能否将GCP项目B的服务账号绑定到项目A的GCP云函数？

没问题！不管是给GCP云函数附加其他项目的服务账号，还是你提到的在Project A中创建function-in-A-project并绑定Project B的service-account-created-in-B-project，都是完全可行的，不过得完成对应的权限配置，具体步骤如下：

1. 为Project B的目标服务账号配置基础运行权限 #

首先要确保Project B里的service-account-created-in-B-project拥有云函数运行所需的基础角色，常见的包括：

• roles/cloudfunctions.serviceAgent：云函数运行时的核心服务角色
• roles/cloudfunctions.invoker：如果需要触发该云函数，需添加此角色
  你可以在Project B的IAM控制台页面给该服务账号添加对应角色，或者用gcloud命令快速配置：

gcloud projects add-iam-policy-binding PROJECT_B_ID \
  --member="serviceAccount:service-account-created-in-B-project@PROJECT_B_ID.iam.gserviceaccount.com" \
  --role="roles/cloudfunctions.serviceAgent"

2. 授权Project A的云函数服务主体扮演目标服务账号 #

接下来要在Project B中，允许Project A的云函数服务主体使用这个跨项目的服务账号。需要给Project A的云函数专用服务账号（格式为service-PROJECT_A_NUMBER@gcf-admin-robot.iam.gserviceaccount.com）添加roles/iam.serviceAccountUser角色——这个角色的作用就是允许账号“扮演”另一个服务账号。
操作方式二选一：

• 在Project B的IAM控制台添加成员，输入Project A的云函数服务账号邮箱，赋予roles/iam.serviceAccountUser角色
• 使用gcloud命令：

gcloud projects add-iam-policy-binding PROJECT_B_ID \
  --member="serviceAccount:service-PROJECT_A_NUMBER@gcf-admin-robot.iam.gserviceaccount.com" \
  --role="roles/iam.serviceAccountUser"

提示：PROJECT_A_NUMBER是Project A的项目编号，可以在GCP控制台的项目设置页面找到。

3. 创建云函数时指定跨项目服务账号 #

当你在Project A创建function-in-A-project时，在配置环节找到“运行服务账号”选项，直接输入Project B的服务账号完整邮箱：service-account-created-in-B-project@PROJECT_B_ID.iam.gserviceaccount.com即可。如果用gcloud命令部署，加上--service-account参数：

gcloud functions deploy function-in-A-project \
  --runtime python311 \  # 根据你的函数运行时调整
  --trigger-http \       # 根据你的触发方式调整
  --service-account=service-account-created-in-B-project@PROJECT_B_ID.iam.gserviceaccount.com \
  --project=PROJECT_A_ID

额外注意事项 #

• 操作这些配置的账号，需要同时拥有Project A和Project B的IAM管理员权限，否则会遇到权限不足的报错
• 如果你的云函数需要访问Project B内的其他资源（比如Cloud Storage、BigQuery），还要给service-account-created-in-B-project添加对应资源的访问角色

内容的提问来源于stack exchange，提问作者Wang Zhijun