Cloud Build触发器不再触发 GitHub新标签推送无法自动启动构建

近期相关规则变动 #

• 2024年Q2起Cloud Build更新了GitHub Webhook权限校验逻辑：如果仓库权限变更、关联的GitHub App令牌过期/权限被回收，标签推送事件会被静默丢弃，不会在Cloud Build常规构建日志中留下报错记录
• 标签匹配规则收紧：触发器配置的通配符过滤规则现在严格遵循RE2语法规范，此前兼容的非标准通配符写法会被判定为不匹配
• 新增事件来源校验：如果GitHub Webhook请求被项目VPC防火墙、组织级访问控制策略拦截，触发器不会被激活

排查步骤 #

1. 校验GitHub Webhook状态 #

打开对应GitHub仓库的设置->Webhooks页面，找到Cloud Build关联的Webhook，查看最近一周标签推送事件的响应状态：

• 状态码403：权限校验失败，需重新关联Cloud Build与GitHub仓库的授权
• 状态码404：触发器被隐形禁用或Webhook地址被修改，需重新生成触发器的Webhook地址
• 状态码5xx：Cloud Build区域服务异常，可提交工单确认对应区域的服务可用性

2. 校验触发器配置规则 #

• 打开Cloud Build控制台触发器详情页，确认事件类型仍勾选了推送新标签，存在后台更新后事件类型被重置为推送分支的已知情况
• 核对标签过滤规则：若使用正则匹配，拿近期推送的标签值做RE2语法测试，确认符合匹配条件
• 确认触发器未被误加路径限制、分支过滤规则，绑定的仓库地址无误

3. 校验权限与配额 #

• 确认Cloud Build默认服务账号[PROJECT_NUMBER]@cloudbuild.gserviceaccount.com仍持有Cloud Build Service Agent等必要权限，未被组织策略回收
• 检查项目Cloud Build构建配额：配额耗尽时自动触发的构建会被直接丢弃，手动触发的管理员账号可能持有额外配额可正常运行

4. 校验构建配置关联 #

• 确认触发器指定的cloudbuild.yaml路径与仓库中实际路径一致，未受仓库目录结构变动影响
• 检查是否开启了构建前需要审批选项，若开启且未完成审批，构建会处于待处理状态不会自动运行
• 导出Cloud Build审计日志，过滤type.googleapis.com/google.devtools.cloudbuild.v1.BuildTriggerEvent事件，确认是否有触发记录及对应的报错原因

内容的提问来源于stack exchange，提问作者Dario