使用gcloud创建Kubernetes集群时遇container.clusters.create权限错误

这个403权限错误的原因很直接——你当前使用的Google Cloud账号在test-project项目里没有创建Kubernetes集群的权限，具体来说就是缺少container.clusters.create这个关键IAM权限。下面是一步步解决的方法：

1. 确认当前登录的账号 #

首先，先确认你gcloud CLI当前使用的是哪个账号，避免给错账号授权：

gcloud auth list

输出里带*的就是当前活跃的账号，记下来这个邮箱地址。

2. 给账号添加对应的IAM角色 #

Google Cloud的IAM权限是通过角色批量管理的，针对创建GKE集群的需求，有几个合适的角色可选（遵循最小权限原则的话，优先选更精细的角色）：

• Kubernetes Engine Cluster Admin (roles/container.clusterAdmin)：专门负责集群的创建、删除等核心操作，权限刚好够用
• Kubernetes Engine Admin (roles/container.admin)：拥有GKE集群的全管理权限，适合需要深度操作集群的场景
• Editor (roles/editor)：项目级的编辑权限，能操作大部分资源，但权限范围较宽，测试环境可以用

方法一：通过Google Cloud Console操作 #

1. 打开Google Cloud控制台，切换到test-project项目
2. 进入IAM与管理员 > IAM页面
3. 在列表里找到你刚才确认的账号，点击账号右侧的编辑图标（铅笔形状）
4. 点击添加角色，在搜索框里输入上面提到的角色名称（比如Kubernetes Engine Cluster Admin），选中后保存

方法二：通过gcloud命令行操作 #

直接在终端执行以下命令（记得替换your-email@example.com为你当前的账号邮箱，test-project为你的项目ID）：

gcloud projects add-iam-policy-binding test-project \
  --member="user:your-email@example.com" \
  --role="roles/container.clusterAdmin"

如果是使用服务账号的话，把member参数改成serviceAccount:your-service-account@test-project.iam.gserviceaccount.com即可。

3. 刷新权限并验证 #

权限变更可能需要几秒到几分钟生效，你可以重新登录gcloud来刷新会话：

gcloud auth revoke your-email@example.com
gcloud auth login

之后再重新执行你的集群创建命令：

gcloud container clusters create my-k8s

这次应该就能正常执行了。

内容的提问来源于stack exchange，提问作者lambda-pumpkin