AWS服务触发GCP Cloud Function时遭遇401未授权问题求解决

我在AWS上运行一个Web Client服务，需要调用GCP的Cloud Function。为了安全起见，我只想让这个AWS服务能触发该函数，拒绝其他所有用户的调用。我查了相关文档和问答，但没找到能落地的方案——现有方案都提到手动生成idToken，但服务端没法做手动操作；尝试用带keys.json的服务账号方式调用时，碰到了401未授权错误，具体错误信息如下：

request https://us-central1-multi-service-app-js.cloudfunctions.net/helloHttp with target audience https://us-central1-multi-service-app-js.cloudfunctions.net/helloHttp

<html><head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<title>401 Unauthorized</title>
</head>
<body text=#000000 bgcolor=#ffffff>
<h1>Error: Unauthorized</h1>
<h2>Your client does not have permission to the requested URL <code>/helloHttp</code>.</h2>
<h2></h2>
</body></html>

1. 给服务账号配置正确权限 #

先确认你用来调用Cloud Function的GCP服务账号，是否被授予cloudfunctions.invoker权限：

• 打开GCP控制台的IAM页面，找到对应的服务账号
• 点击「添加权限」，搜索并添加Cloud Functions Invoker角色

2. 自动生成ID Token（服务端无需手动操作） #

服务端可以通过GCP的IAM Credentials API自动生成ID Token，完全不需要手动干预。以Node.js为例，AWS服务里可以这么实现：

• 用服务账号的keys.json初始化Google认证库（AWS中建议通过秘管或环境变量读取文件，不要硬编码）
• 调用getIdTokenClient()方法，传入Cloud Function的完整URL作为目标受众
• 请求时把生成的Token放到Authorization头里，格式为Bearer <生成的token>

示例代码：

const { GoogleAuth } = require('google-auth-library');

async function invokeGCPFunction() {
  const auth = new GoogleAuth({
    keyFilename: './service-account-key.json',
    scopes: 'https://www.googleapis.com/auth/cloud-platform'
  });
  const functionUrl = 'https://us-central1-multi-service-app-js.cloudfunctions.net/helloHttp';
  const client = await auth.getIdTokenClient(functionUrl);
  const response = await client.request({ url: functionUrl });
  console.log(response.data);
}

3. 检查目标受众是否完全匹配 #

目标受众必须和Cloud Function的URL完全一致，包括https://、区域、项目ID和函数名，不能多斜杠或漏字符，否则Token会验证失败。

4. 排查AWS侧网络与权限 #

确保AWS服务所在环境（比如EC2、Lambda）能正常访问GCP的IAM API（https://iamcredentials.googleapis.com）和Cloud Function的Endpoint，没有安全组或NACL限制出站流量。

内容的提问来源于stack exchange，提问作者JayantSeth