GCP Eventarc无法触发Cloud Run：permission_denied问题排查求助

• 检查触发器状态与配置变更：登录GCP控制台进入Eventarc页面，查看目标触发器的状态是否正常运行，同时检查最近的配置变更记录，确认没有误修改事件过滤规则或触发禁用状态。
• 验证事件匹配规则准确性：核对触发器的事件过滤器，确认google.cloud.bigquery.v2.JobService.InsertJob的事件属性匹配逻辑是否符合当前BigQuery作业的实际情况，比如是否新增了不必要的属性过滤条件，导致符合条件的作业无法触发。
• 排查Cloud Run服务可用性：检查Cloud Run应用的运行状态，确认没有部署失败、资源超限（CPU/内存）、端口配置错误等问题，同时查看最近的部署记录，排除新版本镜像导致服务无法接收请求的可能。
• 分析日志链路细节：在Cloud Logging中分别过滤以下日志：
  • Eventarc触发器日志：使用过滤条件resource.type="eventarc_trigger"，查看触发器是否接收到事件、是否尝试调用Cloud Run，以及调用时的错误信息。
  • Cloud Run请求日志：使用过滤条件resource.type="cloud_run_revision"，确认是否有来自Eventarc的请求，以及请求的返回状态码（如403权限错误、500服务内部错误）。
• 重新校验服务账号权限：
  • 确认Eventarc触发器使用的服务账号（默认格式eventarc-trigger@<项目ID>.iam.gserviceaccount.com）拥有Cloud Run服务的run.invoker权限。
  • 确认BigQuery服务账号拥有eventarc.eventPusher权限，同时检查权限是否被意外移除或未完成同步。
• 检查GCP服务健康状态：查看GCP控制台的服务状态面板，确认Eventarc、Cloud Run、BigQuery在你的部署区域没有正在进行的维护或故障。
• 手动测试触发器：使用gcloud命令发送测试事件，验证触发器是否能正常触发Cloud Run：

  gcloud eventarc triggers test <触发器名称> --location=<部署区域> --event='{"specversion":"1.0","type":"google.cloud.bigquery.v2.JobService.InsertJob","source":"//bigquery.googleapis.com/projects/<你的项目ID>","subject":"jobs/test-job-id","data":{}}'
  

内容的提问来源于stack exchange，提问作者loki