已获Cloud Functions Admin角色为何调用云函数仍遇403权限问题？

问题背景 #

已被分配Cloud Functions Admin角色，创建了HTTP触发的云函数，但调用时返回403错误：

Error: Forbidden
Your client does not have permission to get URL / from this server.

核心疑问：Cloud Functions Admin权限是否应该覆盖Cloud Functions Invoker？当前权限设计是否合理？

已执行的排查操作 #

• 额外添加Owner角色，仍出现403错误
• 通过npm install -g firebase-tools将CLI升级至v11.8.0
• 为allUsers主体分配Cloud Functions Invoker角色
• 控制台日志提示gcf-artifacts has failed as the Artifact Registry API is not active. Please enable the API and try again.，但已确认Artifact Registry API已启用
• 尝试按官方文档开启未认证HTTP调用，但在Google Cloud控制台找不到对应的Configuration面板

权限设计合理性说明 #

Cloud Functions Admin角色的权限范围仅覆盖函数生命周期管理操作（创建、删除、修改配置、查看元数据等），并不包含cloudfunctions.functions.invoke这个核心调用权限。这是IAM最小权限原则的典型应用：管理权限与执行权限分离，避免因过度授权带来的安全风险。所以即使拥有Admin角色，没有Invoker权限依然无法调用函数，这个设计是合理的。

针对性排查与解决方案 #

1. 确认权限绑定主体与函数配置匹配

   • 检查发起请求的身份（个人账号/服务账号）是否确实被分配了Cloud Functions Invoker权限，避免出现权限绑定到错误主体的情况。
   • 给allUsers分配Invoker权限后，必须确保函数开启了未认证访问——HTTP函数默认要求身份认证，allUsers权限只有在未认证开关开启后才会生效。

2. 解决Artifact Registry API报错

   • 该报错大概率是区域不匹配导致：gcf-artifacts是区域级仓库，需要确保你启用的Artifact Registry API与函数部署的区域一致。
   • 可以尝试重新部署函数，触发系统自动创建对应区域的gcf-artifacts仓库；若自动创建失败，可手动在函数所在区域创建同名仓库。

3. 开启未认证HTTP调用的正确路径

   • 在Google Cloud控制台中，进入目标云函数的触发器标签页（而非Configuration），找到“允许未认证调用”开关并开启。
   • 若使用Firebase CLI部署，可直接添加参数开启：

     firebase deploy --only functions:<function-name> --allow-unauthenticated
     

     或在firebase.json中配置：

     {
       "functions": {
         "httpsTrigger": {
           "allowUnauthenticated": true
         }
       }
     }
     

4. 排查CLI部署的潜在配置问题

   • 确认部署时没有遗漏权限相关参数，比如是否误设置了--allow-authenticated（默认值）覆盖了权限配置。
   • 查看函数部署日志，检查是否有其他被忽略的权限或资源配置错误。

内容的提问来源于stack exchange，提问作者Joe Moore