为何在Shared VPC宿主项目与服务项目均需启用GKE API？

问题 #

在Shared VPC网络中创建GKE集群时出现如下报错：

│ Error: googleapi: Error 400: Failed precondition when calling the ServiceConsumerManager:
tenantmanager::XXXXXX: com.google.api.tenant.error.TenantManagerException: 
Consumer <Shared VPC Project ID> should enable service:container.googleapis.com before generating a service account.

已明确修复方法，但疑惑为何要求Shared VPC宿主项目与服务项目均需启用container.googleapis.com？服务项目需启用并配置权限逻辑清晰，但宿主项目启用的必要性令人费解。

原因解释 #

• 服务账户生成依赖：GKE在Shared VPC环境创建集群时，需生成集群专属的服务账户（如GKE节点服务账户），该流程会调用Tenant Manager与Service Consumer Manager服务。宿主项目作为Shared VPC的资源归属方，必须启用container.googleapis.com，才能让上述服务在宿主项目的上下文内完成服务账户的生成与权限绑定——毕竟集群节点最终部署在宿主项目的VPC网络上，相关服务账户需与宿主项目的网络资源建立信任关系。
• VPC资源交互授权：GKE集群节点需要访问宿主项目内的VPC资源（如子网、防火墙规则、路由），启用container.googleapis.com后，宿主项目会允许GKE服务组件（如控制平面）与自身VPC资源合法交互，确保集群能正常使用Shared VPC的网络功能，否则会因API未启用被权限拦截。
• 统一资源管理与审计：宿主项目作为Shared VPC的管理主体，启用container.googleapis.com后，可将GKE集群相关操作（如节点网络配置）纳入自身的审计日志与资源管理体系，便于统一监控和管理Shared VPC内的所有GKE集群资源。

内容的提问来源于stack exchange，提问作者Andrii Abramov