Docker-Machine 不适用于 Google Cloud 服务帐户

Question

我使用服务帐户创建一个 google 计算实例

gcloud --project my-proj compute instances create test1 \
--image-family "debian-9" --image-project "debian-cloud" \
--machine-type "g1-small" --network "default" --maintenance-policy "MIGRATE" \
--service-account "gke-build-robot@myproj-184015.iam.gserviceaccount.com" \
--scopes "https://www.googleapis.com/auth/cloud-platform" \
--tags "gitlab-runner" \
--boot-disk-size "10" --boot-disk-type "pd-standard" --boot-disk-device-name "$RESOURCE_NAME" \
--metadata register_token=mytoken,config_bucket=gitlab_config,runner_name=test1,gitlab_uri=myuri,runner_tags=backend \
--metadata-from-file "startup-script=startup-scripts/prepare-runner.sh"

通过 ssh 登录到实例：gcloud compute --project "myproj" ssh --zone "europe-west1-b" "gitlab-shared-runner-pool"

安装和配置 docker 机器后。我尝试创建实例：

     docker-machine create --driver google --google-project myproj test2
    Running pre-create checks...
    (test2) Check that the project exists
    (test2) Check if the instance already exists
    Creating machine...
    (test2) Generating SSH Key
    (test2) Creating host...
    (test2) Opening firewall ports
    (test2) Creating instance
    (test2) Waiting for Instance
Error creating machine: Error in driver during machine creation: Operation error: {EXTERNAL_RESOURCE_NOT_FOUND  The resource '1045904521672-compute@developer.gserviceaccount.com' of type 'serviceAccount' was not found. []}

1045904521672-compute@developer.gserviceaccount.com 是我的默认帐户。 我不明白为什么使用它。因为激活的是 gke-build-robot@myproj-184015.iam.gserviceaccount.com

gcloud config list
[core]
account = gke-build-robot@myproj-184015.iam.gserviceaccount.com
disable_usage_reporting = True
project = novaposhta-184015
Your active configuration is: [default]

 gcloud auth list
                      Credentialed Accounts
ACTIVE  ACCOUNT
*       gke-build-robot@myproj-184015.iam.gserviceaccount.com

谁能解释一下，我做错了什么？

Answer 1

有双重问题。

• 首先，docker-machine 不能使用特定的服务帐户，至少在 0.12 和 0.13 版本中。
• Docker+Machine google驱动只有scope参数，无法获取具体参数。
  因此，安装 docker+machine 的实例在指定的sa 下工作正常。 但是使用 docker+machine 创建的实例，必须有默认服务帐号。
  在调试期间，我将其关闭。
  结果我遇到了这个错误。

Answer 2

类似的问题 (bosh-google-cpi-release issue 144) 以某种方式暗示了

此错误消息不清楚，特别是因为还需要在清单中指定的凭据可能完全与另一个帐户相关联。

bosh-google-cpi-release 的默认 service_account 设置为“default”，如果它不是由 bosh 清单主动设置的，那么每当您使用 service_scopes 而不是 service_account 时都会发生这种情况。

虽然您没有使用bosh-google-cpi-release，但最后一句话让我仔细检查了gcloud reference page，尤其是gcloud compute instance create。

服务帐户是附加到实例的身份。其访问令牌可以通过实例元数据服务器访问，并用于对实例上的应用程序进行身份验证。
该帐户可以是电子邮件地址，也可以是与服务帐户对应的别名。您可以使用“default”别名明确指定 Compute Engine 默认服务帐号。

如果未提供，实例将获取项目的默认服务帐号。

就好像您的服务帐户被忽略或不正确（并回退到项目默认帐户）

请参阅“Creating and Enabling Service Accounts for Instances”以仔细检查其值：

通常，服务帐户的电子邮件来自服务帐户 ID，格式为：

[SERVICE-ACCOUNT-NAME]@[PROJECT_ID].iam.gserviceaccount.com

或者试试setting first the service scope and account。