使用Terraform在GCP创建VM报403权限错误需配置什么角色，在哪里添加？

前置排查：先确认项目配置是否正确 #

你当前provider块中填的project = "My First Project"是GCP项目的显示名称，不是API调用需要的唯一项目ID，这是新手最常踩的坑。你需要先去GCP控制台的项目主页，复制格式类似my-first-project-123456的项目ID，替换到provider配置中，先排除配置错误导致的403问题。

如果替换后仍然报错，再处理权限问题：

需要配置的角色 #

创建虚拟机需要的最小权限角色如下：

• 基础创建权限：roles/compute.instanceAdmin.v1（Compute Instance Admin v1），覆盖虚拟机实例全生命周期操作权限
• 若需要给虚拟机绑定公网IP、调用默认VPC资源，额外加roles/compute.networkUser（Compute Network User）

角色授权对象 #

根据你运行Terraform时的认证方式决定：

• 如果你本地运行时用gcloud auth application-default login登录了个人GCP账号，就将角色授予你的个人账号
• 如果你使用服务账号密钥、或在GCP云资源（GCE/Cloud Run等）上运行用的是绑定的服务账号，就将角色授予对应服务账号

验证权限的方法 #

你可以直接用gcloud CLI测试当前身份的权限：

gcloud compute instances list --project 你的实际项目ID

如果该命令也返回403错误，即可确认是当前身份权限不足，按上述规则补全角色即可。

内容的提问来源于stack exchange，提问作者Hadas Yadayi