创建Google Composer环境报错求助：0/2节点未注册集群异常

针对你使用Terraform创建composer-2.4.0-airflow-2.5.3版本环境时遇到的创建超时（错误码4）、GKE集群0/2节点注册异常问题，可按以下步骤排查解决：

1. 验证KMS密钥权限配置 #

Composer服务账号（默认格式：service-{PROJECT_NUMBER}@gcp-sa-composer.iam.gserviceaccount.com）需要具备KMS密钥的加密/解密权限：

• 确保已为该服务账号分配roles/cloudkms.cryptoKeyEncrypterDecrypter角色到目标KMS密钥或密钥环
• Terraform中可通过google_project_iam_member资源配置：

resource "google_project_iam_member" "composer_kms_access" {
  project = var.project_id
  role    = "roles/cloudkms.cryptoKeyEncrypterDecrypter"
  member  = "serviceAccount:service-${data.google_project.current.number}@gcp-sa-composer.iam.gserviceaccount.com"
}

2. 检查GKE节点网络连通性 #

节点无法注册大概率是无法访问KMS服务导致磁盘挂载失败：

• 确认VPC防火墙规则允许节点出站访问cloudkms.googleapis.com（443端口）
• 若使用私有集群，需配置Private Service Connect或Cloud NAT，保证节点能访问Google服务
• 检查节点是否有公网IP（若依赖公网访问KMS），或是否配置了私有DNS解析KMS域名

3. 查看节点启动日志定位具体错误 #

到Cloud Logging中筛选GKE节点的启动日志：

• 日志过滤器：resource.type="gce_instance" AND resource.labels.instance_name:"gke-{COMPOSER_CLUSTER_NAME}-*" AND (textPayload:"kms" OR textPayload:"registration" OR textPayload:"error")
• 重点查看是否有KMS权限不足、密钥不可用、磁盘加密失败等相关报错

4. 延长Terraform创建超时时间 #

带KMS的环境创建耗时更长，默认超时可能不足：

• 在google_composer_environment资源中添加超时配置：

resource "google_composer_environment" "composer" {
  # 其他配置...
  timeouts {
    create = "30m" # 延长至30分钟，根据实际情况调整
  }
}

5. 确认KMS密钥状态 #

• 检查KMS密钥是否处于启用状态，未被禁用或计划销毁
• 确保KMS密钥所在区域与Composer环境区域完全一致（KMS区域不支持跨区域访问）

6. 简化配置做基础验证 #

暂时移除KMS加密配置，创建一个基础Composer环境：

• 若基础环境能成功创建，说明问题出在KMS相关配置上，回到步骤1-3排查
• 若基础环境也失败，排查GKE集群的基础网络、服务账号权限等通用问题

内容的提问来源于stack exchange，提问作者Vipin