GCP Cloud Run服务账号是否必须归属同一项目？

Cloud Run完全支持跨项目使用服务账号，并非只能使用部署目标项目内的服务账号。你的权限报错需要从以下几个方向排查：

• 确认Service Account User角色的绑定范围：你需要在服务账号所属的second-project中，将该角色直接绑定到目标服务账号资源上，而不是仅授予项目级别的权限。很多人会误将角色加在项目层级，但这不一定能让你获得对特定服务账号的iam.serviceaccounts.actAs权限。
• 补充部署目标项目的权限：在你要部署Cloud Run的项目中，给跨项目的服务账号service-accounts@second-project.iam.gserviceaccount.com授予roles/run.developer（或更具体的必要权限），确保该服务账号有权限在目标项目中创建和运行Cloud Run实例。
• 检查服务账号的存在性：确认报错中的服务账号邮箱拼写完全正确，且确实存在于second-project中。

内容的提问来源于stack exchange，提问作者swygerts