Google Cloud部署Cloud Run时触发run.services.get权限拒绝错误咨询

报错核心信息：

ERROR: (gcloud.run.services.update) PERMISSION_DENIED: Permission 'run.services.get' denied on resource 'namespaces/buypower-mobile-app/services/test-repo'

该报错的核心原因是执行部署操作的身份缺少Cloud Run服务的操作权限，你列出的个人账号权限不影响部署流程，因为Cloud Repository触发的部署默认使用Cloud Build的独立服务账号执行操作。

排查步骤 #

• 确认部署操作的实际执行身份：Cloud Build默认使用格式为[项目编号]@cloudbuild.gserviceaccount.com的服务账号执行所有构建步骤，优先排查该账号的权限配置，而非你的个人账号权限
• 确认目标资源存在性：执行命令gcloud run services list --project buypower-mobile-app查看是否存在名为test-repo的Cloud Run服务，若资源不存在，首次部署时也可能触发类似权限类误报
• 确认权限生效状态：如果刚修改过权限配置，需要等待1-2分钟让权限全局生效后再重试部署，避免延迟导致的临时报错

解决方法 #

• 给Cloud Build默认服务账号授予最小可用权限，二选一即可：
  • 选择细粒度部署权限：授予Cloud Run Developer角色（roles/run.developer），仅包含部署、更新服务所需的必要权限
  • 选择全量Cloud Run管理权限：授予Cloud Run Admin角色（roles/run.admin），包含所有Cloud Run资源的操作权限
• 权限分配命令示例：

  gcloud projects add-iam-policy-binding buypower-mobile-app \
    --member="serviceAccount:你的项目编号@cloudbuild.gserviceaccount.com" \
    --role="roles/run.developer"
  

• 若使用自定义服务账号执行部署，直接给对应自定义服务账号授予上述角色即可
• 若确认目标test-repo服务不存在，修改部署命令为创建服务的逻辑，避免调用update接口操作不存在的资源

内容的提问来源于stack exchange，提问作者Danish Bansal