云任务不执行云功能

Question

我想为我的云功能添加安全性，因此我删除了allUsers调用它的访问权限 - 所以我只能从我的 GCP 内的服务帐户调用它。

所以我完全按照 GCP 文档中的教程进行操作：

云功能

async function createTask(taskName, functionToFire, payload, fireAt){
    const tasksClient = new CloudTasksClient()
    const projectId = JSON.parse(process.env.FIREBASE_CONFIG).projectId
    console.log(`${taskName} will fire ${functionToFire} at ${fireAt}...`)
    const location = 'us-central1'
    const queuePath = tasksClient.queuePath(projectId, location, taskName)
    const url = `https://us-central1-${PROJECT_ID}.cloudfunctions.net/task/${functionToFire}`
    const serviceAccountEmail = 'cloud-tasks@${PROJECT_ID}.iam.gserviceaccount.com';
    // const sendAt = Date.now() / 1000 + 10 // plus 10 seconds of current epoch
    const task = {
        httpRequest: {
          httpMethod: 'POST',
          url,
          oidcToken: {
            serviceAccountEmail
          },
          body: Buffer.from(JSON.stringify(payload)).toString('base64'),
          headers: {
            'Content-Type': 'application/json',
          },
        },
        scheduleTime: {
          seconds: (fireAt / 1000) // Convert millis to seconds
        }
    }
    await tasksClient.createTask({ parent: queuePath, task })
    return 200;
}

云函数权限

服务帐户已被授予对名为 的特定功能的以下权限task：

• 云功能管理员
• 云函数调用者
• 云功能服务代理

然而，当任务实际触发时，它会给出以下错误：

PERMISSION_DENIED(7): HTTP status code 403

我也遇到了以下错误：

UNAUTHENTICATED(16): HTTP status code 401

我已经使用 2 个服务帐户进行了测试 - 使用文档推荐的一个（如上所示）以及我专门为此创建的一个名为cloud-tasks@${PROJECT_ID}.iam.gserviceaccount.com.

我还访问了通用 IAM 页面并检查了这些服务帐户的权限：

1. 默认服务帐户：

2. 我创建的服务帐户：

当函数触发时，两者都会返回上面显示的PERMISSION_DENIED或错误：UNAUTHENTICATED

知道问题是什么吗？我几乎尝试了一切。

Answer 1

您忘记将受众放入 OIDC 代币定义中。您可以在nodeJS文档中找到对象定义

...
...
 const task = {
        httpRequest: {
          httpMethod: 'POST',
          url,
          oidcToken: {
            serviceAccountEmail: serviceAccountEmail
            //Audience is the raw URL, without extra path or query parameter
            audience: https://us-central1-${PROJECT_ID}.cloudfunctions.net/task           },
...
...