Cloud Function连接CloudSQL报403错误：权限与API配置排查求助

• 先确认Cloud SQL Admin API是否真的启用
  报错里明确要求验证该API状态，别默认Editor角色会自动开启它。直接在GCP控制台搜索「Cloud SQL Admin API」，查看右上角状态是否为「已启用」，未启用则点击启用按钮，等待数分钟后再测试。

• 检查服务账号权限的生效情况
  IAM权限并非实时生效，刚添加角色后可能需要等待5-10分钟。同时务必核对：你授予权限的服务账号，是否与Cloud Function配置页面「运行服务账号」栏指定的账号一致——避免误给其他账号（比如默认Compute引擎账号）配置了权限。

• 核对连接配置细节
  尽管代码从正常项目复制，但仍需逐一检查：

  • 实例ID、项目ID是否正确，尤其是连接字符串中projects/[项目ID]/instances/[实例ID]的格式
  • 环境变量中的数据库用户名、密码、库名是否与新项目的CloudSQL实例匹配
  • 若使用私有IP连接，需确保Cloud Function与CloudSQL处于同一VPC，或已配置VPC连接器；公网连接则需确认CloudSQL的公网访问已开启（更推荐私有IP或官方代理方式）

• 排查项目组织级限制
  若项目隶属于GCP组织，可能存在组织级IAM政策限制服务账号权限。进入IAM页面查看是否有「拒绝」类型的绑定规则，比如禁止调用Cloud SQL Admin API，或限制了Cloud SQL Client角色的使用范围。

• 用命令行测试权限有效性
  借助服务账号密钥文件，通过gcloud命令测试是否能调用Cloud SQL API：

  gcloud auth activate-service-account --key-file=你的服务账号密钥.json
  gcloud sql instances get-settings demobleett-test --project=demobleett
  

  若该命令也返回403，说明是权限或API配置问题；若能成功返回，则可能是代码中认证逻辑异常，比如环境变量未正确加载凭证。

内容的提问来源于stack exchange，提问作者MansonL