Google Cloud Run挂载Secret卷时getEffectiveOrgPolicy 404错误如何解决

constraints/gcp.SecretManagerFilesystemAccess是GCP内置的非公开组织策略约束，作用是限制将Secret Manager密钥以文件系统挂载的方式关联到Cloud Run等计算资源。你遇到的404报错属于控制台前端隐性校验问题：拉取项目生效组织策略时，该约束的配置读取异常/已被设为禁止状态，触发了无提示的表单校验拦截，导致部署按钮无响应。
另一组织相同配置可正常部署的核心原因是该组织未启用constraints/gcp.SecretManagerFilesystemAccess约束。

• 步骤1：查询当前约束生效状态
  执行gcloud命令确认该组织策略的配置：
  gcloud org-policies describe constraints/gcp.SecretManagerFilesystemAccess --project=<替换为你的项目ID>
  如果返回结果中spec.rules.enforce值为true，说明该约束已开启，禁止Secret挂载操作。

• 步骤2：调整组织策略配置（需拥有组织策略编辑权限）
  可以直接关闭该约束，或将当前项目加入策略豁免列表，参考配置文件policy.yaml如下：

  name: projects/<替换为你的项目ID>/policies/gcp.SecretManagerFilesystemAccess
  spec:
    rules:
    - enforce: false
  

  执行命令生效配置：
  gcloud org-policies set-policy ./policy.yaml --project=<替换为你的项目ID>

• 步骤3：无权限修改组织策略的替代方案
  放弃文件挂载方式引用密钥，改为将密钥作为环境变量注入Cloud Run应用，该使用方式不受constraints/gcp.SecretManagerFilesystemAccess约束限制。

• 步骤4：权限校验
  若查询策略时返回权限不足，说明你的账号缺少orgpolicy.policy.get权限，可在项目IAM中为操作账号添加Organization Policy Viewer角色，即可解决拉取策略接口返回404的问题。

注意：无论使用哪种方式引用密钥，都需要提前为Cloud Run运行时服务账号授予对应密钥的Secret Manager Secret Accessor角色，否则应用运行时无法正常读取密钥内容。

内容的提问来源于stack exchange，提问作者Denis