误删GKE服务账号后集群无法操作，如何配置所需权限？

看起来你是因为误删服务账号导致IAM权限链断裂，进而无法完成集群、节点相关操作。咱们一步步来修复这个问题，核心是确保两个关键身份的权限配置正确：你用来执行操作的账号，以及GKE控制平面依赖的服务代理账号。

1. 修复GKE服务代理账号的权限 #

GKE底层依赖一个特殊的服务代理账号来管理Compute资源，格式为 service-[PROJECT_NUMBER]@container-engine-robot.iam.gserviceaccount.com。如果这个账号的权限丢失，会直接导致集群操作失败。

• 先获取你的项目编号：

  gcloud projects describe [PROJECT_ID] --format="value(projectNumber)"
  

• 检查该账号是否拥有roles/container.serviceAgent角色：

  gcloud projects get-iam-policy [PROJECT_ID] --filter="bindings.members:service-[PROJECT_NUMBER]@container-engine-robot.iam.gserviceaccount.com"
  

• 如果没有该角色，立即添加：

  gcloud projects add-iam-policy-binding [PROJECT_ID] \
    --member="serviceAccount:service-[PROJECT_NUMBER]@container-engine-robot.iam.gserviceaccount.com" \
    --role="roles/container.serviceAgent"
  

2. 给执行操作的账号补充必要权限 #

你用来删除集群、管理节点的账号（不管是你的个人用户账号，还是重新创建的服务账号），需要包含错误信息里列出的所有权限。这里有两种方案：

选项A：快速解决（使用预定义角色） #

直接添加覆盖性的预定义角色，适合紧急恢复场景：

# 如果你用的是个人用户账号
gcloud projects add-iam-policy-binding [PROJECT_ID] \
  --member="user:[YOUR_EMAIL]" \
  --role="roles/container.admin"

gcloud projects add-iam-policy-binding [PROJECT_ID] \
  --member="user:[YOUR_EMAIL]" \
  --role="roles/compute.admin"

# 如果是服务账号，替换member为 serviceAccount:[YOUR_SERVICE_ACCOUNT_EMAIL]

选项B：最小权限原则（自定义角色） #

如果不想用过于宽泛的角色，可以创建仅包含所需权限的自定义角色：

1. 创建角色定义文件custom-gke-cluster-role.yaml：

   title: Custom GKE Cluster Management Role
   description: Grants permissions to delete GKE clusters and related Compute resources
   includedPermissions:
   - compute.firewalls.delete
   - compute.instanceGroupManagers.delete
   - compute.routes.list
   - compute.projects.get
   - container.clusters.delete
   

2. 创建自定义角色：

   gcloud iam roles create customGkeClusterManager \
     --project=[PROJECT_ID] \
     --file=custom-gke-cluster-role.yaml
   

3. 将角色绑定到你的账号：

   gcloud projects add-iam-policy-binding [PROJECT_ID] \
     --member="user:[YOUR_EMAIL]" \
     --role="projects/[PROJECT_ID]/roles/customGkeClusterManager"
   

3. 验证并重试操作 #

IAM权限生效需要1-2分钟，之后重试删除集群：

gcloud container clusters delete [CLUSTER_NAME] --zone=[CLUSTER_ZONE]

如果还是无法连接节点，确保你的账号拥有compute.instances.connect和compute.instances.getSerialPortOutput权限，添加roles/compute.instanceAdmin.v1角色即可解决。

内容的提问来源于stack exchange，提问作者Fahad Abid