如何解决gcloud cli 4047: 'Failed to lookup instance'报错

首先明确核心故障特征：其他服务器执行相同命令正常、故障机近期无系统/组件更新，说明问题100%出在故障服务器本地的gcloud运行环境，和远端GCE实例、IAP服务端无关，不需要排查服务器侧SSH配置。 #

第一步：执行官方排查命令自动定位 #

直接在故障机运行带全参数的IAP排查命令，工具会自动完成权限、配置、连通性全链路校验，直接输出根因：

gcloud compute ssh my-server --project=my-project --zone=my-zone --troubleshoot --tunnel-through-iap

注意必须显式传入--project和--zone参数，不要依赖本地默认配置，否则排查结果本身会出错。

第二步：高频根因手动排查修复 #

如果自动排查没输出明确问题，按以下优先级逐一核对：

• 本地gcloud默认配置漂移
  长期运行的运维节点上，其他定时脚本、运维操作很可能误修改gcloud全局默认配置，和系统/组件更新无关。执行gcloud config list查看当前激活的默认project、compute/zone值，确认和目标实例所属的项目、可用区完全匹配。
  修复方案：
  1. 永久修复：执行gcloud config set project <你的实际项目ID>、gcloud config set compute/zone <实例实际可用区>重置默认配置
  2. 脚本侧兜底：所有写在脚本里的gcloud命令，强制显式追加--project和--zone参数，彻底规避依赖本地默认配置的风险
• 本地认证凭证异常
  长期运行的节点如果用用户账号/服务账号密钥认证，凭证过期、权限被后台回收时，不会直接返回权限报错，反而会触发实例查询失败。执行gcloud auth list确认当前激活账号拥有目标实例的compute.instances.get、iap.tunnelInstances.accessViaIAP权限，再执行gcloud auth print-access-token验证凭证可正常签发。如果凭证失效，重新执行gcloud auth login（用户账号）或gcloud auth activate-service-account（服务账号）重新认证即可。
• 本地到GCP API端点连通性异常
  实例查询动作依赖故障机和GCP compute API端点的通信，本机出站防火墙规则更新、代理策略下发、DNS解析漂移都可能导致请求失败，和系统更新无关。执行nslookup compute.googleapis.com验证DNS解析正常，再执行curl -m 5 https://compute.googleapis.com验证API端点连通性，异常时优先检查本机代理配置、hosts规则、出站防火墙策略。
• gcloud本地元数据缓存损坏
  gcloud会在本地缓存实例列表、项目元数据等信息，长期运行后缓存文件损坏会直接导致实例查找失败。执行gcloud info --format='value(config.paths.global_config_dir)'拿到gcloud全局配置路径，删除路径下的cache子目录即可，不需要重装gcloud组件。

修复验证 #

执行原命令验证连通性：

gcloud compute ssh root@my-server --command=/bin/ls  --tunnel-through-iap --zone=my-zone --project=my-project

命令正常返回目标服务器目录列表即为修复完成。

内容的提问来源于stack exchange，提问作者Ivan Buttinoni