我需要使用哪些 IAM 权限来创建类似于默认计算引擎服务帐户的服务帐户？答案

【问题标题】：What IAM permissions do I need to use to create a Service Account similar to Default Compute Engine Service Account?我需要使用哪些 IAM 权限来创建类似于默认计算引擎服务帐户的服务帐户？
【发布时间】：2022-01-07 21:35:41
【问题描述】：

我已删除默认服务帐号，但它已超过 30 天。我不知道它是否适用于所有市场解决方案，但如果没有计算引擎默认服务帐户，我想使用的解决方案无法启动。

我需要设置哪些 IAM 权限才能创建与计算引擎默认服务帐户具有相同权限的服务帐户以从市场启动 VM？

我尝试了 Compute Admin、compute.imageUser 和 Compute Instance Admin，但无济于事。

除此之外，当由于编辑角色而建议禁用/删除默认计算引擎服务帐户时，为什么市场解决方案需要默认服务帐户？

【问题讨论】：

您在哪个页面删除了服务帐号？在 IAM 页面上还是在服务帐户页面上？
1) Compute Engine 服务帐户与任何其他服务帐户一样。使用您需要的角色创建一个新的服务帐号，并将其分配给您的 Compute Engine 虚拟机实例。这实际上是一个推荐的过程（创建一个新的服务帐户）。默认分配的角色是Editor，不推荐使用。 2) 通过使用默认的计算引擎服务帐户，创建市场产品的过程更容易一些，需要的最终用户权限更少，并且可能需要技术支持的文档更少。
谢谢@guillaumeblaquiere 我不记得了。有没有办法查出来？
一如既往地感谢@JohnHanley 我尝试使用相同的命名语法和编辑角色重新创建默认计算引擎 SA，但无法成功启动市场解决方案。启动 VM 需要 30 多分钟，然后出现错误消息 {"ResourceType":"runtimeconfig.v1beta1.waiter","ResourceErrorCode":"504","ResourceErrorMessage":"Timeout expired."} 我不确定它是否仅适用于我尝试使用的解决方案。为了学习好奇心，我想知道为什么不强制禁止默认 Compute Engine SA 用于市场解决方案？
1) 您不能手动创建与默认名称同名的服务帐户。 2) 您是否尝试过 gcloud beta iam service-accounts undelete？ 3) 如果您没有运行其他计算服务（GCE、Run 等），请禁用 计算引擎 API (compute.googleapis.com)。然后重新启用 API。这将重新创建服务帐户。

标签： google-cloud-platform google-compute-engine service-accounts

【解决方案1】：

什么是计算引擎默认服务帐号？

默认情况下，该帐号会自动获得项目的项目编辑角色，并列在 Cloud Console 的 IAM 部分中。只有在删除项目时才会删除此服务帐号。但是，您可以更改授予此帐户的角色，包括撤销对您的项目的所有访问权限。

Documentation

【讨论】：

谢谢！在我的情况下，使用编辑角色重新创建 SA 不起作用。我尝试使用相同的命名语法和编辑角色重新创建默认计算引擎 SA，但无法成功启动市场解决方案。启动 VM 需要 30 多分钟，然后出现错误消息 {"ResourceType":"runtimeconfig.v1beta1.waiter","ResourceErrorCode":"504","ResourceErrorMessage":"Timeout expired."}

【解决方案2】：

只有在不到 30 天前被删除的服务帐户才能取消删除。

除此之外，我们可以create a new service account 并为其授予“编辑”角色，因为默认计算引擎服务帐户默认具有相同的角色。更多信息请参考Compute Engine default service account。

要将服务帐户设置为项目上的计算引擎默认服务帐户，我们可以使用以下command：

gcloud alpha compute project-info set-default-service-account

但由于该命令在“alpha”launch stage 中，因此并非所有人都可以使用。

我可以建议以下选项：

Create a new project。
请求允许将新服务帐户设置为计算引擎默认服务帐户的 Alpha 功能。

如果您对 Alpha 版发布或参与 Alpha 计划有任何疑问，请联系sales。在这种情况下，需要销售团队批准。

【讨论】：

谢谢！欣赏输入。很抱歉复制并粘贴相同的回复——在我的情况下，使用编辑角色重新创建 SA 不起作用。我尝试使用相同的命名语法和编辑角色重新创建默认计算引擎 SA，但无法成功启动市场解决方案。启动 VM 需要 30 多分钟，然后出现错误消息 {"ResourceType":"runtimeconfig.v1beta1.waiter","ResourceErrorCode":"504","ResourceErrorMessage":"Timeout expired."}
@FlyingPenguin 我修改了我的答案。检查我的新答案。