Terraform部署GCE默认服务账号时遇401认证错误求解决方案

问题详情 #

部署Terraform项目时触发以下认证错误：

Error: Error when reading or editing GCE default service account: googleapi: Error 401: Request had invalid authentication credentials. Expected OAuth 2 access token, login cookie or other valid authentication credential.
│ Details:
│ [
│   {
│     "@type": "type.googleapis.com/google.rpc.ErrorInfo",
│     "metadatas": {
│       "method": "compute.v1.ProjectsService.Get",
│       "service": "compute.googleapis.com"
│     },
│     "reason": "ACCESS_TOKEN_TYPE_UNSUPPORTED"
│   }
│ ]
│
│ More details:
│ Reason: authError, Message: Invalid Credentials
│
│
│   with data.google_compute_default_service_account.default,
│   on iam.tf line 7, in data "google_compute_default_service_account" "default":
│    7: data "google_compute_default_service_account" "default" {

当前iam.tf中获取默认服务账号的配置：

data "google_compute_default_service_account" "default" {
  project = var.project_id
}

已尝试为默认服务账号创建密钥，但问题未解决。

可行解决方案 #

1. 使用预设服务账号替换默认服务账号 #

无需通过data源获取默认SA，直接在IAM配置中指定预设服务账号的邮箱地址即可。示例配置：

# 为预设服务账号添加项目权限
resource "google_project_iam_member" "preserved_sa_permission" {
  project = var.project_id
  role    = "roles/所需权限角色"
  member  = "serviceAccount:你的预设SA邮箱@${var.project_id}.iam.gserviceaccount.com"
}

如果需要复用预设SA的信息，也可以用data源直接获取预设SA：

data "google_service_account" "preserved_sa" {
  project      = var.project_id
  account_id   = "预设SA的账号ID"
}

resource "google_project_iam_member" "preserved_sa_permission" {
  project = var.project_id
  role    = "roles/所需权限角色"
  member  = "serviceAccount:${data.google_service_account.preserved_sa.email}"
}

2. 修复默认服务账号的认证问题 #

如果必须使用默认SA，按以下步骤排查：

• 确认Terraform的认证方式：确保使用有效的凭据，比如：
  • 本地运行时：通过gcloud auth application-default login生成应用默认凭据，或设置GOOGLE_APPLICATION_CREDENTIALS环境变量指向服务账号密钥文件
  • GCP实例内运行：确保实例已启用元数据服务，且实例服务账号有对应权限
• 检查密钥文件权限：密钥文件权限需限制为仅当前用户可读，执行chmod 600 /path/to/key.json
• 验证服务账号权限：确保用于认证的服务账号拥有compute.projects.get权限（错误中明确调用该接口），以及IAM角色管理的相关权限
• 刷新凭据：执行gcloud auth application-default refresh刷新本地应用默认凭据
• 更新Terraform Provider：在versions.tf中指定最新版的Google Provider，避免版本兼容问题：

  terraform {
    required_providers {
      google = {
        source  = "hashicorp/google"
        version = ">= 4.0.0"
      }
    }
  }
  

内容的提问来源于stack exchange，提问作者Rocco