Service Account密钥在CLI显示但GCP控制台不显示，如何验证？

当gcloud命令显示服务账号存在密钥，但GCP控制台看不到时，可以通过以下步骤验证密钥的真实性和详细信息：

• 查看密钥完整属性
  用describe命令获取密钥的全部元数据，重点关注密钥类型：

  gcloud iam service-accounts keys describe abc123abc123xyz123xyz123 --iam-account=service-account@project-name.iam.gserviceaccount.com --project project-name --format=json
  

  输出里的keyType字段如果是SYSTEM_MANAGED，说明这是GCP服务自动创建的内部密钥，这类密钥不会在控制台显示；如果是USER_MANAGED，则是用户手动创建的密钥，需要进一步排查控制台不显示的原因（比如权限、项目选择错误）。

• 确认密钥有效性
  从describe的输出中检查validAfterTime、validBeforeTime字段，确认密钥是否在有效期内；同时查看disabled字段，确认密钥未被禁用。

• 实际验证密钥可用性
  如果是用户管理的密钥且你持有密钥文件，可以尝试用它激活服务账号，验证密钥是否有效：

  gcloud auth activate-service-account service-account@project-name.iam.gserviceaccount.com --key-file=/path/to/your/key.json
  

  若能成功激活，说明密钥真实有效；若报错，则密钥可能已被删除或失效。

• 检查控制台权限与视图
  确认你在控制台选择的是正确的项目，并且你的账号拥有iam.serviceAccountKeys.list权限——权限不足可能导致控制台无法加载密钥列表，但gcloud命令使用的账号权限足够时会正常显示。

内容的提问来源于stack exchange，提问作者Ari