Google Cloud Run 引用Secret Manager密钥时无法部署新版本

核心排查与修复步骤 #

• 校验密钥级IAM权限 #

  Cloud Run默认运行时服务账号为{项目编号}-compute@developer.gserviceaccount.com，需确认该账号在你引用的单个密钥的IAM配置页中被授予了roles/secretmanager.secretAccessor角色。仅配置项目全局权限会被密钥级的权限策略/拒绝规则覆盖，是本次静默部署失败的高频原因。

• 确认密钥版本状态 #

  检查引用的密钥版本处于ENABLED状态，已禁用/销毁的密钥版本会触发部署流程静默终止，当前Cloud Run控制台前端未针对该场景做即时错误提示。

• 用gcloud CLI获取明确报错信息 #

  控制台无响应通常是前端错误捕获逻辑缺失导致，可通过gcloud命令行部署拿到明确错误栈，参考命令如下：

  gcloud run deploy <你的服务名称> \
    --image <容器镜像完整地址> \
    --set-secrets <环境变量名>=<密钥资源路径>:<版本号> \
    --region <部署区域>
  

• 核查组织策略变更记录 #

  10月28日至11月6日的暂停开发窗口若有组织管理员调整过项目权限规则，需确认是否新增了Secret Manager相关的限制策略（比如跨服务访问限制、密钥使用区域限制），这类全局规则变更也会导致之前正常的部署流程失效。

内容的提问来源于stack exchange，提问作者kurowskiandrzej