使用GitHub Actions部署Cloud Run遇iam.serviceaccounts.actAs权限拒绝问题

我正尝试通过GitHub Actions将Docker容器部署至云端。已为服务账号分配Cloud Run Admin、Artefact Registry Admin权限，同时添加了Service Account User权限。

相关GitHub Actions配置如下：

Docker认证步骤 #

name: Docker Auth
id: docker-auth
uses: "docker/login-action@v3"
with:
  username: "_json_key"
  password: "${{ secrets.GCP_SERVICE_ACCOUNT }}"
  registry: "${{ env.GAR_LOCATION }}-docker.pkg.dev"

构建并推送镜像步骤 #

name: Build and Push Container
run: |-
  docker build --quiet --build-arg GCP_SERVICE_ACCOUNT=${{ secrets.GCP_SERVICE_ACCOUNT }} -t "${{ env.GAR_LOCATION }}-docker.pkg.dev/${{ env.PROJECT_ID }}/${{ env.GAR_NAME }}/${{ env.SERVICE }}:${{ github.sha }}" ./
  docker push "${{ env.GAR_LOCATION }}-docker.pkg.dev/${{ env.PROJECT_ID }}/${{ env.GAR_NAME }}/${{ env.SERVICE }}:${{ github.sha }}"

部署至Cloud Run步骤 #

name: Deploy to Cloud Run
id: deploy
uses: google-github-actions/deploy-cloudrun@v2
with:
  service: "${{ env.SERVICE }}-${{ env.ENVIRONMENT }}"
  region: ${{ env.REGION }}
  image: ${{ env.GAR_LOCATION }}-docker.pkg.dev/${{ env.PROJECT_ID }}/${{ env.GAR_NAME }}/${{ env.SERVICE }}:${{ github.sha }}
  platform: managed
  allow-unauthenticated: true

请问我是否还缺少其他权限或配置？

从当前配置和权限来看，核心功能的权限已覆盖，但仍有几个细节需要检查确认：

1. 镜像拉取权限 #

Cloud Run默认使用Compute Engine默认服务账号（格式为PROJECT_NUMBER-compute@developer.gserviceaccount.com）拉取镜像，即便你的部署服务账号有Artefact Registry Admin权限，若该默认账号没有roles/artifactregistry.reader权限，部署时会出现镜像拉取失败的错误。需给Compute Engine默认服务账号添加Artifact Registry Reader角色。

2. 环境变量有效性 #

检查GitHub Actions中用到的GAR_LOCATION、PROJECT_ID、GAR_NAME、SERVICE、ENVIRONMENT、REGION等环境变量是否已在仓库的「Secrets and variables -> Actions」中正确配置，避免因变量缺失导致镜像路径或服务名称错误。

3. 敏感构建参数的必要性 #

你在docker build中传入了GCP_SERVICE_ACCOUNT作为构建参数，如果镜像内部不需要使用该密钥文件，建议移除这个参数——将敏感密钥暴露在构建流程中存在安全风险；若确实需要，需确保镜像内不会明文存储该密钥。

4. 服务账号状态确认 #

确认用于认证的GCP服务账号处于启用状态，未被禁用或删除，且对应的JSON密钥（即secrets.GCP_SERVICE_ACCOUNT）是最新、未过期的有效密钥。

5. 自定义配置补充（可选） #

如果是首次部署该Cloud Run服务，部署工具会自动创建服务，但如果后续需要自定义配置（如VPC连接、内存/CPU配额、环境变量注入等），需提前在GCP控制台配置，或在部署步骤中通过args参数指定对应配置项。

内容的提问来源于stack exchange，提问作者Alish Satani