问当您将服务帐户分配给云运行服务时，究竟会发生什么？

EN

你的问题不是很清楚，但我会尝试提供几个投入。

当您在Cloud上运行一个服务时，您有两个选择来定义它的身份

• 要么是使用的是计算引擎服务帐户(默认情况下，不指定任何内容)
• 或者是您在部署时指定的服务帐户

这个服务帐户对于云运行服务是有效的(每个项目最多可以有1000个不同的服务)。

现在，当您运行容器时，服务帐户并没有真正加载到容器中(对于计算引擎来说是一样的)，但是有一个API可以请求这个服务帐户的身份验证数据。它叫元数据服务器

它不限于用户(我不知道您如何在Compute Engine上执行测试！)，一个简单的卷曲就足以获得数据。

例如，在使用库和使用“默认凭据”时使用此元数据服务器。gcloud也使用它。

我希望你现在有个更好的视野。如果没有，请在问题或评论中添加详细信息。

纪尧姆回答中缺少的关键字是“权限”。

具体来说，如果不分配服务帐户，云运行将使用计算引擎默认服务帐户。

这个默认帐户在您的项目中具有Editor角色(换句话说，它可以在您的GCP项目上执行几乎任何事情，除非创建新的服务帐户并给予它们访问权限，或者删除GCP项目)。如果您使用默认服务帐户，并且您的容器被破坏，您可能会遇到麻烦。⚠️

但是，如果您指定了一个新的--service-account，默认情况下它没有权限。您必须绑定它的角色或权限(例如、PubSub Publisher.)你的应用程序需要。