GKE启用Workload identity报DeployPatch failed错误如何解决

• 同项目下使用Terraform为多个GKE集群启用Workload Identity功能均无异常，仅单个集群操作失败
• Terraform执行集群配置更新时返回错误：
  Error waiting for updating GKE cluster workload identity config: DeployPatch failed
• 跳过Terraform直接在Google Cloud控制台手动执行相同的Workload Identity启用操作，会触发完全一致的报错
• 已知背景：数月前该环境所有IAM权限曾被全量重置，后续为手动恢复的权限配置

结合权限全量重置的背景，90%以上的同类报错由GKE托管服务代理账号权限缺失导致，按以下优先级逐一排查：

• 校验GKE服务代理账号角色绑定
  GKE控制面执行集群配置变更依赖Google托管的服务代理账号service-[项目数字ID]@container-engine-robot.iam.gserviceaccount.com，手动恢复权限时非常容易遗漏该账号的绑定。
  执行以下命令查询该账号的当前权限：

  gcloud projects get-iam-policy [你的项目ID] --filter="serviceAccount:service-[你的项目数字ID]@container-engine-robot.iam.gserviceaccount.com"
  

  正常返回结果中必须包含roles/container.serviceAgent角色，缺失该角色时所有集群控制面的配置Patch操作都会直接失败，且无论调用方是Terraform、控制台还是gcloud CLI，底层接口返回的报错完全一致，和当前问题现象完全匹配。
• 校验组织策略拦截规则
  执行以下命令查看项目/组织级是否存在Workload Identity相关的限制策略：

  gcloud beta resource-manager org-policies list --project=[你的项目ID]
  

  重点检查是否存在constraints/gcp.restrictWorkloadIdentity或自定义的Workload Identity拦截规则，权限重置后如果同步过组织级基线策略，可能会拦截单集群的功能启用操作。
• 校验集群当前运行状态
  执行以下命令查询集群详情：

  gcloud container clusters describe [集群名称] --region=[集群所在区域]
  

  如果返回结果中status字段不是RUNNING，比如处于RECONCILING、ERROR状态，说明集群有未完成的运维操作（版本升级、节点池扩容失败、网络配置异常等），需要先处理完现有异常，才能执行新的配置变更。
• 校验节点池服务账号基础权限
  该问题优先级最低，节点池服务账号权限缺失一般只会导致节点侧Workload Identity功能异常，不会拦截控制面的启用流程，仅当前面三项排查无异常时再检查：确认节点池使用的服务账号（默认为[项目数字ID]-compute@developer.gserviceaccount.com）已绑定roles/container.nodeServiceAccount及日志、监控相关基础角色。

• 若为GKE服务代理账号缺失container.serviceAgent角色，执行以下命令绑定即可：

  gcloud projects add-iam-policy-binding [你的项目ID] \
    --member="serviceAccount:service-[你的项目数字ID]@container-engine-robot.iam.gserviceaccount.com" \
    --role="roles/container.serviceAgent"
  

  绑定完成后等待2-3分钟等待IAM权限全局同步，再重新尝试启用Workload Identity即可。
• 若为组织策略拦截，对应调整策略放开目标项目/集群的Workload Identity使用限制后重试。
• 若为集群状态异常，先处理完现有卡住的运维任务，等集群状态恢复为RUNNING后再重试配置变更。

内容的提问来源于stack exchange，提问作者Mikhail Znak