Cloud Run初始化修订失败：缺少clientauthconfig.clients.list权限

• 确认brands/XXXXXXXXXXX资源归属
  • 先查这个brand属于哪个项目：运行gcloud auth brands list列出当前项目下的所有brand，核对ID是否匹配。如果找不到，检查是否在关联的组织或其他项目下——要确保Cloud Run服务所在项目和brand项目是同一归属，或者已经配置了跨访问权限。
• 验证权限绑定的目标身份
  • Cloud Run默认用PROJECT_NUMBER-compute@developer.gserviceaccount.com这个服务账号，先确认你配置权限时是不是给了这个账号，别搞错了身份。用gcloud run services describe [你的服务名] --format="value(serviceAccount)"查看当前服务用的账号。
• 精准绑定资源权限
  • 别只给项目级的权限，一定要把权限直接绑在brands/XXXXXXXXXXX这个具体资源上。用下面的命令绑定包含所需权限的角色：

    gcloud auth brands add-iam-policy-binding brands/XXXXXXXXXXX \
      --member="serviceAccount:[你的服务账号邮箱]" \
      --role="roles/clientauthconfig.clientViewer"
    

  • 这个内置角色已经包含clientauthconfig.clients.list权限，比单独配置单个权限更稳妥。
• 排查IAM政策覆盖问题
  • 检查组织级有没有拒绝政策，这类政策会直接覆盖项目级权限，导致你配置的权限不生效。另外确认服务账号是否在某个IAM组里，组权限可能和单独配置的权限冲突。
• 强制刷新IAM缓存
  • Google Cloud IAM有时会有缓存延迟，执行以下命令刷新权限：

    gcloud auth revoke --all
    gcloud auth login [你的服务账号邮箱] --key-file=[密钥文件路径]
    

  • 之后重新部署Cloud Run服务：gcloud run deploy [你的服务名] --image=[你的镜像地址]
• 核对OAuth客户端关联的brand
  • 如果你的Cloud Run服务依赖OAuth客户端，检查这些客户端是不是确实属于brands/XXXXXXXXXXX这个brand，别因为关联错了brand导致权限检查失败。

内容的提问来源于stack exchange，提问作者Jose A