使用Cloud Build在GCP部署镜像失败：无法读取提交xxxxxxxx

我帮你梳理下这个问题的解决思路——你遇到的「Couldn't read commit xxxxxxxx」错误，确实很大概率是IAM权限配置不到位导致的，尤其是Cloud Build的服务账号没有足够权限访问同步后的Google Cloud Repository内容。下面是具体的排查和解决步骤：

1. 检查Cloud Build服务账号的核心权限 #

Cloud Build默认使用的服务账号格式是 <你的项目编号>@cloudbuild.gserviceaccount.com，你需要确保它拥有以下关键权限：

• Cloud Source Repositories Reader（角色ID：roles/source.reader）：允许服务账号读取Cloud Repo中的代码提交元信息
• Cloud Source Repositories Viewer（角色ID：roles/source.viewer）：获取仓库内容的基础访问权限

你可以在GCP控制台的IAM页面找到这个服务账号，直接添加对应的角色即可。

2. 验证BitBucket同步到Cloud Repo的权限链路 #

因为你的代码是从BitBucket同步到Google Cloud Repository的，还要确保这条同步链路的权限没有断点：

• 先确认BitBucket的同步任务是否正常执行，检查Cloud Repo的master分支里是否确实存在触发构建的那个commit
• 进入Cloud Repo的仓库设置页面，确认Cloud Build的服务账号被允许访问该仓库（有些私有仓库会单独设置访问权限）

3. 额外的排查与验证操作 #

如果权限配置看起来没问题，还可以试试这些操作缩小问题范围：

• 手动触发一次Cloud Build构建，直接指定master分支的最新commit ID，看是否能绕过触发器的权限问题成功运行
• 查看Cloud Build的详细构建日志，里面通常会有更具体的权限拒绝细节（比如某个特定资源的访问被明确拒绝）
• 尝试重新创建Cloud Build触发器，确保触发器配置里指定的仓库地址、分支名称完全正确，避免配置错误导致的commit读取失败

另外，你也可以用gcloud命令行快速验证服务账号的权限配置：

gcloud projects get-iam-policy 你的项目ID --filter="bindings.members:serviceAccount:<你的项目编号>@cloudbuild.gserviceaccount.com" --format=json

这个命令会输出该服务账号当前拥有的所有角色，你可以直接检查是否包含前面提到的Source Repositories相关角色。

内容的提问来源于stack exchange，提问作者Hugues