如何从GCE实例内部添加labels/metadata记录启动脚本状态并解决认证报错

核心问题原因 #

启动脚本以root身份执行时，默认未初始化gcloud配置，也未关联有效服务账号身份，导致权限验证失败。GCE实例自带默认服务账号（或你指定的自定义服务账号），可利用该身份自动完成认证，无需手动登录。

具体解决步骤 #

• 第一步：给实例服务账号配置权限
  给实例关联的服务账号授予Compute Instance Admin (v1)角色，或更精细的compute.instances.setLabels、compute.instances.setMetadata权限，确保它能修改实例的标签和元数据。

• 第二步：在启动脚本中配置无交互认证
  无需执行gcloud auth login，直接让gcloud使用实例内置的服务账号身份。在启动脚本的gcloud命令前添加以下配置：

  # 配置gcloud使用实例默认服务账号
  gcloud config set account default
  gcloud config set project 你的项目ID
  

  接着执行添加标签的命令：

  gcloud compute instances add-labels 你的实例名 --labels=startup-status=installing --zone=你的实例所在区域
  

• 推荐：自动获取实例信息（避免硬编码）
  通过实例元数据API自动获取自身名称、区域和项目ID，无需手动填写：

  # 从元数据服务器获取实例名称
  INSTANCE_NAME=$(curl -s http://metadata.google.internal/computeMetadata/v1/instance/name -H "Metadata-Flavor: Google")
  # 获取实例所在区域（处理元数据返回的格式）
  INSTANCE_ZONE=$(curl -s http://metadata.google.internal/computeMetadata/v1/instance/zone -H "Metadata-Flavor: Google" | cut -d/ -f4)
  # 获取当前项目ID
  PROJECT_ID=$(curl -s http://metadata.google.internal/computeMetadata/v1/project/project-id -H "Metadata-Flavor: Google")
  
  # 配置gcloud
  gcloud config set project $PROJECT_ID
  gcloud config set account default
  
  # 更新启动状态标签
  gcloud compute instances add-labels $INSTANCE_NAME --labels=startup-status=done --zone=$INSTANCE_ZONE
  

替代方案：直接调用元数据API（无需gcloud） #

如果不想依赖gcloud命令，可直接通过元数据API更新自定义元数据，操作更轻量：

# 更新启动状态元数据
curl -X PUT -H "Metadata-Flavor: Google" -d '{"startup-status": "done"}' http://metadata.google.internal/computeMetadata/v1/instance/attributes/startup-status

只需确保实例服务账号拥有compute.instances.setMetadata权限即可。

内容的提问来源于stack exchange，提问作者Tran Chien