如何使用gcloud run deploy实现Cloud Run服务不存在时自动创建

gcloud run deploy 默认原生支持「目标服务不存在则新建、存在则更新」的逻辑，你遇到的报错并非功能缺失，而是 Cloud Build 运行身份的权限不足。

Google Cloud 的权限设计会对无权限访问资源的账号，统一返回PERMISSION_DENIED报错，不会明确告知资源是否存在，避免信息泄露。你看到的run.services.get权限报错，是gcloud执行deploy前会先尝试读取目标服务配置判断是否存在，当前Cloud Build使用的服务账号没有读取和创建Cloud Run服务的权限，才会触发该报错。

1. 给Cloud Build服务账号授予必要权限 #

• 打开Google Cloud IAM控制台，找到Cloud Build默认服务账号，格式为[PROJECT_NUMBER]@cloudbuild.gserviceaccount.com
• 为该账号授予roles/run.admin（Cloud Run管理员）角色，该角色包含部署所需的服务读取、创建、更新全量权限。如果需要最小权限原则，可以自定义包含run.services.get、run.services.create、run.services.update三个权限的角色授予即可。

2. 可选：移除alpha轨道依赖 #

你当前使用的alpha版本run deploy属于不稳定测试轨道，你用到的所有参数均已在正式版gcloud中支持，建议把args中的alpha参数移除，避免后续API变动导致配置失效，修改后的配置段如下：

- name: 'gcr.io/google.com/cloudsdktool/cloud-sdk'
  entrypoint: gcloud
  args:
    - 'run'
    - 'deploy'
    - 'backend'
    - '--image=eu.gcr.io/$PROJECT_ID/backend:$BUILD_ID'
    - '--concurrency=10'
    - '--cpu=1'
    - '--memory=512Mi'
    - '--region=europe-west4'
    - '--min-instances=1'
    - '--max-instances=2'
    - '--platform=managed'
    - '--port=8080'
    - '--timeout=3000'
    - '--ingress=internal'
    - '--vpc-connector=cloud-run'
    - '--vpc-egress=private-ranges-only'
    - '--set-cloudsql-instances=foo:europe-west4:bar'

修改完成后重新运行CI流水线即可实现预期逻辑：服务不存在自动创建，存在则直接更新容器镜像和配置。

内容的提问来源于stack exchange，提问作者xetra11