能否将多个GCP项目路由至同一个Cloud Function端点？

针对共享Cloud Functions端点（如数据导出）需要让终端用户项目承担高成本计算费用的问题，以下是几种符合GCP生态的落地方案，核心思路是将计算任务的计费主体切换到用户项目，无需为每个用户重复部署函数：

1. 显式指定BigQuery作业的计费项目 #

如果导出任务核心是BigQuery数据处理，最直接的方式是在发起导出作业时，强制指定billingProjectId为用户的GCP项目ID。这样不管请求来自哪个项目，BigQuery的计算、存储读写费用都会计入用户项目。

实现示例（Python） #

from google.cloud import bigquery

def export_data(request):
    # 从请求中解析用户项目ID和导出参数
    user_project_id = request.args.get("user_project_id")
    dataset_id = request.args.get("dataset_id")
    table_id = request.args.get("table_id")
    destination_gcs_path = request.args.get("destination_gcs_path")

    client = bigquery.Client()
    # 配置导出作业，指定计费项目为用户项目
    job_config = bigquery.ExtractJobConfig()
    job_config.destination_format = bigquery.DestinationFormat.CSV
    
    # 关键：设置billing_project参数
    extract_job = client.extract_table(
        f"{user_project_id}.{dataset_id}.{table_id}",
        destination_gcs_path,
        job_config=job_config,
        billing_project=user_project_id  # 计费归属用户项目
    )
    extract_job.result()  # 长任务建议异步处理，避免函数超时
    return {"status": "success", "job_id": extract_job.job_id}

权限要求 #

• 主项目的Cloud Functions服务账号（如[FUNCTION_NAME]@[MAIN_PROJECT].iam.gserviceaccount.com）需要在用户项目中被授予 roles/bigquery.jobUser 角色，允许提交计费作业。

2. 服务账号身份模拟 #

如果需要更严格的权限隔离，可以让Cloud Functions模拟用户项目的专用服务账号来执行导出任务，所有操作的费用会自动归属用户项目。

实现步骤 #

1. 在每个用户项目中创建专用服务账号（如sa-export@[USER_PROJECT].iam.gserviceaccount.com），并授予其导出所需的权限（roles/bigquery.jobUser、roles/storage.objectCreator等）。
2. 给主项目的Cloud Functions服务账号授予 roles/iam.serviceAccountTokenCreator 角色（在用户项目中），允许其模拟该专用服务账号。
3. 在Cloud Functions代码中使用模拟身份发起请求：

from google.cloud import bigquery
from google.oauth2 import service_account
from google.auth import impersonated_credentials

def export_data(request):
    user_project_id = request.args.get("user_project_id")
    user_sa_email = f"sa-export@{user_project_id}.iam.gserviceaccount.com"
    
    # 加载主项目服务账号凭证
    source_credentials = service_account.Credentials.from_service_account_file(
        "/path/to/main-project-sa-key.json"
    )
    # 模拟用户项目服务账号
    target_credentials = impersonated_credentials.Credentials(
        source_credentials=source_credentials,
        target_principal=user_sa_email,
        target_scopes=["https://www.googleapis.com/auth/bigquery", "https://www.googleapis.com/auth/devstorage.write"],
        lifetime=3600
    )
    
    # 使用模拟凭证创建BigQuery客户端
    client = bigquery.Client(credentials=target_credentials, project=user_project_id)
    # 发起导出作业（此时计费自动归属用户项目）
    extract_job = client.extract_table(...)
    extract_job.result()
    return {"status": "success"}

3. 结合Cloud Tasks处理长时任务 #

由于Cloud Functions最长执行时间为9分钟，导出数十亿行数据可能超时，建议将导出任务异步化：

• Cloud Functions收到请求后，将导出参数发送到用户项目的Cloud Tasks队列（或主队列但指定计费项目）。
• Cloud Tasks任务执行时，使用上述两种方式之一发起导出作业，确保费用计入用户项目。

关键配置 #

创建Cloud Tasks任务时，可通过task.http_request.oauth_token.service_account_email指定用户项目的服务账号，或在BigQuery作业中指定billingProjectId。

批量权限配置建议 #

为避免手动给每个用户项目配置权限，可通过Terraform、GCP API或Cloud Deployment Manager自动化完成：

• 当创建新用户项目时，自动为主项目的Cloud Functions服务账号授予所需角色。
• 自动在用户项目中创建专用服务账号并配置权限。

内容的提问来源于stack exchange，提问作者David542