GCP项目恢复后Terraform创建Serverless VPC Connector失败问题咨询

问题根因 #

你遇到的报错是项目被盗用后被临时禁用、恢复过程中产生的两类问题叠加导致：

• 项目被禁用时，原有的VPC Access Connector、关联路由资源未被正常清理，成为后端存在但控制台/ Terraform状态文件无法识别的孤儿资源，导致创建时报409实体已存在、删除VPC时报资源被占用
• 盗用者的恶意操作占满了项目的VPC Access Connector CPU配额，项目恢复后配额未自动释放，导致创建时报配额不足、内部错误13

解决步骤 #

1. 清理残留孤儿资源

• 执行命令列出项目下所有区域的VPC Access Connector：
  gcloud compute networks vpc-access connectors list --project 你的项目ID --region all
• 对查询到的所有残留连接器执行删除操作：
  gcloud compute networks vpc-access connectors delete 连接器名称 --project 你的项目ID --region 对应区域
• 删除报错中占用VPC的残留路由，再删除对应VPC：
  gcloud compute routes delete default-route-5cbc9de02e21bb35 --project static-emblem-327016

2. 恢复配额

• 进入GCP控制台「IAM与管理」-「配额」页面，筛选服务为VPC Access API，资源类型选择CPU per region，查看目标使用区域的配额状态
• 若配额被占满或被限制，提交配额提升申请，说明项目此前被盗用后恢复、配额未正常释放的情况，通常1-2个工作日会完成审批

3. 重建资源

• 配额恢复、所有残留资源清理完成后，清空本地Terraform缓存与状态文件，重新执行init、plan、apply流程即可正常创建资源，可优先选择此前未使用过的区域验证操作有效性

相关问题解答 #

• 该问题不属于GCP通用基础设施故障，是单项目恢复后的特殊异常，无需直接放弃当前项目
• 查询GCP基础设施运行状态可直接访问控制台内置的「状态」页面，可查看所有区域、所有服务的实时运行情况与历史故障记录
• 若完成上述所有操作后仍持续报错超过3个工作日，再考虑新建项目迁移相关资源

内容的提问来源于stack exchange，提问作者Harton