Cloud Scheduler创建Cloud Functions触发任务时遇PERMISSION_DENIED错误

1. 核对Cloud Scheduler实际使用的服务账号 #

默认情况下，Cloud Scheduler会使用项目的默认App Engine服务账号（格式：PROJECT_ID@appspot.gserviceaccount.com）。如果你的gcloud scheduler jobs create命令没有通过--service-account参数指定自定义SA，那之前给非默认SA添加权限的操作是无效的。

验证方法：执行以下命令查看Scheduler job的服务账号配置（若job未创建成功，直接检查命令里是否指定了--service-account）：

gcloud scheduler jobs describe YOUR_JOB_NAME

查看输出中的serviceAccountEmail字段，确认需要授权的目标SA。

2. 确认权限绑定的主体与资源匹配 #

你需要将roles/iam.serviceAccountUser角色（包含iam.serviceAccounts.actAs权限）绑定到Cloud Functions使用的SA上，绑定的主体是Cloud Scheduler实际使用的SA。

正确的绑定命令示例（替换占位符）：

gcloud iam service-accounts add-iam-policy-binding YOUR_FUNCTION_SA_EMAIL \
  --member="serviceAccount:YOUR_SCHEDULER_SA_EMAIL" \
  --role="roles/iam.serviceAccountUser"

注意：

• YOUR_FUNCTION_SA_EMAIL是部署Cloud Functions时使用的服务账号
• YOUR_SCHEDULER_SA_EMAIL是Cloud Scheduler实际调用时使用的服务账号

3. 排除第二代Cloud Functions底层权限干扰 #

第二代Cloud Functions基于Cloud Run运行，若函数使用默认SA部署，后续若出现调用失败，可额外检查Scheduler的SA是否拥有roles/run.invoker权限，但当前报错为actAs缺失，优先级还是SA扮演权限的配置。

4. 权限缓存问题（概率较低） #

若上述配置均正确仍报错，可等待10-15分钟让Google Cloud权限缓存刷新，或尝试重新执行绑定命令并再次测试。

内容的提问来源于stack exchange，提问作者piotrekkr