GCP Windows VM OS补丁管理失败，自定义服务账号是否缺权限？

问题概述 #

新建Windows Server GCE虚拟机的OS补丁管理任务失败，状态显示No agent detected；在虚拟机PowerShell中执行gcloud compute os-config troubleshoot {VMINSTANCE} --zone={ZONE}时返回GetServicePermissionDeniedException，具体输出如下：

gcloud compute os-config troubleshoot {VMINSTANCE} --zone={ZONE}
OS Config troubleshooter tool is checking if there are issues with the VM Manager setup for this VM instance.

Is the OS Config API enabled? Unknown
The troubleshooter encountered GetServicePermissionDeniedException while checking your instance.

已完成的前置检查：

• 项目已启用osconfig.googleapis.com API
• Google Cloud OS Config服务账号service-PROJECT_NUMBER@gcp-sa-osconfig.iam.gserviceaccount.com已配置Cloud OS Config Service Agent（roles/osconfig.serviceAgent）角色
• 虚拟机与OS Config API连通性正常，可在PowerShell中调用API
• 自定义服务账号已通过IAM Policy Analyser确认拥有目标虚拟机的Compute Instance Admin (v1)权限

排查与解决步骤 #

1. 检查OS Config Agent运行状态 #

• 打开Windows服务管理器，确认Google Cloud OS Config Agent服务处于运行中状态，若未运行则手动启动并设置启动类型为自动。
• 执行PowerShell命令验证Agent状态：

  Get-Service google_osconfig_agent
  

2. 补充自定义服务账号的OS Config专属权限 #

即使已拥有Compute Instance Admin (v1)，仍需确保服务账号具备以下针对OS Config的核心权限：

• osconfig.instances.get：允许获取实例的OS Config配置信息
• osconfig.instances.patch：允许对实例执行补丁管理操作
• 可临时给服务账号添加Cloud OS Config Admin（roles/osconfig.admin）角色验证问题，确认后再按需细化为最小权限集。

3. 验证Agent配置与版本 #

• 检查Agent配置文件C:\Program Files\Google\Cloud OS Config Agent\config.yaml，确认API端点、服务账号密钥路径等配置无错误。
• 重新安装最新版本的OS Config Agent，确保Agent版本与当前GCP环境兼容。

4. 确认IAM权限的资源绑定有效性 #

• 使用以下命令检查自定义服务账号的权限是否直接绑定到目标虚拟机（避免项目层级权限继承失效）：

  gcloud compute instances get-iam-policy {VMINSTANCE} --zone={ZONE}
  

• 确认输出中包含该服务账号的Compute Instance Admin (v1)及OS Config相关权限条目。

5. 检查虚拟机访问范围限制 #

• 在GCP控制台查看虚拟机的访问范围设置，确认cloud-platform范围未被其他策略限制。
• 临时将访问范围更改为Allow full access to all Cloud APIs，验证是否解决问题，若有效再调整为最小必要范围。

内容的提问来源于stack exchange，提问作者intotecho