能否通过Eventarc审计日志触发器触发Cloud Run？配置异常求助

核心结论 #

可以通过google.cloud.audit.log.v1.written审计日志触发器实现GCS文件上传触发Cloud Run的需求，你的当前配置存在关键过滤条件缺失，导致事件无法匹配。

问题排查与修正步骤 #

1. 补充日志类型过滤条件 #

你的审计日志属于cloudaudit.googleapis.com/data_access类型，但当前触发器未指定该日志名称的过滤规则，Eventarc无法精准匹配到目标审计日志。

修正后的Terraform配置需添加logName匹配规则：

resource "google_eventarc_trigger" "cloud_run_trigger" {
    name = "<TRIGGER_NAME>"
    location = "us-east4" # 显式指定区域，与Cloud Run服务保持一致
    matching_criteria {
        attribute = "type"
        value = "google.cloud.audit.log.v1.written"
    }
    matching_criteria {
        attribute = "serviceName"
        value = "storage.googleapis.com"
    }
    matching_criteria {
        attribute = "methodName"
        value = "storage.objects.create"
    }
    matching_criteria {
        attribute = "logName"
        value = "cloudaudit.googleapis.com/data_access"
    }
    destination {
        cloud_run_service {
            service = google_cloud_run_service.default.name
            region = "us-east4"
        }
    }
    # 建议使用专用服务账号替代Compute Engine默认账号，权限更可控
    service_account = "<YOUR_DEDICATED_SERVICE_ACCOUNT>"
}

2. 验证服务账号权限 #

确保触发器使用的服务账号具备以下核心权限：

• roles/run.invoker：允许调用目标Cloud Run服务
• roles/eventarc.eventReceiver：允许Eventarc接收并转发审计日志事件
• roles/pubsub.publisher：允许向Eventarc关联的Pub/Sub Topic发布消息

可通过以下命令为服务账号绑定角色：

gcloud projects add-iam-policy-binding <PROJECT_ID> \
  --member="serviceAccount:<YOUR_SERVICE_ACCOUNT>" \
  --role="roles/run.invoker"

gcloud projects add-iam-policy-binding <PROJECT_ID> \
  --member="serviceAccount:<YOUR_SERVICE_ACCOUNT>" \
  --role="roles/eventarc.eventReceiver"

3. 验证事件流转 #

修正配置并重新部署触发器后，执行以下验证步骤：

• 上传文件至目标GCS存储桶
• 查看Eventarc触发器关联的Pub/Sub Subscription的消息堆积情况，确认是否有事件进入
• 查看Cloud Run服务的日志，确认是否接收到触发请求
• 在Cloud Logging中搜索resource.type="eventarc_trigger" AND trigger.name="<TRIGGER_NAME>"，排查事件匹配是否成功

替代方案（可选） #

如果审计日志触发器配置仍有问题，也可以直接使用GCS原生的google.cloud.storage.object.v1.finalized事件触发器，配置更简洁且无需依赖审计日志：

resource "google_eventarc_trigger" "gcs_finalized_trigger" {
    name = "<TRIGGER_NAME>"
    location = "us-east4"
    matching_criteria {
        attribute = "type"
        value = "google.cloud.storage.object.v1.finalized"
    }
    matching_criteria {
        attribute = "bucket"
        value = "<YOUR_BUCKET_NAME>"
    }
    destination {
        cloud_run_service {
            service = google_cloud_run_service.default.name
            region = "us-east4"
        }
    }
    service_account = "<YOUR_SERVICE_ACCOUNT>"
}

内容的提问来源于stack exchange，提问作者tubular