Cloud Build服务账号部署无认证HTTP触发Cloud Function需要哪些角色？

问题根因 #

你遇到的问题核心是当前给Cloud Build服务账号分配的角色缺少设置Cloud Function IAM策略的专属权限，额外添加的Project IAM Admin是项目全局IAM管理权限，不覆盖Cloud Function资源级别的IAM配置权限，因此无效。此外还可能存在部署后IAM命令执行时机过早、IAM权限绑定层级错误的问题。

解决方案 #

步骤1：给Cloud Build服务账号授予正确权限 #

不要使用权限范围过大的Project IAM Admin角色，直接授予预定义角色Cloud Functions Security Admin（对应资源标识roles/cloudfunctions.securityAdmin）即可，该角色专门包含修改Cloud Function IAM策略的cloudfunctions.functions.setIamPolicy权限，刚好满足配置无认证访问的需求。
你可以在IAM控制台找到格式为[项目编号]@cloudbuild.gserviceaccount.com的Cloud Build服务账号，添加上述角色即可。

步骤2：优化Cloud Build配置 #

为了避免部署刚完成、函数未就绪就执行IAM绑定命令导致的失败，建议调整构建步骤如下：

steps:
# 第一步：部署函数
- name: 'gcr.io/cloud-builders/gcloud'
  args:
  - functions
  - deploy
  - myfunction
  - --source=start_shopify_installation
  - --trigger-http
  - --region=europe-west1
  - --runtime=nodejs14
  - --ingress-settings=all
  - --security-level=secure-always
  - --set-secrets=env_1=secret_1:latest
# 第二步：等待函数部署完成（避免IAM绑定时机过早报错）
- name: 'gcr.io/cloud-builders/gcloud'
  entrypoint: 'bash'
  args:
  - '-c'
  - |
    sleep 20
# 第三步：配置无认证访问权限
- name: 'gcr.io/cloud-builders/gcloud'
  args:
  - functions
  - add-iam-policy-binding
  - myfunction
  - --region=europe-west1
  - --member=allUsers
  - --role=roles/cloudfunctions.invoker

注意：建议移除beta/alpha前缀使用正式版命令，避免测试版命令的逻辑异常；无需在deploy命令中加--allow-unauthenticated参数，单独执行IAM绑定即可生效。

步骤3：确认IAM绑定层级 #

如果你在控制台看到allUsers已经有Cloud Functions Invoker角色但Authentication列仍未显示allow unauthenticated，请确认该权限是绑定在函数资源本身，而不是绑定在项目层级：

• 进入Cloud Function详情页，点击「权限」标签查看的是函数级权限，在这里绑定的allUsers角色才会触发无认证访问配置生效
• 如果是在项目全局IAM页绑定的该角色，不会被函数的认证规则识别，因此会出现有权限但调用报错的情况。

内容的提问来源于stack exchange，提问作者Emil Bonne Kristiansen