GKE环境执行gcloud run deploy传服务账号报正则校验错误

报错核心是GKE部署场景下gcloud run deploy的--service-account参数语义和全托管Cloud Run存在差异：

• 全托管Cloud Run中，该参数接收谷歌云IAM服务账号（GSA）的邮箱地址
• 基于Knative Serving的GKE Cloud Run环境中，该参数直接映射Kubernetes原生资源的spec.template.spec.serviceAccountName字段，要求传入的是Kubernetes服务账号（KSA），命名必须符合RFC 1123规范：仅支持小写字母、数字、-、.，首尾必须为字母或数字，不允许出现@字符。你直接传入带@的GSA邮箱（格式为$PROJECT_ID-compute@developer.gserviceaccount.com），必然触发webhook校验拦截返回400错误。
  沙箱环境部署正常，是因为沙箱环境提前完成了KSA配置与权限绑定，部署时未显式传入非法格式的GSA邮箱，默认使用了命名空间下合规的KSA。dev环境找不到关联服务账号、传参报错，本质是混淆了GCP IAM服务账号和K8s服务账号的使用边界。

• 1. 提前开启GKE集群的*工作负载身份（Workload Identity）*功能，这是GKE中KSA关联GCP IAM权限的必备基础
• 2. 在部署目标命名空间下创建合规的Kubernetes服务账号

# 切换到目标GKE集群的kubeconfig上下文
kubectl config use-context $YOUR_CLUSTER_CONTEXT
# 在部署命名空间下创建KSA
kubectl create serviceaccount $KSA_NAME -n $test

• 3. 完成KSA和目标GSA的权限绑定，让KSA继承GSA的IAM权限，实现GCP资源访问能力

# 给GSA绑定工作负载身份用户角色，允许指定KSA模拟该GSA
gcloud iam service-accounts add-iam-policy-binding $SERVICE_ACCOUNT \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$GKE_PROJECT.svc.id.goog[$test/$KSA_NAME]"

# 给KSA添加注解，完成和GSA的关联映射
kubectl annotate serviceaccount $KSA_NAME \
  --namespace $test \
  iam.gke.io/gcp-service-account=$SERVICE_ACCOUNT

• 4. 调整部署命令，将--service-account参数的取值替换为刚创建的KSA名称，禁止传入GSA邮箱

gcloud run deploy $service_name \
--no-cpu-throttling \
--image=$image_name \
--project=$GKE_PROJECT \
--platform=gke \
--cluster=$CLUSTER \
--cluster-location=$CLUSTER_LOCATION \
--impersonate-service-account=$IMP_SERVICE_ACCOUNT \
--service-account=$KSA_NAME \
--namespace=$test

如果不需要自定义KSA，可以直接删除部署命令中的--service-account参数，默认使用命名空间下的default KSA，只要给这个default KSA完成上述GSA绑定步骤即可正常部署。

内容的提问来源于stack exchange，提问作者Mani