GCP Cloud Build部署Cloud Run失败 gcloud步骤报状态码1

核心故障根因 #

• cloudbuild.yaml缩进语法错误。YAML为缩进敏感格式，当前配置顶层字段、步骤内字段缩进量混乱，存在多余前置空格，会导致Cloud Build解析配置时步骤识别错误、参数读取失败——你看到的报错显示第2步（序号从0开始计数）为gcloud部署步骤，就是因为缩进错误导致docker push步骤没有被识别为独立构建步骤，部署操作在镜像未构建、未推送的阶段就提前执行，必然失败。
• 私有依赖拉取的SSH密钥配置未生效。配置中拉取Github SSH密钥的availableSecrets段被整段注释，且docker build步骤没有传入SSH_PRIVATE_KEY构建参数，Dockerfile中定义的密钥变量为空，执行go mod download拉取私有仓库依赖时会直接鉴权失败。另外当前Dockerfile存在严重安全隐患：直接将SSH私钥写入镜像层、还添加了打印私钥到构建日志的逻辑，私钥可被任意能获取镜像的人员提取。
• 存在潜在权限/配置不匹配问题。Cloud Build默认服务账号缺少对应权限、GCR/Artifact Registry API未启用、使用的Go 1.16版本已停止维护2年以上不兼容新依赖，都可能导致构建失败。

修复方案 #

1. 修正cloudbuild.yaml配置 #

统一缩进，启用密钥配置，在构建步骤传入密钥参数，修正步骤结构：

options:
  dynamic_substitutions: true

availableSecrets:
  secretManager:
  - versionName: projects/173064054422/secrets/Github_ssh_key/versions/latest
    env: '_SSH_KEY'

steps:
  # 构建容器镜像
  - name: 'gcr.io/cloud-builders/docker'
    args: [
      'build',
      '-t', 'gcr.io/indx-engineering-testing/cloudstorage-api',
      '--build-arg', 'SSH_PRIVATE_KEY=$$_SSH_KEY',
      '.'
    ]
    secretEnv: ['_SSH_KEY']

  # 推送镜像到镜像仓库
  - name: 'gcr.io/cloud-builders/docker'
    args: ['push', 'gcr.io/indx-engineering-testing/cloudstorage-api']

  # 部署镜像到Cloud Run
  - name: 'gcr.io/cloud-builders/gcloud'
    args: [
      'run', 'deploy', 'cloudstorage-api',
      '--image=gcr.io/indx-engineering-testing/cloudstorage-api',
      '--region', 'us-central1',
      '--platform', 'managed',
      '--allow-unauthenticated',
      '--service-account', 'moty-cloudstorage-api@indx-engineering-testing.iam.gserviceaccount.com'
    ]

如果你实际要使用Artifact Registry而非旧版GCR，将镜像地址替换为[区域]-docker.pkg.dev/[项目ID]/[仓库名]/cloudstorage-api格式即可。

2. 修正Dockerfile配置 #

升级Go维护版本，移除不安全的私钥打印逻辑，构建完成后清理私钥避免留在镜像层：

# syntax=docker/dockerfile:1
# 升级到仍在维护的Go LTS版本，避免版本过旧导致编译失败
FROM golang:1.21-alpine

WORKDIR /api

# 合并依赖安装步骤，减少镜像层数
RUN apk add --no-cache git openssh

ARG SSH_PRIVATE_KEY
RUN mkdir -p ~/.ssh/ && \
    echo "${SSH_PRIVATE_KEY}" > ~/.ssh/id_ed25519 && \
    chmod 600 ~/.ssh/id_ed25519 && \
    ssh-keyscan github.com >> ~/.ssh/known_hosts && \
    git config --global url.git@github.com:.insteadOf https://github.com/ && \
    go env -w GOPRIVATE=github.com/myprojectname/*

COPY go.mod go.sum ./
RUN go mod download

# 复制代码文件，存在其他子目录时建议配合.dockerignore使用COPY . . 避免漏文件
COPY *.go ./
COPY models/ models/

RUN go build -o /docker-gs-main

# 构建完成后删除SSH密钥，避免残留在最终镜像层
RUN rm -rf ~/.ssh/

EXPOSE 8080

CMD [ "/docker-gs-main" ]

3. 权限与API前置检查 #

• 为Cloud Build服务账号173064054422@cloudbuild.gserviceaccount.com授予以下角色：
  • Cloud Run Admin（部署Cloud Run服务权限）
  • Storage Admin（推送镜像到GCR的存储权限）
  • Secret Manager Secret Accessor（读取Secret Manager中SSH密钥的权限）
  • Service Account User（模拟Cloud Run运行时服务账号的权限）
• 确认已启用对应服务API：Cloud Build API、Cloud Run API、Container Registry API（使用GCR时）/Artifact Registry API（使用AR时）、Secret Manager API。

后续排查建议 #

如果修改配置后仍构建失败，直接在Cloud Build构建详情页点开失败的步骤查看完整日志，可快速定位具体错误：

• docker build步骤失败：优先检查私有依赖拉取鉴权、Go代码编译错误
• docker push步骤失败：优先检查API启用状态、服务账号镜像推送权限
• gcloud deploy步骤失败：优先检查Cloud Run服务账号权限、区域配置是否正确

内容的提问来源于stack exchange，提问作者Motahareh Fard