GCP Cloud Run服务间调用GRPC方法时出现i/o timeout错误

以下是针对你的问题的具体排查和解决步骤：

1. 修正GRPC客户端的端口与TLS配置 #

Cloud Run上的GRPC服务对外暴露的是443端口（HTTPS），而非GRPC默认的50051端口。你之前调用时未指定正确端口，导致连接超时。正确的Go代码配置需包含TLS认证和443端口：

import (
    "google.golang.org/grpc"
    "google.golang.org/grpc/credentials"
)

func getServiceAClient() (*grpc.ClientConn, error) {
    serviceAHost := "service-a-xxxxxx.a.run.app" // 替换为你的服务A Cloud Run URL（不要带https://）
    // 加载系统根证书，验证Cloud Run服务的SSL证书
    tlsCreds, err := credentials.NewClientTLSFromCert(nil, "")
    if err != nil {
        return nil, err
    }
    // 明确指定443端口，启用TLS传输
    conn, err := grpc.Dial(serviceAHost+":443", grpc.WithTransportCredentials(tlsCreds))
    if err != nil {
        return nil, err
    }
    return conn, nil
}

2. 确认服务账号的调用权限 #

尽管服务A允许未认证访问，但服务B使用的服务账号仍需具备run.services.invoke权限（对应Cloud Run Invoker角色）才能正常调用。操作步骤：

• 进入Cloud Run控制台的服务A页面，切换到「权限」标签
• 检查服务B的服务账号是否已添加「Cloud Run Invoker」角色
• 若未添加，手动添加该角色并等待权限生效

3. 禁止直接使用IP地址调用 #

Cloud Run服务的IP地址是动态分配的，且直接使用IP无法正确解析到服务实例的SSL证书，必须使用Cloud Run提供的官方域名（即服务URL）进行调用。

4. 检查网络出口配置 #

如果服务B配置了Serverless VPC Access，需确认其网络策略允许公网出口：

• 若服务B的网络设置为「仅允许VPC内部访问」，则无法访问公网中的服务A，即使服务A允许互联网访问
• 需将服务B的网络配置调整为「允许互联网访问」，或配置VPC云NAT实现公网访问

5. 启用GRPC日志定位问题 #

在服务B的代码中添加GRPC日志输出，可获取连接过程的详细信息，帮助排查是DNS解析、TLS握手还是其他环节出错：

import (
    "os"
    "google.golang.org/grpc/grpclog"
)

func init() {
    // 启用GRPC详细日志
    grpclog.SetLoggerV2(grpclog.NewLoggerV2(os.Stdout, os.Stderr, os.Stderr))
}

内容的提问来源于stack exchange，提问作者shizambles