如何通过Terraform正确为GKE节点池配置非默认服务账户？

我之前也碰到过类似的情况，你的代码里大概率是字段位置不对导致的，下面是具体的排查和解决步骤：

1. 修正service_account的配置位置 #

这是最常见的问题：在最新版本的Terraform Google Provider中，service_account和oauth_scopes字段必须放在node_config块内部，而不是顶层资源下。你的代码把它们放在了顶层，这会导致配置不生效，节点池会 fallback 到默认服务账户。

修正后的代码应该是这样：

resource "google_container_node_pool" "node_pool" {
  name       = "your-node-pool-name"
  cluster    = google_container_cluster.your_cluster.name # 确保关联正确的集群
  node_count = 2

  # 关键：把服务账户和scopes放在node_config块内
  node_config {
    service_account = "myserviceaccount@<id>.iam.gserviceaccount.com"
    oauth_scopes = [
      "https://www.googleapis.com/auth/cloud-platform"
    ]
    # 其他节点配置（比如machine_type、disk_size_gb等）也放在这里
  }
}

2. 检查Terraform Google Provider版本 #

如果你的provider版本比较旧，可能存在字段兼容问题。建议把provider版本更新到v4.0以上（当前稳定版是v5.x），在provider "google"块中指定版本：

provider "google" {
  project = "your-project-id"
  region  = "us-central1"
  version = "~> 5.0" # 使用最新稳定版
}

3. 确认服务账户的权限和存在性 #

• 确保你指定的myserviceaccount@<id>.iam.gserviceaccount.com确实存在于你的GCP项目中；
• 执行Terraform的账户（比如你本地的gcloud账户，或者CI/CD使用的服务账户）需要拥有以下权限：
  • iam.serviceAccounts.ActAs：允许将该服务账户分配给节点池；
  • container.nodePools.create/container.nodePools.update：允许创建或更新节点池；
  • iam.serviceAccounts.get：允许读取服务账户信息。

4. 强制刷新状态并重新部署 #

有时候Terraform状态文件可能存在缓存问题，你可以先执行：

terraform refresh

然后再重新应用配置：

terraform apply

如果之前的节点池已经创建，你可能需要先销毁旧的节点池（注意备份数据），再重新创建：

terraform destroy -target=google_container_node_pool.node_pool
terraform apply

5. 排查集群级别的默认配置 #

如果你的GKE集群在创建时指定了default_node_config中的service_account，虽然节点池的配置应该优先覆盖这个默认值，但你可以检查集群配置是否有冲突，确保没有强制锁定服务账户的设置。

内容的提问来源于stack exchange，提问作者fuzzi