GCP实例中相同角色用户sudo行为不一致的稳定解决方法咨询

从你的描述来看，问题核心是GCP OS Login服务生成的sudoers配置出现了不一致——部分用户的/var/google-sudoers.d/文件正确配置了无密码sudo，另一部分却为空。除了手动修改文件，这里有几个更稳定的系统性解决方法：

1. 确保实例和项目正确启用OS Login #

OS Login的权限同步完全依赖实例或项目级的元数据配置，若配置缺失或异常，会直接导致权限生成错误：

• 检查元数据设置：
  执行命令查看目标实例的元数据：

  gcloud compute instances describe YOUR_INSTANCE_NAME --zone YOUR_ZONE --format="value(metadata.items)"
  

  确认是否存在enable-oslogin=TRUE。如果没有，为实例添加该元数据：

  gcloud compute instances add-metadata YOUR_INSTANCE_NAME --zone YOUR_ZONE --metadata enable-oslogin=TRUE
  

  也可以在项目全局设置（对所有新创建的实例生效）：

  gcloud compute project-info add-metadata --metadata enable-oslogin=TRUE
  

• 注意：如果实例之前禁用过OS Login，启用后需要让受影响的用户重新登录SSH，触发权限同步。

2. 强制刷新OS Login用户权限数据 #

OS Login可能因为网络延迟或服务缓存导致sudoers文件异常，可手动触发同步刷新：

• 在目标VM上执行以下命令，重新从GCP拉取并应用用户的OS Login配置：

  google_oslogin_control update
  

• 让用户断开当前SSH连接后重新登录，新会话会加载最新的权限配置。

3. 通过用户组统一配置sudo权限（推荐长期方案） #

compute.instances.osAdminLogin角色的用户会自动被加入google-sudoers用户组，我们可以直接针对这个组配置全局sudo规则，绕过OS Login生成的单个用户文件：

• 创建自定义sudoers文件（注意不要修改/var/google-sudoers.d/目录，OS Login会自动管理该目录）：

  sudo echo "%google-sudoers ALL=(ALL) NOPASSWD: ALL" > /etc/sudoers.d/99-osadmin-sudoers
  sudo chmod 0440 /etc/sudoers.d/99-osadmin-sudoers
  

• 为了让所有VM都统一生效，可以通过启动脚本批量配置：
  在创建VM时添加启动脚本，或者为现有VM更新元数据：

  gcloud compute instances add-metadata YOUR_INSTANCE_NAME --zone YOUR_ZONE --metadata startup-script='#!/bin/bash
  echo "%google-sudoers ALL=(ALL) NOPASSWD: ALL" > /etc/sudoers.d/99-osadmin-sudoers
  chmod 0440 /etc/sudoers.d/99-osadmin-sudoers'
  

  这样每次VM启动都会自动配置统一的sudo规则，确保所有拥有osAdminLogin角色的用户都能无密码执行sudo操作。

4. 检查OS Login服务状态 #

如果VM上的OS Login服务异常，也会导致权限同步失败：

• 检查服务状态（Ubuntu 16.04使用systemd）：

  sudo systemctl status google-oslogin.service
  

• 如果服务未运行或状态异常，重启服务并刷新权限：

  sudo systemctl restart google-oslogin.service
  google_oslogin_control update
  

这些方法中，通过google-sudoers组配置全局sudo规则是最稳定的长期方案，它不依赖OS Login的单个用户文件生成逻辑，能从根源上确保同一角色的用户权限行为一致。

内容的提问来源于stack exchange，提问作者Gaël Stéphant