如何向Cloud Build配置动态传入service account参数？

你的推测是正确的，Cloud Build 的根级serviceAccount字段确实不支持用户自定义的_开头的 substitutions 变量。Cloud Build 解析配置文件时，仅会替换根级字段中的Google 官方预定义变量（如$PROJECT_ID），用户自定义的 substitutions 变量仅会在构建步骤执行阶段才生效，因此解析serviceAccount字段时${_SERVICE_ACCOUNT}尚未被替换，直接识别为无效的服务账号 URL，触发报错。

方案1：提交命令直接指定服务账号（最常用） #

删除 YAML 配置中的根级serviceAccount字段，执行gcloud builds submit时通过--service-account参数传入不同的服务账号值，完全复用同一份配置文件：

gcloud builds submit --config cloudbuild.yaml --service-account=<你的服务账号完整邮箱>

方案2：预渲染配置文件后提交 #

如果希望保留配置文件内的参数定义，可提前用envsubst工具完成变量替换后再提交构建：

1. 修改配置文件中serviceAccount字段为：

serviceAccount: 'projects/$PROJECT_ID/serviceAccounts/$SERVICE_ACCOUNT'

2. 提交时先完成变量渲染再传入 gcloud：

SERVICE_ACCOUNT=my-service-account@developer.gserviceaccount.com envsubst < cloudbuild.yaml | gcloud builds submit --config=-

方案3：触发器指定服务账号（适用于自动构建场景） #

如果是通过 Cloud Build 触发器自动触发构建，不需要手动提交，可直接在触发器的配置页指定对应服务账号，构建会自动使用触发器配置的身份，YAML 中无需填写serviceAccount字段，不同触发器可绑定不同服务账号，复用同一份构建配置。

无论使用哪种方案，都需要确保发起构建的身份（手动提交的操作账号、触发器关联的服务账号）拥有目标服务账号的iam.serviceAccounts.actAs权限，否则会触发权限不足错误。

内容的提问来源于stack exchange，提问作者Oleksandr Bushkovskyi