配置Google Cloud IAP外部身份时区域下拉菜单无选项显示

我正尝试为Google Identity-Aware Proxy (IAP)配置外部身份授权，但在选择区域的步骤中，下拉菜单显示“无项目可显示”，未列出任何可用区域。

复现步骤：

1. 进入Google Cloud控制台的「安全 -> Identity-Aware Proxy」页面。
2. 选择一个后端服务资源。
3. 启动「使用外部身份进行授权」流程。
4. 在「登录页面」部分选择「为我创建登录页面」。
5. 当提示选择区域时，下拉菜单为空，显示“无项目可显示”。

预期行为：
下拉菜单中显示可用区域列表以供选择。

已尝试操作：

• 重新加载控制台
• 清除浏览器缓存
• 在多个GCP项目中尝试此操作

可能的解决方案/排查方向： #

1. 检查账号权限
   确保当前登录账号拥有以下至少一项IAM角色：

   • roles/iap.admin（IAP管理员）
   • roles/editor（项目编辑者）
   • roles/owner（项目所有者）
     权限不足会导致区域资源无法被加载展示。

2. 确认区域支持范围
   外部身份授权的登录页面创建功能仅支持部分GCP区域，优先尝试以下区域：

   • us-central1
   • europe-west1
   • asia-southeast1
     如果控制台下拉仍不显示，可通过gcloud命令行手动指定区域创建：

gcloud iap oauth-brands create --application-title="你的应用名称" --support-email="你的支持邮箱" --region=us-central1

3. 检查相关API启用状态
   确认项目中已启用以下API：

   • Identity-Aware Proxy API (iap.googleapis.com)
     可在GCP控制台「API和服务 -> 已启用的API和服务」页面查看，未启用则手动开启。

4. 排查组织级限制
   若项目属于GCP组织，可能存在组织政策限制了区域资源的可见性，联系组织管理员确认是否有资源位置约束策略。

5. 使用CLI替代控制台操作
   如果控制台问题持续，可通过gcloud命令行完成完整配置：

   1. 创建OAuth品牌：

      gcloud iap oauth-brands create --application-title="App Name" --support-email="your-email@example.com" --region=REGION
      

   2. 创建客户端ID：

      gcloud iap oauth-clients create BRAND_ID --display-name="Client Name" --region=REGION
      

   3. 关联到IAP后端服务：

      gcloud iap web set-access-settings --resource-type=backend-services --resource-name=BACKEND_SERVICE_NAME --oauth-client-id=CLIENT_ID --region=REGION
      

内容的提问来源于stack exchange，提问作者MBT