GCP创建Compute Engine实例报权限错 服务账号已获对应授权

你混淆了两类完全独立的服务账号身份，这是Cloud Build搭配Compute Engine部署时的高频误区：

• 你在create-with-container参数里指定的--service-account，是创建完成后，虚拟机内部运行程序调用GCP API时使用的身份，和执行Cloud Build步骤、运行gcloud命令的身份没有任何关系。你更换多少个虚拟机挂载的服务账号，都不会影响创建动作本身的权限校验。
• 触发权限报错的校验对象，是Cloud Build执行作业时使用的运行时服务账号。你没有给这个执行身份授予compute.instances.create权限，才会返回对应错误。
  你提到Docker构建、推送步骤没有指定专属服务账号也能正常运行，是因为默认的Cloud Build服务账号默认自带容器镜像推送相关权限，但不会默认绑定Compute Engine实例管理的相关角色，所以到创建VM的步骤才会报错。
  另外你贴的配置里还有一处语法问题：'${SERVICE_ACCOUNT},的单引号未闭合，逗号被错误包含在变量值内，修复后应该为'${SERVICE_ACCOUNT}',，不过这个问题不会触发你当前遇到的权限报错，只会触发参数格式非法类错误。

• 确认Cloud Build的执行身份：如果你没有在触发器配置、cloudbuild.yaml全局配置里指定自定义服务账号，默认执行身份是格式为[你的GCP项目编号]@cloudbuild.gserviceaccount.com的Google托管服务账号。
• 进入GCP IAM控制台，查找上述服务账号的角色绑定，确认是否包含compute.instances.create权限。默认情况下该账号不会绑定任何Compute Engine管理类角色，这就是报错的直接原因。
• 确认不存在上层拦截规则：检查组织、文件夹层级的IAM策略，确认没有配置拒绝策略拦截该服务账号的Compute实例创建操作。

你可以根据自己的权限管控需求二选一：

1. 使用默认Cloud Build服务账号（配置简单，适合测试环境）
   直接给[项目编号]@cloudbuild.gserviceaccount.com绑定roles/compute.instanceAdmin.v1角色即可，该角色已覆盖创建容器优化版VM实例需要的全部权限。如果你的容器镜像存储在其他项目，记得额外给该账号加对应镜像仓库的拉取权限。
2. 使用自定义服务账号作为Cloud Build执行身份（符合最小权限原则，适合生产环境）
   • 新建专属的Cloud Build执行服务账号，给它绑定构建推送镜像、创建Compute实例、拉取目标容器镜像所需的最小权限角色
   • 在cloudbuild.yaml顶层添加全局配置，指定该自定义账号为执行身份：

   options:
     serviceAccount: 'projects/[你的项目ID]/serviceAccounts/[自定义服务账号邮箱]'
   

   • 给默认的Cloud Build服务账号[项目编号]@cloudbuild.gserviceaccount.com绑定自定义服务账号的roles/iam.serviceAccountUser角色，授权Cloud Build服务代理模拟该自定义账号执行作业。
   • 注意：如果你选择这种方案，你原来在create-with-container里给VM指定的运行服务账号，也需要给上述Cloud Build执行身份绑定该VM服务账号的roles/iam.serviceAccountUser角色，不然执行身份没有权限把服务账号挂载到VM上。

内容的提问来源于stack exchange，提问作者Bardigan