Google Cloud获取集群凭证403未授权及服务账号角色分配问题

嘿，我来帮你捋捋这两个关联的问题——服务账号角色分配失败，以及获取GKE集群凭证时的403权限错误，这俩大概率是权限链出了问题，一步步来解决：

这个错误提示你缺少container.clusters.get权限，咱们从以下几个方向排查：

• 检查当前gcloud使用的身份：
  先执行gcloud config get-value account，看看当前激活的账号是不是你刚创建的服务账号，或者是有权限操作GKE的账号。如果是服务账号，得确保它已经被正确授权。
• 给账号添加必要的GKE权限：
  至少需要container.clusters.get权限，最直接的方式是给账号分配roles/container.clusterViewer角色（只读权限），如果需要更多操作权限，可以用roles/container.admin。
  如果是你自己的用户账号在操作，得确认你在项目中的IAM角色包含GKE相关权限，比如Editor、Owner或者专门的GKE角色。
• 如果用的是服务账号，先激活它的密钥：
  如果你还没激活服务账号的密钥文件，执行这条命令：

  gcloud auth activate-service-account --key-file=path/to/your/service-account-key.json
  

  激活后再重新运行获取凭证的命令试试。

这个问题通常是你自己的操作账号缺少IAM权限导致的，按以下步骤排查：

• 检查你自身的IAM权限：
  要给其他账号（包括服务账号）分配角色，你需要拥有roles/iam.roleAdmin、roles/owner或者roles/editor这类包含IAM管理权限的角色。如果你的账号没有这些权限，控制台会悄悄失败，或者给出权限不足的提示。
• 确认服务账号状态正常：
  去IAM页面找到你创建的服务账号，检查它是否处于启用状态，有没有被意外禁用。
• 用gcloud命令尝试分配角色：
  有时候控制台的报错不够清晰，用命令行试试能得到更明确的错误信息：

  gcloud projects add-iam-policy-binding YOUR_PROJECT_ID --member=serviceAccount:YOUR_SERVICE_ACCOUNT_EMAIL --role=roles/container.clusterViewer
  

  把YOUR_PROJECT_ID和YOUR_SERVICE_ACCOUNT_EMAIL换成你自己的信息，执行后如果报错，会直接告诉你是权限不足、参数错误还是其他问题。

• 权限变更不是即时生效的，分配角色后最好等个2-3分钟再尝试操作，让Google的IAM系统同步权限。
• 如果你的项目属于某个组织，可能还有组织级别的政策限制服务账号的权限，这时候需要联系组织管理员检查组织IAM政策。

内容的提问来源于stack exchange，提问作者Thomas Nairn