使用Terraform部署App Engine Node.js应用遇Error code 13求助

一、基础环境与日志排查 #

• 开启Terraform debug日志，执行TF_LOG=DEBUG terraform apply，重点盯google_app_engine_standard_app_version相关的API请求，尤其是完整错误返回（Error code13虽是服务端内部错，但debug日志可能揪出具体触发点）
• 去Cloud Console的App Engine > 日志里找部署相关条目，筛选后看有没有更具体的错误提示（比如依赖缺漏、配置冲突）

二、权限专项排查 #

• 确认Terraform用的服务账号（或当前授权账号）有这些权限：
  • appengine.applications.get
  • appengine.versions.create
  • appengine.services.get
  • storage.objects.create 和 storage.objects.get（用GCS存代码包的话必须要有）
• 对比gcloud用的账号权限：先gcloud auth list看活跃账号，再gcloud projects get-iam-policy <项目ID> --filter="bindings.members:<账号>"，确认两个账号的权限集合是否一致
• 先别用Owner这种宽权限测试，先确保最小必要权限覆盖；如果用Owner还是报错，就排除权限问题

三、Terraform配置细节排查 #

• 检查google_app_engine_standard_app_version的配置项：
  • runtime要对，Node.js对应nodejs18/nodejs20这类，得和本地代码兼容
  • service字段要和App Engine默认服务（default）一致，或者提前建好对应服务
  • entrypoint要正确，比如Node.js得写entrypoint: "node app.js"，和代码里的启动文件匹配
  • source_code配置：本地包的话，zip_path指向的压缩包路径要对，包里得有package.json、app.js这些必要文件；用GCS对象的话，路径要对且服务账号能访问
• 对比gcloud的部署配置：执行gcloud app deploy --verbosity=debug，看gcloud自动生成的app.yaml，和Terraform里的配置做对比，找差异（比如gcloud会自动填某些默认值，Terraform可能要显式设）

四、模拟gcloud底层操作排查 #

• gcloud deploy本质是调用App Engine Admin API，手动调用试试：
  1. 把本地代码打包：zip -r app.zip . -x ".git/*" "node_modules/*"
  2. 上传到GCS：gsutil cp app.zip gs://<你的存储桶>/app.zip
  3. 调用API创建版本：

     curl -X POST \
       -H "Authorization: Bearer $(gcloud auth print-access-token)" \
       -H "Content-Type: application/json" \
       https://appengine.googleapis.com/v1/apps/<项目ID>/services/default/versions \
       -d '{
         "id": "v1",
         "runtime": "nodejs20",
         "entrypoint": {
           "shell": "node app.js"
         },
         "sourceCode": {
           "storageSource": {
             "bucket": "<你的存储桶>",
             "object": "app.zip"
           }
         }
       }'
     

  如果API调用成功，问题就在Terraform配置或交互逻辑；如果也返回Error code13，直接提交GCP工单，把API请求细节附上

五、其他排查点 #

• 升级Terraform Google Provider到最新稳定版：terraform init -upgrade，旧版本可能有API兼容问题
• 确认App Engine应用区域和Terraform配置的区域一致，别跨区域部署
• 检查有没有资源冲突：比如同名版本已经存在，或者服务正在维护

内容的提问来源于stack exchange，提问作者Leejjon