GCP已分配Compute Admin角色仍提示缺少compute.addresses.create权限怎么办

生效延迟说明 #

GCP IAM角色分配存在传播延迟，最长需要2分钟才能在全球所有服务节点生效，刚分配完角色立刻操作是出现该报错的最常见原因，不需要额外执行触发生效的命令，等待即可。

其他场景排查方向 #

• 验证当前生效的IAM策略：执行以下gcloud命令查询当前项目实际生效的权限绑定，确认你的账号确实在Compute Admin角色的绑定列表中：

  gcloud projects get-iam-policy <你的项目ID> --filter="bindings.members:<你的账号邮箱>" --format=yaml
  

  该命令返回的是GCP后端实际生效的策略，可以避免控制台页面显示和后端不同步的问题。
• 检查角色分配的层级：如果Compute Admin角色分配在文件夹或组织层级，需要确认你操作的项目属于对应资源的管辖范围，且没有开启继承阻断配置；如果角色分配在项目层级，确认你创建地址的操作没有跨到其他项目。
• 确认操作账号匹配：多账号登录场景下，检查控制台右上角当前登录的账号，是否为绑定了Compute Admin角色的账号，避免登错账号。
• 排查上层组织限制：企业级GCP环境可能会在组织层面配置组织政策，比如限制公网IP创建、IAM权限限制条件等，这类上层规则优先级高于项目级角色权限，就算持有Compute Admin也会被拦截，可查看项目的组织政策中是否存在compute.restrictIpAddressCreation相关规则。

如果等待超过5分钟仍报错，且排查完上述场景均无问题，可以尝试移除原有Compute Admin角色绑定后重新分配，触发IAM策略强制同步。

内容的提问来源于stack exchange，提问作者NimaKapoor