如何验证Google API Gateway所使用的自定义服务账号？

1. 查看API Gateway绑定的服务账号 #

直接用gcloud命令查询网关的服务账号配置：

gcloud api-gateway gateways describe YOUR_GATEWAY_NAME --location=YOUR_REGION --format="value(serviceAccount)"

替换YOUR_GATEWAY_NAME和YOUR_REGION为实际值，执行后会输出关联的服务账号邮箱，确认是否和你Terraform中配置的一致。

2. 验证服务账号的IAM权限配置 #

如果要确认该服务账号是否拥有后端资源（比如Cloud Functions、Cloud Run、Cloud Storage等）的对应权限，可针对具体资源执行IAM政策查询：

• 以Cloud Functions为例：

gcloud functions get-iam-policy YOUR_FUNCTION_NAME --region=YOUR_REGION --format="value(bindings)"

在输出结果中查找目标服务账号的条目，确认其绑定的角色是否符合预期。

• 通用项目级IAM查询：

gcloud projects get-iam-policy YOUR_PROJECT_ID --filter="bindings.members:serviceAccount:YOUR_SA_EMAIL" --format="value(bindings.role)"

替换YOUR_PROJECT_ID和YOUR_SA_EMAIL，执行后会列出该服务账号在项目中拥有的所有IAM角色。

3. 检查API配置中的服务账号声明 #

如果你的服务账号是通过OpenAPI配置文件指定的，可查看网关关联的API配置内容：

gcloud api-gateway api-configs describe YOUR_CONFIG_NAME --api=YOUR_API_NAME --format="value(apiConfig.openapiDocs.contents)"

在输出的OpenAPI内容中搜索x-google-backend或serviceAccount字段，确认配置的服务账号是否正确。

内容的提问来源于stack exchange，提问作者luisvenezian