无法创建第二代Cloud Build触发器：权限错误

以下是针对你遇到的cloudbuild.connections.get权限拒绝问题的逐一排查思路：

• 验证权限绑定的资源范围
  确认roles/cloudbuild.connectionAdmin角色是绑定在项目级别，而非单个连接或局部资源上。部分场景下手动绑定权限时可能误选了特定连接，导致权限覆盖范围不足。
  可以用gcloud命令直接验证：

  gcloud projects get-iam-policy my-project --filter="bindings.members:你的邮箱@域名.com" --format="value(bindings.role)"
  

  输出结果里要能看到roles/cloudbuild.connectionAdmin。

• 核对项目编号与项目ID的一致性
  错误信息中显示的是projects/my-project-number，而你操作时用的是项目IDmy-project，务必确认两者一一对应。用以下命令验证项目编号：

  gcloud projects describe my-project --format="value(projectNumber)"
  

  对比输出的编号和错误信息里的编号是否一致。

• 检查Cloud Build服务账号的必要权限
  除了已配置的角色，确认Cloud Build服务账号（格式通常为service-<项目编号>@gcp-sa-cloudbuild.iam.gserviceaccount.com）是否拥有cloudbuild.connections.use权限——这是触发器访问连接的核心权限，容易被遗漏。
  另外，进入Cloud Console的Cloud Build连接页面，找到my-app-github-connection的「权限」标签，确认服务账号有该连接的访问权限。

• 重新验证GitHub侧的授权状态
  进入Cloud Console的Cloud Build > 仓库 > 连接，找到你的GitHub连接并点击「重新授权」，确保GitHub侧的OAuth应用权限未过期或被撤销。
  同时检查GitHub仓库设置，确认用于连接的GitHub账号拥有仓库读写权限，且没有开启分支保护、私有仓库访问限制等会阻断Cloud Build的配置。

• 清除本地工具的缓存（针对gcloud/Terraform）

  • gcloud侧：执行gcloud auth revoke --all后重新登录gcloud auth login，避免本地缓存的旧权限信息干扰。
  • Terraform侧：执行terraform refresh或terraform init -reconfigure，确保工具拉取最新的权限配置。

• 排查组织级政策限制
  如果你的项目属于Google Cloud组织，可能存在组织级IAM政策限制了cloudbuild.connections.get权限，联系组织管理员确认是否有相关管控政策或需要额外审批。

内容的提问来源于stack exchange，提问作者Daniel Vaughan