部署Gen2 Cloud Functions遇权限错误：如何给服务账号添加getIamPolicy权限？

核心问题排查与解决步骤 #

你遇到的错误本质是执行部署命令的身份（即<SERVICE_ACCOUNT_EMAIL>）缺少目标项目的projects.getIamPolicy权限，以下是针对性的排查和修复方案：

1. 确认权限绑定的主体与层级 #

• 确保你给Security Reviewer角色绑定的是执行gcloud functions deploy命令时使用的服务账号，而非函数运行时的默认服务账号。可通过gcloud config get-value account命令确认当前活跃账号是否为你授权的那个。
• 角色必须绑定在项目层级，projects.getIamPolicy是项目级权限，绑定在Pub/Sub主题或其他资源层级不会生效。

2. 重新绑定正确层级的权限 #

如果你之前的角色绑定层级有误，执行以下命令给目标服务账号在项目层级添加Security Reviewer角色：

gcloud projects add-iam-policy-binding <PROJECT_ID> \
  --member="serviceAccount:<SERVICE_ACCOUNT_EMAIL>" \
  --role="roles/iam.securityReviewer"

3. 补充Gen2函数部署所需的完整权限 #

仅Security Reviewer角色不足以覆盖Gen2函数部署的全部需求，建议直接添加Cloud Functions Developer角色，它包含了部署函数及配置触发器的所有基础权限：

gcloud projects add-iam-policy-binding <PROJECT_ID> \
  --member="serviceAccount:<SERVICE_ACCOUNT_EMAIL>" \
  --role="roles/cloudfunctions.developer"

同时，针对Pub/Sub触发器，需确保服务账号拥有pubsub.topics.getIamPolicy和pubsub.topics.setIamPolicy权限，可直接添加Pub/Sub Editor角色：

gcloud projects add-iam-policy-binding <PROJECT_ID> \
  --member="serviceAccount:<SERVICE_ACCOUNT_EMAIL>" \
  --role="roles/pubsub.editor"

4. 验证权限生效状态 #

角色绑定后需等待1-2分钟同步，可通过以下命令验证服务账号是否已获得目标权限：

gcloud projects get-iam-policy <PROJECT_ID> \
  --filter="bindings.members:serviceAccount:<SERVICE_ACCOUNT_EMAIL>" \
  --format="value(bindings.role)"

若输出包含roles/iam.securityReviewer或roles/cloudfunctions.developer，则权限绑定正确。

5. 排除服务账号身份切换问题 #

如果使用本地密钥文件切换账号，确认环境变量指向正确的密钥文件：

echo $GOOGLE_APPLICATION_CREDENTIALS

若路径错误，重新设置：

export GOOGLE_APPLICATION_CREDENTIALS="/path/to/your/service-account-key.json"

内容的提问来源于stack exchange，提问作者Matt Gilbert