GKE中GKE admin角色需绑定viewer才可查看集群API升级通知咨询

根本原因 #

该现象是GCP IAM预定义角色的权限边界设计导致的，核心逻辑如下：

1. GKE Admin角色的权限范围有明确边界
   预定义角色roles/container.admin（即GKE Admin）的权限仅覆盖GKE服务本身的资源操作：包含集群全生命周期管理、节点池运维、集群内RBAC配置等写操作，以及GKE集群自身资源的读权限，但不会自动包含跨服务的依赖权限、项目级通用浏览权限。
2. 集群API升级通知不属于GKE集群自身的子资源
   控制台展示的集群API弃用、升级通知，不是GKE集群资源内置的信息，而是由GCP独立服务Recommender（洞察推荐服务）生成的项目级洞察数据，控制台加载这类通知需要调用Recommender的接口，依赖以下核心权限：
   • recommender.containerDeprecationInsights.get
   • recommender.containerDeprecationInsights.list
   • container.projects.getServerConfig
     这些权限默认没有被纳入GKE Admin角色的权限集合，而是包含在基础角色roles/viewer（Viewer）的权限范围内，因此只绑定GKE Admin时会因为缺少跨服务接口的调用权限，无法加载通知内容。
3. 认知偏差来源
   GCP的IAM角色体系没有遵循"Admin角色默认包含对应场景所有读权限"的常规设计：Viewer/Editor/Owner是三个独立的基础原语角色，各服务专属的Admin预定义角色是独立权限集，不会默认继承基础角色的任何权限，这和多数云厂商的角色继承逻辑不同，非常容易造成误解。

最小权限解决方案 #

不需要绑定整个Viewer角色（该角色包含全项目所有资源的读权限，范围过宽），可以给对应账号创建自定义角色，仅添加上述3个拉取升级通知所需的权限，即可正常查看通知内容。

现象对照 #

仅绑定GKE Admin角色、未绑定Viewer角色时的界面表现：

同时绑定GKE Admin角色与Viewer角色时的界面表现：

内容的提问来源于stack exchange，提问作者saurabh umathe