我需要使用哪些 IAM 权限来创建类似于默认计算引擎服务帐户的服务帐户？

Question

我已删除默认服务帐户，并且已超过 30 天。 我不知道它是否适用于所有市场解决方案，但如果没有计算引擎默认服务帐户，我想使用的解决方案将无法启动。

我需要设置哪些 IAM 权限才能创建与计算引擎默认服务账户具有相同权限的服务账户以从市场启动 VM？

我尝试了 Compute Admin、compute.imageUser 和 Compute Instance Admin，但无济于事。

除此之外，当由于编辑角色而建议禁用/删除默认计算引擎服务帐户时，为什么市场解决方案需要默认服务帐户？

Answer 1

什么是计算引擎默认服务帐户？

默认情况下，该帐号会自动获得项目的项目编辑者角色，并列在 Cloud Console 的 IAM 部分中。 只有在删除项目时才会删除此服务帐号。 但是，您可以更改授予此帐户的角色，包括撤销对您的项目的所有访问权限。

文档

Answer 2

仅当服务帐户在 30 天内被删除时，您才能取消删除该服务帐户。

取而代之的是，我们可以创建一个新的服务帐户并为其授予“编辑”角色，因为默认计算引擎服务帐户默认具有相同的角色。 如需了解详情，请参阅Compute Engine 默认服务帐号。

要将服务帐户设置为项目的计算引擎默认服务帐户，我们可以使用以下命令：

gcloud alpha compute project-info set-default-service-account

但由于该命令处于“alpha”启动阶段，因此并非所有人都可以使用。

我可以建议以下选项：

1. 创建一个新项目。
2. 请求允许将新服务帐户设置为计算引擎默认服务帐户的 Alpha 功能。

如果您对 Alpha 版发布或参与 Alpha 计划有任何疑问，请联系销售人员。 在这种情况下，销售团队需要批准它。