Cloud Run触发器报错缺少cloudbuild.builds.create权限如何解决？

可按以下顺序排查遗漏配置： #

• 确认授权的服务账号为触发器实际使用的账号
  打开对应触发器的配置页，核对「服务账号」字段的取值：默认服务账号格式为[项目编号]@cloudbuild.gserviceaccount.com，如果是自定义服务账号以你配置的为准。多数同类报错是因为误给其他服务账号授予权限，并未匹配触发器实际调用的账号。
• 检查IAM权限的生效范围
  • 如果你在文件夹/组织层级授予角色，需要确认当前项目没有配置IAM拒绝策略拦截cloudbuild.builds.create权限，也没有项目级的权限限制覆盖上层授权
  • 如果是跨项目部署场景（触发器在A项目，部署目标Cloud Run在B项目），你需要同时在A项目给对应服务账号授予Cloud Build Editor角色，在B项目授予必要的部署权限
• 等待IAM权限生效
  IAM权限变更最长存在5分钟的传播延迟，授权完成后建议等待数分钟再重试触发，避免因缓存导致权限未生效。
• 核查组织政策限制
  部分企业组织会配置constraints/cloudbuild.allowedServiceAccountImporters等限制政策，禁止指定服务账号用于创建Cloud Build任务，可联系组织管理员确认当前使用的服务账号未被政策拦截。
• 确认Cloud Build API已完全激活
  如果你是刚开启Cloud Build API，需要等待API激活流程完成后再进行触发器测试，部分刚激活API的项目会出现临时权限错误。

内容的提问来源于stack exchange，提问作者Finglish