GCP存储桶新增文件未触发配置的Pub/Sub消息问题排查咨询

相关操作消息默认会在日志中展示吗 #

默认情况下不会。你日常操作产生的审计日志，只会记录你手动执行的上传文件、修改桶配置这类用户主动操作，Cloud Storage向Pub/Sub推送通知属于平台内部服务间的交互动作，默认不会在普通日志面板中展示。
只有当你手动开启了Cloud Storage数据访问审计日志、Pub/Sub消息投递审计日志的采集规则时，才能查到通知生成、投递失败的全链路记录。全程无相关日志不属于异常，首先要确认日志采集的配置是否开启。

可逐点排查的方向 #

• 校验存储服务代理账号的Pub/Sub发布权限
  Cloud Storage发通知用的不是你的个人账号，是项目专属的存储代理账号，格式为service-<项目编号>@gs-project-accounts.iam.gserviceaccount.com。哪怕你手动给Pub/Sub发测试消息全流程正常，只要这个代理账号没有目标主题的pubsub.publisher权限，通知投递就会静默失败，几乎不会抛出报错日志。
• 拉取通知的全量配置做校验
  你当前看到的配置片段只展示了事件类型过滤，需要执行gsutil notification get projects/_/buckets/mybucket/notificationConfigs/11 获取完整配置，排查是否存在隐藏的过滤规则：比如设置了只匹配特定文件名前缀的对象、要求对象带指定自定义元数据才触发通知，如果你上传的测试文件不满足过滤规则，通知不会正常触发。
• 区分主题连通性和推送链路的差异
  你用拉取订阅验证主题能正常收消息，只能证明主题本身的收发逻辑没问题，但没法证明正式的推送订阅链路可用。需要进入推送订阅的详情页，查看对应时间段的消息投递指标：确认有没有存储桶生成的消息进入订阅队列、有没有投递失败的计数，常见的失败原因包括推送端点TLS证书异常、接口返回非2xx状态码、网络连通性不通。
• 核对资源归属与路径匹配性
  确认存储桶和Pub/Sub主题是否属于同一个项目：如果是跨项目配置，除了检查代理账号权限，还要看主题是否开启了跨项目写入限制，同时核对通知配置里关联的主题完整路径，避免因为项目ID拼错、资源名写错，导致通知被投递到不存在的路径。
• 复核事件类型和实际操作的匹配度
  确认你上传的操作会不会触发OBJECT_FINALIZE事件：比如你上传的文件和桶内已有文件同名，且桶开启了对象版本控制，可能触发的是版本分支相关事件，而非首次写入的OBJECT_FINALIZE事件，这种场景下通知不会触发。

内容的提问来源于stack exchange，提问作者schoon