错误：改用ID令牌而非访问令牌 #

第二代HTTP触发函数要求请求携带ID令牌（ID Token），而非你当前生成的访问令牌（Access Token），这是核心差异：

• 修改fetch_access_token方法，生成符合要求的ID令牌：

def fetch_id_token
  authorizer = Google::Auth::ServiceAccountCredentials.make_creds(
    json_key_io: File.open('./google-service-account-keys.json'),
    target_audience: Rails.application.credentials.CLOUD_FUNCTION_URL
  )
  authorizer.fetch_access_token!
  authorizer.id_token
end

• 更新请求头的令牌来源：

headers = {
  'Authorization' => "Bearer #{fetch_id_token}",
  'Content-Type' => 'application/json'
}

注意：target_audience必须严格匹配你的Cloud Function URL，不能带末尾斜杠或额外参数

3. 优化服务账号密钥的加载方式 #

避免硬编码密钥文件路径，建议用环境变量或Rails credentials管理，降低路径错误风险：

# 利用GOOGLE_APPLICATION_CREDENTIALS环境变量自动加载密钥
def fetch_id_token
  authorizer = Google::Auth::ServiceAccountCredentials.make_creds(
    target_audience: Rails.application.credentials.CLOUD_FUNCTION_URL
  )
  authorizer.fetch_access_token!
  authorizer.id_token
end

只需将环境变量GOOGLE_APPLICATION_CREDENTIALS设置为密钥文件的绝对路径，googleauth会自动完成加载。

4. 验证请求URL的正确性 #

• 确认使用的是第二代函数的正式URL，格式通常为https://REGION-PROJECT_ID.cloudfunctions.net/FUNCTION_NAME，不要用测试URL或内部负载均衡地址
• 若函数配置了自定义域名，需将target_audience设置为自定义域名

5. 本地快速验证（排除代码问题） #

用curl直接测试服务账号生成的ID令牌是否有效：

# 生成ID令牌
gcloud auth print-identity-token --audiences=CLOUD_FUNCTION_URL --impersonate-service-account=YOUR_SERVICE_ACCOUNT@PROJECT_ID.iam.gserviceaccount.com

# 调用函数
curl -X POST CLOUD_FUNCTION_URL \
  -H "Authorization: Bearer GENERATED_ID_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"function_type":"test","body":{}}'

如果curl调用成功，说明权限和令牌逻辑没问题，问题出在Rails代码实现；若curl也失败，重新检查权限配置环节。

内容的提问来源于stack exchange，提问作者Kyle Pendergast