在GCP中创建Workflow，无需授权头调用已授权的Cloud Function

核心思路 #

让Cloud Workflow关联的服务账号拥有调用目标Cloud Function的权限，同时在Cloud Function的IAM策略中开放该服务账号的访问权限，这样Workflow就能直接发起调用，无需手动传递授权头。

具体操作步骤 #

1. 获取Cloud Workflow的关联服务账号 #

每个Cloud Workflow默认关联一个Compute Engine服务账号，格式为：[项目编号]-compute@developer.gserviceaccount.com。你可以用以下gcloud命令查询：

gcloud workflows describe WORKFLOW_NAME --location LOCATION --format="value(serviceAccount)"

将WORKFLOW_NAME替换为你的工作流名称，LOCATION替换为工作流所在区域。

2. 为服务账号分配Cloud Function调用权限 #

给上述服务账号添加roles/cloudfunctions.invoker角色，该角色允许账号触发Cloud Function执行。执行以下gcloud命令：

gcloud functions add-iam-policy-binding FUNCTION_NAME \
  --region REGION \
  --member "serviceAccount:SERVICE_ACCOUNT_EMAIL" \
  --role "roles/cloudfunctions.invoker"

替换FUNCTION_NAME为你的Cloud Function名称，REGION为函数所在区域，SERVICE_ACCOUNT_EMAIL为步骤1中获取的服务账号邮箱。

3. 编写Workflow调用逻辑 #

在Workflow的YAML定义中，直接调用Cloud Function的HTTP端点即可，无需添加Authorization请求头。示例代码：

- invoke_function:
    call: http.get
    args:
        url: "https://REGION-PROJECT_ID.cloudfunctions.net/FUNCTION_NAME"
    result: function_result

将REGION、PROJECT_ID、FUNCTION_NAME替换为你的实际配置信息。

4. 验证配置有效性 #

运行Workflow实例，检查是否能成功触发Cloud Function并返回正常结果。如果出现权限错误，确认服务账号的角色是否正确添加，以及Cloud Function的IAM策略是否已同步生效。

注意事项 #

• 确保目标Cloud Function的触发类型为HTTP，且如果开启了"需要身份验证"选项，必须通过IAM授权访问（我们的配置已满足该要求）。
• 若使用自定义服务账号而非默认的Compute Engine服务账号，需在创建Workflow时指定该自定义账号，并同样为其分配roles/cloudfunctions.invoker角色。

内容的提问来源于stack exchange，提问作者Syed Ali Raza