Cloud Function向App Engine默认服务发起请求返回401错误：需配置的额外IAM角色咨询

你遇到的401 Unauthorized错误，核心原因是当前给Cloud Function服务账号cf-sa@myproject.iam.gserviceaccount.com配置的Service Account User角色，仅允许该账号被其他主体调用，并不具备访问App Engine应用端点的权限。根据你的场景，需要给这个服务账号添加以下角色：

必需的基础角色 #

• App Engine Viewer（roles/appengine.viewer）：这个角色授予服务账号访问App Engine服务基本资源的权限，是让请求能正常到达App Engine默认服务端点的基础前提。

若启用IAP需额外添加的角色 #

如果你的App Engine默认服务开启了Identity-Aware Proxy（IAP）保护（生产环境常见的安全配置），还需要补充添加：

• IAP-secured Web App User（roles/iap.httpsResourceAccessor）：这个角色专门授权服务账号访问被IAP保护的Web应用资源，没有它的话，即使拥有App Engine Viewer角色，请求也会被IAP拦截返回401。

额外验证与注意事项 #

1. 添加角色后，建议等待1-2分钟让GCP权限同步生效，再重新触发Cloud Function测试。
2. 检查App Engine的日志（Cloud Console的App Engine > 日志页面）确认请求是否到达应用，同时查看Cloud Function日志验证返回状态码是否正常。
3. 如果你的App Engine应用有自定义身份验证逻辑（比如自行校验JWT令牌），需要确保应用信任该服务账号的身份，比如在验证逻辑中允许该账号的Client ID。

内容的提问来源于stack exchange，提问作者Luiscri