GCP哪个非Owner IAM角色可启用Compute Engine浏览器SSH按钮

核心结论 #

无需授予Owner角色，绑定低于Owner权限的IAM角色组合即可正常启用VM实例旁的浏览器SSH按钮。你之前绑定多类管理员角色仍无法使用，是遗漏了功能依赖的关键权限、存在配置冲突，或是权限授予范围错误。

最小可用权限组合 #

按以下范围授予权限即可，无需额外绑定其他高权限角色：

• 项目级授予Viewer基础角色：用于控制台读取VM实例列表、运行状态等基础元数据，是控制台功能正常加载的前提。
• 实例级或项目级授予Compute Instance Admin (v1)角色：仅需操作单个实例时，直接在对应VM的IAM配置页给用户绑定该角色即可，无需开放全项目计算实例管理权限。
• OS登录权限二选一即可，无需重复绑定：
  • 普通用户登录：Compute OS Login
  • 需要实例内root提权：Compute OS Admin Login
• 针对项目默认Compute Engine服务账号（格式为<项目编号>-compute@developer.gserviceaccount.com），给操作用户绑定Service Account User角色。
  注意：该角色不需要项目级授予，仅需针对默认Compute服务账号授权即可，过度项目级授权会带来服务账号冒用的安全风险
• 确认默认Compute Engine服务账号本身处于启用状态，且至少持有项目级Editor角色，若之前修改过该服务账号权限需补回。

常见失效排查 #

绑定上述权限后按钮仍置灰，优先排查以下配置问题：

1. 元数据配置冲突
   进入Compute Engine-元数据配置页，检查是否存在enable-oslogin = FALSE的键值对，若存在需删除或修改值为TRUE；若存在旧的手动配置SSH公钥的元数据项，会和OS Login机制冲突导致按钮禁用。
2. 权限传播延迟或缓存问题
   权限绑定后等待1-2分钟，通过浏览器无痕模式重新登录控制台验证即可，本地浏览器缓存的旧权限状态会导致按钮状态不更新。
3. 组织策略限制
   若项目归属在组织节点下，检查组织级IAM策略是否存在禁止OS Login、禁止控制台创建临时VM会话、限制外部用户访问实例的规则，组织级策略会直接覆盖项目级权限配置。

内容的提问来源于stack exchange，提问作者FreeZey