使用Packer制作GCP镜像后，如何阻止实例创建时重置用户配置？

没错，当你用自定义镜像创建新实例时，GCP的OS Login或者SSH密钥管理服务会在实例启动阶段自动根据项目/实例级元数据创建、更新用户主目录和authorized_keys文件，这就直接覆盖了你在Packer构建时预配置的内容。

解决方法：禁用GCP自动用户管理 #

最直接的方案是在创建实例时通过元数据禁止GCP自动管理用户和SSH密钥，这样镜像里预配置的用户和密钥就能完全保留：

• 创建实例时添加元数据 disable-oslogin=true
  • 如果是通过gcloud命令行：

    gcloud compute instances create INSTANCE_NAME \
      --image=YOUR_CUSTOM_IMAGE \
      --metadata disable-oslogin=true
    

  • 如果是通过GCP控制台：在实例创建页面的「元数据」部分添加键值对，键为disable-oslogin，值为true

这个设置会让GCP停止自动创建用户、同步SSH密钥，完全使用你镜像中预配置的系统用户和密钥配置。

可选：保留OS Login但自定义用户配置（进阶） #

如果你还需要保留OS Login的部分功能（比如统一权限管理），可以通过修改镜像中的GCP配置文件来避免覆盖预配置用户：

1. 在Packer构建阶段，编辑/etc/default/instance_configs.cfg文件，修改以下参数：

   user_accounts=disable
   

   这会阻止GCP自动创建/更新用户账户，但仍保留OS Login的其他功能。

2. 确保你预配置的用户已经添加到google-sudoers组（如果需要sudo权限）：

   usermod -aG google-sudoers YOUR_USERNAME
   

验证步骤 #

创建实例后，先通过Packer的SSH密钥登录，检查/home目录下的用户主目录和authorized_keys文件，确认预配置的内容没有被覆盖，再尝试用预配置的用户密钥登录测试。

注意事项 #

• 禁用OS Login后，项目级的SSH密钥将不再生效，所有SSH访问只能依赖镜像中预配置的密钥或手动添加的密钥。
• 如果你需要在多个实例间统一管理密钥，建议在镜像中配置一个集中的密钥管理方式（比如LDAP），或者结合实例级元数据添加额外密钥（但不要和OS Login冲突）。

内容的提问来源于stack exchange，提问作者HelloPablo