GCP下配置Cloud Functions Invoker权限调用函数仍返回403错误

• 权限未正确配置或未生效
  确认授予Cloud Functions Invoker权限的服务账号，与工作流运行时指定的服务账号完全一致，避免写错服务账号邮箱后缀。同时IAM权限配置存在最长5分钟的生效延迟，刚授权就立即调用会触发403。
• 工作流HTTP请求未携带身份令牌
  这是最高发的问题：如果工作流中使用http.get/http.post等通用HTTP方法调用云函数，必须显式添加OIDC身份认证配置，否则工作流不会自动携带服务账号的身份令牌，云函数的身份校验会直接拦截请求，示例配置如下：

  - call: http.post
    args:
      url: 你的云函数触发URL
      auth:
        type: OIDC
  

• 云函数入口配置限制
  确认云函数的入口设置（Ingress settings）没有限制工作流的出口IP，若配置了仅允许内部流量或指定IP访问，需将工作流出口IP加入允许列表，或调整入口为「允许所有流量」（身份校验逻辑仍会生效，仅放开网络层访问限制）。
• 上层权限策略拦截
  确认该服务账号没有被组织、文件夹层面的IAM拒绝策略限制云函数调用权限，组织级拒绝策略优先级高于资源级的允许策略；同时确认服务账号处于启用状态，未被禁用或删除。

内容的提问来源于stack exchange，提问作者user3205999