GCP多项目IAP认证异常：仅单个项目可正常完成身份验证

以下是几个可能导致仅单个项目能通过IAP认证访问Cloud Run的核心原因及排查步骤：

1. OAuth客户端授权配置不匹配 #

每个项目的IAP都会生成独立的OAuth客户端ID，需确保：

• 故障项目的OAuth客户端ID已将对应子域名（如dev.domain.com）添加到授权重定向URI中，格式为https://dev.domain.com/_gcp_iap/redirect
• 项目的OAuth同意屏幕已将所有子域名添加到已授权域名列表，否则认证回调时会因域名未授权而失败，无法生成有效的Authorization header

2. IAP与Cloud Run的权限绑定缺失 #

IAP需要通过专用服务账号向Cloud Run发起请求，需检查故障项目：

• 确认IAP服务账号service-${PROJECT_NUMBER}@gcp-sa-iap.iam.gserviceaccount.com已被授予roles/run.invoker角色（可在Cloud Run服务的IAM页面查看）
• 组织级IAM配置可能未覆盖到故障项目，需确认项目本地IAM没有移除该服务账号的权限

3. 负载均衡器的IAP配置错误 #

检查故障项目的负载均衡器：

• 后端服务是否已启用IAP，且正确关联了对应的Cloud Run服务
• URL映射规则是否正确，有没有将请求路径错误指向其他服务或配置错误的后端
• LB的SSL证书是否与子域名匹配，证书无效可能导致认证流程中断

4. 域名验证未完成 #

GCP要求IAP使用的域名必须完成所有权验证：

• 登录GCP控制台，进入API和服务 -> 域名验证，确认dev.domain.com、staging.domain.com等子域名已完成验证（验证方式包括DNS TXT记录或文件上传）
• 未验证的域名无法正常触发IAP认证流程，导致请求因缺少有效令牌被拒绝

5. OAuth同意屏幕状态限制 #

若OAuth同意屏幕处于测试状态，仅添加的测试用户可访问：

• 检查故障项目的OAuth同意屏幕，确认所有需要访问的用户（包括所有者）已添加到测试用户列表
• 正常项目可能已将同意屏幕发布为生产状态，因此无此限制

内容的提问来源于stack exchange，提问作者Flamingow