为什么GCP服务账号无法对自身执行模拟操作？

根本原因 #

GCP IAM 内置安全规则默认禁止服务账号直接模拟自身，该限制是设计层面的规则，和你有没有配置权限无关。
你看到的报错是服务账号模拟失败的通用提示，并不完全适用于当前场景：即便你按照报错提示给当前服务账号授予了自身的roles/iam.serviceAccountTokenCreator角色，低于370.0.0版本的gcloud也会直接拦截该请求。
服务账号模拟的核心逻辑是当前身份向IAM服务申请目标服务账号的短期访问凭证，设计初衷是实现跨身份的权限切换，减少长期密钥的使用风险。如果允许身份模拟自身，既会产生无意义的凭证生成开销，也可能被利用来绕过审计日志的身份溯源规则，因此官方默认做了拦截。

当前场景的直接解决方案 #

你当前运行脚本的身份本身就是要模拟的$DEPLOYER_SA服务账号，完全不需要加模拟参数，直接执行如下命令即可：

gcloud functions call "$FUNCTION_NAME" --region "$REGION" --project "$PROJECT_ID" --data {}

特殊场景适配（必须保留模拟参数的情况） #

如果你们的CI脚本是通用模板，强制要求携带--impersonate-service-account参数，可以用两种方式适配：

• 给通用脚本增加前置判断：如果当前gcloud激活的服务账号和待模拟的服务账号完全一致，就自动移除模拟参数
• 给该服务账号自身授予roles/iam.serviceAccountTokenCreator角色，同时升级gcloud到370.0.0及以上版本，即可正常执行模拟请求

内容的提问来源于stack exchange，提问作者jamiet