使用Cloud Run Job的--update-env-vars参数执行时遇403权限拒绝

问题根源 #

当使用--update-env-vars参数执行Cloud Run Job时，这个Alpha特性实际上会临时修改Job的配置（添加/更新环境变量）后再触发执行，而非单纯触发现有Job的执行。这要求执行者拥有Cloud Run Job的修改权限，仅靠项目所有者身份或iam.serviceAccountUser角色无法覆盖该操作所需权限。

所需权限及配置步骤 #

要解决403错误，需为当前用户授予包含Cloud Run资源修改权限的角色，推荐使用roles/run.developer（覆盖常见开发操作权限），或更精细的run.jobs.update权限。

具体操作命令 #

1. 项目层面授予roles/run.developer角色（推荐，覆盖全项目Cloud Run资源操作）：

USER_ACCOUNT=$(gcloud config get-value account)
gcloud projects add-iam-policy-binding YOUR_PROJECT_ID --member="user:${USER_ACCOUNT}" --role='roles/run.developer'

将YOUR_PROJECT_ID替换为你的GCP项目ID。

2. （可选）仅针对目标Job授予权限（最小权限原则）：

USER_ACCOUNT=$(gcloud config get-value account)
gcloud run jobs add-iam-policy-binding hello-world-job --region=us-central1 --member="user:${USER_ACCOUNT}" --role='roles/run.developer'

验证操作 #

完成权限配置后，重新运行带参数的执行命令：

gcloud alpha run jobs execute hello-world-job --region=us-central1 --update-env-vars=FOO=BAR

此时应能成功创建执行任务，不再出现403错误。

补充说明 #

• 作为项目所有者，在Alpha特性场景下仍需明确补充资源级权限（Alpha特性文档覆盖不全是常见情况）。
• iam.serviceAccountUser角色仅允许以服务账号身份触发执行，不具备修改Job配置的权限，这就是无参数执行正常、带参数执行报错的核心原因。

内容的提问来源于stack exchange，提问作者emsh