使用Deployment Manager配置CloudRun公开访问出现gcpIamMemberBinding空值报错如何解决

问题根因 #

你使用的gcp-types/cloudresourcemanager-v1:virtual.projects.iamMemberBinding是专门用于项目、文件夹、组织层级IAM绑定的类型，无法识别Cloud Run服务这种区域级子资源，调用setIamPolicy时无法正常获取资源现有IAM策略，返回null才触发该报错。

修复方案 #

替换IAM绑定资源的类型为Cloud Run专属的setIamPolicy类型，调整配置如下：

'name': '{}-cloudrun-policy'.format(name),
'type': 'gcp-types/run-v1:projects.locations.services.setIamPolicy',
'metadata': {
  'dependsOn': ['{}-cloudrun'.format(name)]
},
'properties': {
  'resource': 'projects/{}/locations/{}/services/{}'.format(project, region, name),
  'policy': {
    'bindings': [
      {
        'role': 'roles/run.invoker',
        'members': ['allUsers']
      }
    ]
  }
}

注意事项 #

• 保留dependsOn配置，确保Cloud Run服务创建完成后再执行IAM策略绑定，避免出现资源不存在的报错
• 如果你需要保留原有IAM策略不覆盖，可以先新增一个资源调用run-v1的getIamPolicy接口获取现有策略，再合并新的绑定规则后传入setIamPolicy的policy参数

部署完成后可以执行gcloud run services get-iam-policy <服务名> --region <区域>确认allUsers已被授予roles/run.invoker权限，此时服务即可公开访问。

内容的提问来源于stack exchange，提问作者MousyBusiness