google-compute-engine - 具有计算实例管理员权限的 GCE 服务帐户

Question

我已经设置了一个计算实例，用于使用具有以下角色的服务帐户在 Google 计算引擎上运行 cronjobs:
Custom Compute Image User + Deletion rights
Compute Admin
Compute Instance Admin (beta)
Kubernetes Engine Developer
Logs Writer
Logs Viewer
Pub/Sub Editor
Source Repository Reader
Storage Admin
不幸的是，当我通过 ssh 进入这个 cronjob runner 实例然后运行时:

sudo gcloud compute --project  {REDACTED} instances create e-latest \
    --zone {REDACTED} --machine-type n1-highmem-8 --subnet default \
    --maintenance-policy TERMINATE  \
    --scopes  https://www.googleapis.com/auth/cloud-platform \
    --boot-disk-size 200  \
    --boot-disk-type pd-standard --boot-disk-device-name e-latest \
    --image {REDACTED} --image-project {REDACTED} \
    --service-account NAME_OF_SERVICE_ACCOUNT \ 
    --accelerator type=nvidia-tesla-p100,count=1 --min-cpu-platform Automatic

我收到以下错误:

The user does not have access to service account {NAME_OF_SERVICE_ACCOUNT}. User: {NAME_OF_SERVICE_ACCOUNT} . Ask a project owner to grant you the iam.serviceAccountUser role on the service account.

除了计算实例管理员之外，我还需要能够使用我的实例创建实例吗？

进一步说明:(1)当我尝试不指定 --service-account 时错误是相同的，除了我的用户无权访问的服务帐户是默认的“51958873628-compute@developer.gserviceaccount.com”。
(2) 添加/删除 sudo 不会改变任何东西

Answer 1

创建使用服务帐户的实例需要您拥有该服务帐户的 compute.instances.setServiceAccount 权限。为了使这项工作，授予 iam.serviceAccountUser角色分配给您的服务帐户(在整个项目上或在您希望能够使用其创建实例的特定服务帐户上)。