如何为Google Cloud Eventarc配置正确权限以触发Cloud Function？

容易遗漏的核心问题点 #

• Pub/Sub订阅权限未正确配置：存储桶事件会推送到自动创建的Pub/Sub主题，但Eventarc需要对应订阅的权限。检查Eventarc服务账号（格式通常为service-PROJECT_NUMBER@gcp-sa-eventarc.iam.gserviceaccount.com）是否被赋予roles/pubsub.subscriber角色，且作用范围是该触发器对应的Pub/Sub订阅（不是主题）。
• 事件过滤规则不匹配：确认触发器的事件类型是否和上传操作完全匹配——比如是否设置了特定前缀/后缀过滤，而上传文件不符合；或是事件类型写错（比如应该用google.cloud.storage.object.v1.finalized却用了旧版类型）。
• 函数网络配置限制：如果函数用了VPC连接器，要确保Pub/Sub能访问VPC内的函数，或是检查是否禁用了公网访问但未配置内部路由。
• 触发器状态异常：在Cloud Console的Eventarc页面查看触发器状态，若显示“配置错误”，查看具体提示（比如权限缺失或资源不存在）。
• 存储桶通知配置偏差：即便确认Pub/Sub有事件，也要检查存储桶的通知是否绑定了正确主题，且通知事件类型包含OBJECT_FINALIZE（对应文件上传完成）。
• 角色冲突或权限继承问题：给Eventarc服务账号加过多角色（比如同时有Editor和受限角色）可能引发冲突，建议只保留必要的roles/eventarc.eventReceiver和roles/pubsub.subscriber，并确保作用范围正确。

快速验证方法 #

• 手动给对应Pub/Sub订阅发送测试消息，判断问题出在Pub/Sub到Eventarc环节，还是Eventarc到函数环节。
• 查看Cloud Logging中过滤eventarc.googleapis.com的日志，找到具体错误信息（比如权限拒绝详情），精准定位缺失的权限。

内容的提问来源于stack exchange，提问作者jola