Google Cloud Debian升级后VM实例服务账号授权失败求助

问题根源 #

GCE实例上的gcloud命令默认使用实例关联的服务账号和**实例元数据中的访问范围（Scopes）**进行身份验证，而非本地凭据文件。你的故障实例在升级/重装GCP环境后，实例访问范围可能被重置，导致缺少访问Compute Engine资源所需的权限范围。

解决步骤 #

1. 对比正常与故障实例的访问范围 #

在本地或另一台正常实例上，执行以下命令查看故障实例的当前访问范围：

gcloud compute instances describe [故障实例名称] --zone [实例所在区域] --format="value(serviceAccounts[0].scopes)"

同时查看正常实例的访问范围做对比：

gcloud compute instances describe [正常实例名称] --zone [实例所在区域] --format="value(serviceAccounts[0].scopes)"

故障实例大概率缺少compute.googleapis.com相关的权限范围（如https://www.googleapis.com/auth/compute.readonly）。

2. 修改故障实例的访问范围 #

注意：修改实例访问范围需要先停止实例，操作前请确保实例上的业务可以暂停。

方式一：通过GCP控制台操作

• 停止故障实例：进入GCP控制台的Compute Engine实例列表，找到故障实例并点击“停止”。
• 编辑实例：点击实例名称进入详情页，点击顶部的“编辑”按钮。
• 调整访问范围：找到“服务账户”模块，点击“更改访问范围”。
• 勾选所需权限：比如选择“Compute Engine”的“只读”权限，测试环境可直接选“允许全部Cloud API访问”；生产环境按需勾选必要权限。
• 保存并启动实例：点击“保存”后返回实例列表启动实例。

方式二：使用gcloud命令行操作

# 1. 停止实例
gcloud compute instances stop [故障实例名称] --zone [实例所在区域]

# 2. 设置服务账号及所需访问范围（示例添加Compute只读和全Cloud平台权限）
gcloud compute instances set-service-account [故障实例名称] \
  --zone [实例所在区域] \
  --service-account my-project-id-compute@developer.gserviceaccount.com \
  --scopes=https://www.googleapis.com/auth/compute.readonly,https://www.googleapis.com/auth/cloud-platform

# 3. 启动实例
gcloud compute instances start [故障实例名称] --zone [实例所在区域]

3. 验证权限是否生效 #

登录故障实例后，执行以下命令验证：

# 测试Compute实例列表访问
gcloud compute instances list

# 通过元数据服务器查看当前生效的scopes
curl http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/default/scopes -H "Metadata-Flavor: Google"

补充说明 #

如果调整访问范围后仍报错，需检查服务账号本身的IAM角色：在GCP控制台的IAM页面，找到my-project-id-compute@developer.gserviceaccount.com账号，确认它拥有Compute Viewer或更高权限的IAM角色（如Editor）。不过根据你的描述，另一台实例使用同一服务账号可正常访问，所以IAM角色大概率是正常的。

内容的提问来源于stack exchange，提问作者Vojtěch