移除OWNER权限后GCP Cloud Scheduler与Cloud Functions调用失败

核心问题分析 #

2代Cloud Function本质是托管的Cloud Run服务，函数间调用及Scheduler触发依赖最小权限的IAM绑定，而非过度授权的OWNER角色。移除OWNER后报错，说明你之前的权限配置未覆盖实际所需的最小权限项，且可能存在调用代码的受众（Audience）配置问题。

具体修复步骤 #

1. 配置schedule-control@sa.com的必要权限

这个SA承担两个角色：Cloud Scheduler的触发身份、Control函数的运行身份，需添加以下权限：

• 针对Control函数：添加roles/run.invoker角色（允许Cloud Scheduler触发Control函数）
• 针对Login函数：添加roles/run.invoker角色（允许Control函数调用Login函数）
• （可选）如果需要管理Cloud Scheduler Job，添加roles/cloudscheduler.jobRunner角色（仅当需要创建/修改Job时，已创建Job则无需）

2. 配置login@sa.com的必要权限

仅保留Login函数运行时实际业务所需的权限：

• 如果Login函数无需访问其他GCP资源，仅需确保它被设置为函数的运行身份（无需额外角色，GCP会自动赋予基础运行权限）
• 如果Login函数需要访问特定资源（如Pub/Sub、Storage），仅添加对应资源的最小权限（例如访问Pub/Sub Topic时添加roles/pubsub.publisher，而非Cloud Pub/Sub Service Agent这类过度角色）

3. 修正Control函数调用Login的代码

使用google-auth-library调用时，必须指定Login函数的完整HTTP触发URL作为受众（Audience），否则OIDC令牌会因受众不匹配被拒绝：

const {GoogleAuth} = require('google-auth-library');

async function callLoginFunction() {
  const loginFunctionUrl = 'https://login-function-xxxx.a.run.app'; // 替换为你的Login函数URL
  const auth = new GoogleAuth();
  // 关键：传入Login函数URL作为audience
  const client = await auth.getIdTokenClient(loginFunctionUrl);
  const response = await client.request({
    url: loginFunctionUrl,
    method: 'POST', // 匹配Login函数的触发方法
    body: {} // 你的请求体
  });
  return response.data;
}

4. 验证IAM绑定有效性

• 进入每个2代函数的详情页 → 权限标签，确认对应SA已添加Cloud Run Invoker角色，且无多余的OWNER/过度角色
• 检查SA的权限继承：确保没有通过项目级IAM给SA添加不必要的权限，同时确认移除OWNER角色后，所需的最小权限已单独配置

排查关键点 #

• 查看错误日志的详细字段：重点关注principal（触发请求的SA）、resource（被访问的资源）、permission（缺失的权限），明确是调用权限缺失还是函数运行时权限缺失
• 确认函数的Ingress设置为Allow all traffic（你已配置，可再次验证）
• 检查函数的运行身份：进入函数详情页 → 运行时、构建和连接设置 → 服务账号，确认已正确绑定指定的SA
• 清除应用凭据缓存：如果部署后有缓存，可重启函数实例或重新部署

内容的提问来源于stack exchange，提问作者LTX