Cloud Function v2触发时哪个服务账号生效？权限问题排查

核心问题 #

你遇到的权限问题根源在于Cloud Function v2通过Eventarc触发时，默认会使用Eventarc触发器关联的服务账号（而非函数自身配置的服务账号）来执行函数。这就是为什么你验证时发现函数没用到预期的svc-secret-access-cf@project.iam.gserviceaccount.com，反而实际用的是触发器绑定的projectid-compute@developer.gserviceaccount.com——而这个默认账号没有Secret Manager的读取权限，直接导致了PERMISSION DENIED错误。

验证逻辑说明 #

你添加的验证代码能准确反映函数运行时的凭据上下文：

# Get the default credentials
creds, project = google.auth.default()

# If the credentials are a service account, print the email
if isinstance(creds, service_account.Credentials):
    print("Service Account:", creds.service_account_email)
else:
    print("Not using a service account")

google.auth.default()会获取当前运行环境的默认凭据，Eventarc触发的Cloud Function v2会将触发器绑定的服务账号作为默认凭据注入，所以你看到的结果完全符合实际执行逻辑。

可行解决方法 #

方法1：修改Eventarc触发器的服务账号 #

将Eventarc触发器关联的服务账号替换为你配置的svc-secret-access-cf@project.iam.gserviceaccount.com，确保触发器使用的账号拥有Secret Manager读取权限，这样函数执行时就能继承该权限访问密钥。

方法2：通过serviceConfig.secretEnvironmentVariables注入密钥（你已采用的方案） #

直接在Cloud Function的配置中通过serviceConfig.secretEnvironmentVariables将Secret Manager的密钥挂载为环境变量，这种方式不需要函数代码主动调用Secret Manager API，由Cloud Functions平台自动完成密钥的获取和注入，绕开了执行上下文的权限问题，是更简洁的实践方案。

你的原密钥获取代码：

def get_secret_key():
    client = secretmanager.SecretManagerServiceClient()
    response = client.access_secret_version(request={"name":"projects/PROJECTID/secrets/SECRETNAME/versions/1"})
    return response.payload.data.decode("UTF-8")

改用环境变量方案后，直接读取对应环境变量即可，无需再编写API调用逻辑。

内容的提问来源于stack exchange，提问作者Kyle