使用Terraform创建GCP区域MIG时遭遇权限错误求助

问题核心 #

创建Regional MIG时触发权限错误，本质是执行部署操作的服务账号缺少管理实例组、访问实例模板及创建VM实例的必要权限。

分账号权限配置方案 #

1. 部署MIG的关联服务账号 #

为该账号添加以下IAM角色（二选一即可）：

• 粗粒度授权：Compute Instance Admin (v1)，覆盖实例组、模板及VM实例的全生命周期管理权限
• 细粒度授权：按需添加compute.instanceGroups.create、compute.instanceTemplates.get、compute.instanceTemplates.use、compute.instances.create权限

2. Compute Engine默认服务账号 #

MIG会通过该账号创建底层VM实例，需确保其拥有：

• Compute Instance Admin (v1)角色，或至少compute.instances.create权限

3. Cloud Build默认服务账号 #

若通过Cloud Build触发部署，需配置两项权限：

• 添加Compute Instance Admin (v1)角色，允许其操作MIG及相关资源
• 添加Service Account User角色，允许Cloud Build扮演Compute Engine默认服务账号执行实例创建操作

权限验证命令 #

使用gcloud CLI快速检查账号权限配置：

# 检查Cloud Build服务账号权限
gcloud projects get-iam-policy YOUR_PROJECT_ID --filter="bindings.members:serviceAccount:CLOUD_BUILD_ACCOUNT@cloudbuild.gserviceaccount.com"

# 检查Compute Engine默认服务账号权限
gcloud projects get-iam-policy YOUR_PROJECT_ID --filter="bindings.members:serviceAccount:COMPUTE_SERVICE_ACCOUNT@developer.gserviceaccount.com"

额外排查点 #

• 确认实例模板为区域级（Regional），且与MIG指定的区域一致
• 检查VPC网络、子网的IAM权限，确保服务账号能访问对应网络资源

内容的提问来源于stack exchange，提问作者alizoubair