使用google-cloud-compute客户端库创建实例返回403 Forbidden错误求助

1. 确认服务器上的Application Default Credentials（ADC）是否正确加载 #

gcloud auth set-active-service-account是配置gcloud CLI的默认服务账户，和Java客户端依赖的ADC并非同一体系。你看到的gcloud auth application-default revoke提示未设置ADC，说明服务器上的ADC确实未正确初始化。

• 先验证环境变量是否生效：

  echo $GOOGLE_APPLICATION_CREDENTIALS
  

  确保输出路径指向正确的服务账户密钥文件，且该文件对运行工具的用户具备可读权限。

• 如果环境变量配置正确但ADC仍未加载，手动用服务账户密钥初始化application-default：

  gcloud auth application-default activate-service-account --key-file=/path/to/your/service-account-key.json
  

  执行完成后重新运行工具，观察权限问题是否解决。

2. 验证服务账户权限的实际绑定情况 #

即使你认为已配置compute.*权限，仍需确认权限确实绑定到了目标服务账户：

• 执行以下命令查看项目IAM策略中该服务账户的绑定内容：

  gcloud projects get-iam-policy my-project --filter="bindings.members:serviceAccount:YOUR_SERVICE_ACCOUNT_EMAIL" --format=json
  

  检查返回结果中是否包含带有compute.*权限的角色（比如roles/compute.admin）。
• 注意：IAM权限变更可能存在最多5分钟的生效延迟，若刚修改完权限，建议等待几分钟后再测试。

3. 排除服务器环境的ADC干扰源 #

如果你的服务器是Google Cloud Compute Engine实例，默认会使用实例自身的服务账户作为ADC来源，这会覆盖GOOGLE_APPLICATION_CREDENTIALS环境变量的优先级。此时可以：

• 在Java代码中显式加载服务账户密钥，跳过ADC自动发现逻辑，示例代码：

  import com.google.auth.oauth2.ServiceAccountCredentials;
  import com.google.cloud.compute.v1.Compute;
  import com.google.cloud.compute.v1.ComputeSettings;
  import java.io.FileInputStream;
  
  // 显式加载密钥文件
  ServiceAccountCredentials credentials = ServiceAccountCredentials.fromStream(
      new FileInputStream("/path/to/your/service-account-key.json"));
  ComputeSettings settings = ComputeSettings.newBuilder()
      .setCredentialsProvider(() -> credentials)
      .build();
  Compute computeClient = ComputeClient.create(settings);
  

4. 确认权限的作用范围 #

compute.zones.list是项目级别的权限，需确保你的compute.*权限是绑定在项目级别，而非某个具体资源（如实例、区域）上。若权限仅绑定在资源级别，项目级别的操作（如列出所有可用区）仍会被拒绝。

内容的提问来源于stack exchange，提问作者kristebo