Google Cloud Pub/Sub报错：指定托管服务账号不存在

问题概述 #

按照Google官方《Using Pub/Sub with Cloud Run tutorial》教程，执行Integrating with Pub/Sub部分的2.b步骤（允许Google服务账号创建身份令牌）时，运行以下命令：

gcloud projects add-iam-policy-binding PROJECT_ID 
   --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-pubsub.iam.gserviceaccount.com 
   --role=roles/iam.serviceAccountTokenCreator

替换PROJECT_ID和PROJECT_NUMBER为实际值后，报错：

ERROR: (gcloud.projects.add-iam-policy-binding) INVALID_ARGUMENT: Service account service-PROJECT_NUMBER@gcp-sa-pubsub.iam.gserviceaccount.com does not exist.

已确认项目编号正确，等待数小时后问题依旧，Cloud Console IAM界面操作也报相同错误。当前项目已正常运行Pub/Sub Pull订阅，另一同配置项目可完成该步骤，推测当前项目的Google托管服务账号存在异常。

解决方案 #

1. 确认托管服务账号是否存在 #

先通过命令查询项目内的所有服务账号，确认目标账号是否存在：

gcloud iam service-accounts list --project PROJECT_ID

如果输出中没有service-PROJECT_NUMBER@gcp-sa-pubsub.iam.gserviceaccount.com，说明该托管账号未被自动创建。

2. 重新触发Pub/Sub托管账号生成 #

该账号是启用Pub/Sub API时自动创建的Google托管服务账号，若未生成，可尝试以下操作（注意：禁用API会影响当前运行的Pull订阅，需评估业务影响后执行）：

• 先禁用Pub/Sub API：

  gcloud services disable pubsub.googleapis.com --project PROJECT_ID
  

• 等待1-2分钟后重新启用API：

  gcloud services enable pubsub.googleapis.com --project PROJECT_ID
  

• 再次执行账号查询命令，确认账号是否生成。

3. 检查组织级政策限制 #

若项目属于Google Cloud组织，需确认组织是否有政策限制托管服务账号的创建：

• 登录Cloud Console，进入IAM & Admin > Organization Policies
• 查找Restrict service account creation and deletion或类似政策，确认是否禁止了Pub/Sub相关托管账号的创建

4. 联系Google Cloud支持 #

若以上操作均无效，可能是项目存在底层异常，需提交支持工单，提供项目ID、报错信息及已执行的排查步骤，请求Google Cloud团队协助修复托管账号。

内容的提问来源于stack exchange，提问作者Curious Octopus