App Engine无法调用同项目Google Cloud Function的配置排查

你已经完成了IAM层面的基础权限绑定，鉴权失败基本都是因为调用请求没有携带合法的OIDC身份凭证——服务账号权限配置不会自动为你的出站HTTP请求注入认证信息，必须显式在代码和配置侧补全以下逻辑：

必须补全的配置与代码逻辑 #

1. 代码侧主动生成并传递身份令牌 #

App Engine 运行时不会自动给你发往Cloud Function的请求加认证头，必须手动生成对应服务账号的OIDC ID令牌，放到请求头里传递：

• 不要硬编码服务账号密钥文件，App Engine环境默认内置Application Default Credentials(ADC)，直接调用官方Google Auth库即可获取合法令牌
• Node.js 参考实现：

const { GoogleAuth } = require('google-auth-library');
const auth = new GoogleAuth();

// 替换为你的Cloud Function完整触发URL
const CF_TRIGGER_URL = 'https://<部署区域>-<项目ID>.cloudfunctions.net/<函数名称>';

async function invokeCloudFunction() {
  // 生成令牌时指定audience为函数完整URL，是鉴权通过的核心前提
  const authClient = await auth.getIdTokenClient(CF_TRIGGER_URL);
  const response = await authClient.request({
    url: CF_TRIGGER_URL,
    method: 'POST', // 替换为你实际使用的请求方法
    // 按需添加请求体、其他自定义请求头
  });
  return response.data;
}

• 如果不使用官方auth库、手动构造HTTP请求，需要把获取到的ID令牌放到Authorization: Bearer <ID_TOKEN>头中。注意Cloud Function鉴权校验的是OIDC ID令牌，不是普通的OAuth2访问令牌，用错令牌类型一定会报403。

2. 核对几个容易踩的配置细节 #

• 令牌的audience值必须和Cloud Function的完整触发URL完全一致：不能漏路径、不能多/少尾斜杠、不能写错域名，二代Cloud Function如果使用run.app域名的触发地址，audience也要对应填这个地址，字符不匹配直接鉴权失败。
• 确认App Engine当前运行版本实际绑定的服务账号：如果部署App Engine时指定了自定义服务账号，需要给这个自定义账号绑定Cloud Functions Invoker角色，不要只给默认的<项目ID>@appspot.gserviceaccount.com加权限，可在App Engine版本详情页查看实际生效的服务账号。
• 确认Cloud Function的入站流量规则没有拦截App Engine的请求：如果函数配置为仅允许内部VPC流量访问，需要给App Engine配置Serverless VPC连接器才能访问，不过你配置AllUsers可访问时能正常调用，这一步大概率没问题，可以最后排查。

3. 快速排障方法 #

可以先登录App Engine的实例SSH终端，用命令行直接测试带令牌的请求，排除IAM配置问题：

# 替换为你自己的Cloud Function完整URL
curl -H "Authorization: Bearer $(gcloud auth print-identity-token --audiences=https://<region>-<project>.cloudfunctions.net/<func-name>)" https://<region>-<project>.cloudfunctions.net/<func-name>

如果上述命令能正常返回结果，说明IAM权限配置完全正常，问题100%出在Node.js代码的令牌生成/传递逻辑上；如果命令也返回403，再回头核对服务账号绑定、audience配置、组织策略限制即可。

注意：给AllUsers主体授予调用权限相当于将函数完全暴露给公网，测试完成后务必及时移除该绑定，避免产生安全风险和非预期的费用账单。

内容的提问来源于stack exchange，提问作者PixelatedLlama