GitHub Action获取GKE凭证失败：缺少container.clusters.get权限

核心排查与修复步骤 #

1. 确认服务账号的角色绑定有效性 #

• 登录GCP控制台IAM页面，找到对应服务账号，检查是否已正确绑定Kubernetes Engine Cluster Viewer（或更高权限角色，如Kubernetes Engine Cluster Admin）。
• 注意：IAM角色绑定后存在1-5分钟的生效延迟，绑定后不要立即触发Workflow，等待几分钟再测试。
• 若绑定后仍报错，尝试先移除角色再重新添加，确保绑定关系无异常。

2. 简化Workflow的认证流程 #

你的Workflow中同时使用了setup-gcloud和auth@v2处理认证，可能导致上下文冲突。建议调整为：

# 替换原有的setup-gcloud和auth步骤
- name: Authenticate to GCP
  uses: google-github-actions/auth@v2
  with:
    credentials_json: ${{ secrets.GCP_SA_KEY }}

- name: Set up Google Cloud CLI
  uses: google-github-actions/setup-gcloud@v0.3.0
  with:
    project_id: ${{ secrets.GCP_PROJECT }}

3. 验证集群与区域参数的准确性 #

• 确认${{ secrets.GKE_ZONE }}的值为集群所在的具体可用区us-central1-c，而非区域us-central1——get-gke-credentials的location参数必须匹配集群的实际可用区。
• 检查${{ secrets.GKE_CLUSTER }}的集群名称与GCP控制台完全一致，注意大小写和拼写。

4. 直接添加单个权限（角色绑定失效时） #

若上述步骤无效，可直接为服务账号添加container.clusters.get权限：

1. 打开GCP控制台IAM页面，找到目标服务账号。
2. 点击「添加权限」，搜索并选中container.clusters.get权限后保存。
3. 等待几分钟后重新运行Workflow。

额外注意（镜像推送前置修正） #

你的镜像推送路径使用了${{ secrets.GKE_ZONE }}-docker.pkg.dev，但Artifact Registry位于区域us-central1，应修正为us-central1-docker.pkg.dev，避免后续镜像推送失败。

内容的提问来源于stack exchange，提问作者Vercors