GCP帳號代充值 Google Cloud Compute Engine無法啟動執行個體原因分析

第一章：先把問題定位到「哪一段」失敗

Compute Engine 無法啟動執行個體，看起來像是同一個現象：虛擬機卡在「啟動中」、或直接顯示錯誤。但實際上，啟動流程像一條流水線：從選定的映像、磁碟是否可掛載、網路是否允許必要的連線，到啟動腳本是否成功執行、系統是否能完成初始化。只要任意一段斷掉，就會導致你看到的「起不來」。

因此第一步不是猜測，而是用觀察把問題分層。你至少要確認三件事：執行個體目前的狀態（是否能開機到某個階段）、系統日誌或串行埠日誌裡停在哪一步、以及是否有明顯的事件或錯誤碼。很多案例最後被證明是權限不足或磁碟設定不一致，而不是「系統壞了」。

1.1 確認啟動類型：是停止後啟動、還是新建即失敗

如果你是「新建」執行個體後就啟不來，常見原因會集中在映像、磁碟、網路、服務帳戶權限與啟動腳本。若是「停機後再啟動」才出問題，則可能是磁碟或快照來源、憑證變更、或外部依賴（例如拉取私有映像、存取外部服務）發生了變動。

你可以用時間線思考：最後一次可正常啟動是什麼時候？其間你是否更新過啟動腳本、服務帳戶、IAM 權限、防火牆規則、或網路設定？把變更列出來，通常能把範圍縮小一大半。

1.2 確認你看到的「錯誤」是什麼層級

有些錯誤屬於「控制平面」層級，例如權限、配額或資源不足；有些屬於「數據平面」層級，例如磁碟裝載失敗、OS 初始化失敗；還有些屬於「應用/腳本」層級，例如啟動腳本執行失敗導致系統服務不再可用。你要把它對號入座，才會知道下一步該看哪裡。

第二章：最常見原因之一——磁碟與映像不一致

GCP帳號代充值 Compute Engine 啟動的核心依賴磁碟與映像。就算虛擬機配置看起來完全正常，只要啟動磁碟或來源映像出問題，結果通常就是起不來或卡在早期初始化階段。

2.1 啟動磁碟損壞或來源異常

如果你的啟動磁碟是從快照或映像複製來的，需特別注意：快照是否存在、是否在同一個區域、以及是否有足夠權限存取。常見狀況是快照被刪除或權限被收回，或你使用了錯誤的加密金鑰（KMS）設定，導致磁碟無法解密掛載。

另外也要留意磁碟類型：若你把執行個體設為使用某種磁碟但實際配置不符，例如啟動磁碟是某格式，但流程預期不同，會引發引導失敗。雖然看起來是「技術細節」，但這類問題在實務上並不少見。

2.2 加密金鑰（CMEK）與服務帳戶權限

若你啟動磁碟使用了用戶管理金鑰（Customer-Managed Encryption Keys, CMEK），當執行個體的服務帳戶沒有權限使用該金鑰，或金鑰策略變更，磁碟可能無法解密。這種狀況表面上像是「磁碟啟動不了」，本質卻是加密權限問題。

排查上建議你檢查三個面向：金鑰是否仍處於可用狀態；金鑰的 IAM policy 是否仍允許 Compute Engine 或相應服務帳戶使用；以及磁碟配置中指定的金鑰是否正確。

2.3 映像（Image）與 OS 相容性問題

選錯映像也能直接造成起不來，例如你原本想要的 OS 版本與你後續的啟動腳本假設不一致。更常見的是啟動腳本針對某個發行版（Debian/Ubuntu 或 RHEL/CentOS）寫死了服務名稱或路徑，結果另一個映像上缺乏相依套件，導致初始化服務失敗甚至卡住。

這類問題解法通常不在「改動系統」，而是在啟動流程中把相依條件變成可驗證。例如先檢查映像版本，再執行對應的初始化；或在腳本裡增加對服務狀態的檢測與清楚的錯誤輸出。

第三章：啟動腳本（Startup Script）或初始化流程失敗

不少人以為「起不來」只與硬體或磁碟有關，但在 Compute Engine 的實務中，啟動腳本造成的失敗非常常見。啟動腳本通常在系統啟動後執行；如果腳本改壞了網路設定、動了防火牆、或讓關鍵服務無法啟動，就會出現看似「整台都起不來」的結果。

3.1 腳本錯誤、相依套件不存在、或命令被中斷

最常見是腳本內部錯誤：變數未設定、路徑寫錯、相依套件在映像上不存在、或下載套件時網路不通。另一種常見狀況是腳本執行中被重導或環境差異導致命令失敗，但腳本沒有設計停止條件。

建議你把啟動腳本改成「可診斷」：明確記錄每一步、對關鍵命令使用檢查（例如檢查檔案是否存在、服務是否啟動成功）、並在失敗時輸出具體原因。只要你能從日誌看到最後一步卡在哪，排查就會快很多。

3.2 腳本造成網路設定錯誤

當啟動腳本改動網路設定，可能導致系統雖然能啟動，但外部連線不可用，從而讓你誤判成「整台起不來」。例如腳本修改了網卡的名稱、DNS 設定、或路由表，導致後續服務（如 NTP、遠端存取、或拉取資源）失敗。

你需要把「能否 SSH/是否能連線」與「是否真的卡在開機」分開看。可以透過 serial console、系統服務狀態或啟動序列日誌來確認 OS 是否正常完成初始化。

3.3 Cloud-Init / 配置管理工具的兼容性

若你使用 cloud-init 或配置管理工具（例如 Ansible、Chef、Puppet），也可能因版本差異或配置檔路徑不對導致初始化中止。尤其是模板變數在某次更新後不再符合新環境，cloud-init 可能因語法錯誤或缺失憑證而直接停止後續步驟。

解法是回到最原始的來源：找出 cloud-init 的 log 位置，或透過執行個體的啟動日誌確認失敗的模組。把失敗點固定下來後，再回推為何該變數在那一次更新後不正確。

第四章：網路、防火牆、以及路由問題

網路問題有時候不會表現成「啟動失敗」，而是讓你無法連線或讓某些啟動流程必需的服務無法完成。例如啟動時要抓取映像或依賴，或要連到某個內部服務。只要連線失敗，腳本就可能失敗，進而導致整體看起來「起不來」。

GCP帳號代充值 4.1 防火牆規則不允許必要流量

常見情況是你新增了執行個體，但忘記開啟允許入站（例如 SSH、RDP、或應用端口）的防火牆規則。更進一步，如果你在啟動腳本中設定了自動拉取資源或註冊服務，可能需要對外或對內的特定連線，但防火牆沒有放行。

排查上，你要釐清「啟動需要哪些連線」。例如是否需要存取 OS 更新倉庫、是否需要連到私有倉庫、是否需要連到內部 API。防火牆放行的方向（入站/出站）與目標標籤（network tags 或 service account）也必須一致。

4.2 VPC、子網路、以及自訂路由（如 Cloud Router / Routes）

如果你使用自訂 VPC、靜態路由、或特殊 NAT/防火牆拓撲，路由錯誤會讓出站網路不可用。啟動腳本如果依賴外部網路（例如下載套件），就可能卡住或失敗。

這類問題通常不會只影響「這台」，而是同網段都可能出現類似症狀。但有時候你只給了某些執行個體正確的標籤或路由目標，導致只有特定機器受影響。

4.3 IP、DNS 或代理設定錯誤

再小的 DNS 問題也能讓初始化失敗。若你在啟動腳本裡要求解析某個網域，DNS 若不可用，整段流程可能就停在第一次下載或連線。這時候你會覺得像「機器沒啟動」，但其實 OS 是啟動了，卡在網路依賴。

因此排查要盯住日誌中「網路相關錯誤」的模式：例如解析失敗、連線逾時、TLS 錯誤或憑證問題。

第五章：IAM 與服務帳戶權限（Compute 不起來的常見原因）

當你啟動一台執行個體時，Compute 需要用服務帳戶去存取其他資源：存取特定映像、存取儲存桶、使用 CMEK、連到其他 API。權限不對，就會導致初始化流程失敗，甚至讓磁碟掛載或啟動階段受阻。

5.1 服務帳戶被移除或角色不足

有些團隊會在維運時調整 IAM，或把服務帳戶改名、停用，結果還留在執行個體設定中。即便執行個體配置沒動，權限卻已經變了。這種「看起來沒有改動，卻突然起不來」特別常見。

你要檢查：執行個體目前綁定的服務帳戶是誰；該服務帳戶是否仍存在且未停用；以及其角色是否仍滿足你對存取映像、快照、或其他資源的需求。

5.2 需要的權限到底有哪些：不要只看表面

許多人排查 IAM 會先對照一份清單，但真正要注意的是「你啟動流程中實際會存取哪些資源」。例如你在 startup script 中會連到某個 Cloud Storage 存取憑證、或拉取某個私有映像。這些行為需要對應權限；如果權限缺了一個細節，就會在初始化時失敗。

一個實用的做法是：把 startup script 或初始化流程中出現的資源名稱（例如桶名、檔案路徑、KMS key、映像來源）整理出來，再逐一回到 IAM 看是否被授權。不要只靠猜測。

5.3 若使用工作負載身份或憑證替換要格外小心

某些方案會在啟動後再注入憑證或依賴外部身分。若身分提供方式改變（例如 OIDC 配置、身份綁定、或權限更新），啟動脚本在取憑證時就會失敗。你要從日誌追到「憑證取得失敗」的那一步，再判斷是 IAM 還是外部身分提供方問題。

第六章：資源不足與配額（Quota）造成的控制平面失敗

不是所有起不來都發生在 OS 層。當你剛建立執行個體或嘗試改變某些配置（例如擴增磁碟類型、增加 CPU、切換到特定地區/機型），也可能因配額或資源不足而無法完成建立或啟動。

6.1 配額不足：CPU、磁碟、快照或靜態 IP

配額不足常見於：你在某個專案的 CPU 或實例數接近上限；或你嘗試使用某種磁碟類型但該類型的配額不夠。還有一些是間接的，例如使用特定網路功能需要額外配額。

GCP帳號代充值 這種問題的特徵是：你在控制平面或建立流程就可能看到錯誤，而不是在 OS 日誌才看到。解法是檢查該專案的配額使用狀況，必要時提交配額申請或調整機型/區域。

6.2 地區可用性與機型限制

某些機型在特定區域容量不足時，可能導致無法按預期啟動。若你最近更換了區域、或使用了特定的維持策略，可能遇到供給波動。

排查要從最簡單的開始：對比同樣配置在其他區域是否可建立；或查看該機型在該區域的供給狀態。不要一開始就假設是 OS 壞掉。

第七章：更細的啟動失敗線索——序列日誌、事件與時間線

當你把磁碟、腳本、網路、IAM、配額都過一遍，仍然找不到原因時，就該更精準使用日誌與事件。

7.1 讀懂「串行埠」或早期啟動日誌

如果系統在早期啟動就崩潰，普通 SSH 日誌可能還沒機會。這時候串行埠（Serial Console）或啟動階段日誌會更直接告訴你：是找不到 boot device、檔案系統掛載失敗、還是 kernel panic。

你要抓住兩個資訊：最後一段成功訊息，以及最後一段錯誤訊息。兩者差距通常就是問題所在。

7.2 事件（Events）與變更追蹤

Compute Engine 會記錄一些事件資訊，例如是否因為磁碟掛載、或權限、或資源不足而失敗。把事件按照時間排序，再回推你是否在同時段做了 IAM 或腳本變更。

很多案例的根因是「某次自動化流程更新了啟動模板」，導致某個變數值從正常變成空值。只要你能把事件時間對到變更時間，就能很快定位。

7.3 用最小化變更法降低排查成本

當你不確定是哪個設定造成，最有效的方法是最小化變更：一次只改一項，並且保留原設定作對照。比如先把 startup script 暫停（或替換成空腳本），觀察機器是否能開機；如果可以，問題就落在腳本。若仍不行，問題更可能在磁碟或系統層。

這種方法雖然看起來慢，但比盲目猜測快，因為你每一次結果都能排除一大類可能性。

第八章：可操作的排查流程（建議你照著走）

下面給一個實務導向的排查流程。你不一定每一步都要做，但建議至少抓住順序：先確認控制平面，再確認磁碟與啟動日誌，最後才看腳本與網路。

8.1 第一步：看狀態與事件，分辨是「建立/啟動」還是「初始化」

若控制平面就報錯（例如配額、權限、資源不可用），先處理這類問題。若執行個體已經建立，只是進入無法完成初始化，才轉向 OS 日誌與啟動腳本。

8.2 第二步：核對啟動磁碟與加密設定

確認啟動磁碟的來源（映像/快照/自有磁碟）、區域是否匹配、磁碟加密金鑰是否仍可用，以及服務帳戶是否具備解密或掛載所需權限。

8.3 第三步：檢查啟動日誌（Startup Script / cloud-init / Serial Console）

把最後一段錯誤抓出來，通常能很快判定是腳本語法、缺失套件、網路下載失敗、或憑證取得失敗。不要只看「有錯」，要看「錯在什麼行、什麼資源」。

8.4 第四步：核對網路與防火牆對應到啟動需求

確認啟動腳本需要的外部/內部連線在規則上是否被允許。若腳本會下載套件，確保出站可用（NAT、DNS、路由、防火牆）。若腳本會連內部服務，則也要檢查目標端口與來源標籤。

8.5 第五步：回頭查 IAM 與服務帳戶權限是否被更新

尤其檢查：服務帳戶是否仍存在、是否停用、角色是否足夠、CMEK 金鑰是否授權、以及任何你在啟動流程中用到的 API 是否有對應權限。

GCP帳號代充值 8.6 第六步：確認配額與區域供給

如果你是在更新配置後才出問題，注意配額是否被動觸發（例如 CPU 或磁碟容量突然高於原本上限）。若在特定區域，還要排除供給不足的可能性。

第九章：典型案例剖析（讓你知道該往哪查）

以下用幾個「常見劇本」幫你建立直覺。你可以對照自己的狀況，快速決定該先查哪個方向。

案例一：磁碟加密後突然起不來

某天你把啟動磁碟改成使用 CMEK，之後執行個體無法啟動。你在日誌裡看到類似掛載失敗或解密失敗的痕跡。此時不要先怪 OS，而是先查金鑰授權。金鑰的 IAM policy 可能還允許建立流程，但不允許運行時服務帳戶使用。

處理方式通常是補齊金鑰權限，確保服務帳戶或 Compute 需要的主體被授權使用該 KMS key。

案例二：啟動腳本執行到一半就卡住

執行個體看似開機完成，但你無法 SSH，或核心服務起不來。你查看啟動腳本日誌，發現腳本某一步在下載套件時逾時。這常是網路出站問題或 DNS 解析失敗。

處理方式通常不是修改服務本身，而是先把網路可達性驗證好：DNS、NAT、路由與防火牆都檢查一遍。等腳本能穩定完成，再談服務配置。

案例三：只在某個新模板版本失敗

你使用模板或 IaC（例如 Terraform）自動化建立執行個體。當模板更新後，新建機器失敗。你對比舊模板與新模板，發現 startup script 的變數名稱被改了，或某個必填欄位在新版本變成空值，導致腳本訪問錯誤路徑。

此案例要抓「最後一行」與「變更 diff」。只要你把模板更新點列出來，再對照日誌，就能直接定位是變數缺失或路徑錯誤。

案例四：配額剛好過線導致無法建立

團隊在高峰期同時建立多台執行個體，部分實例顯示無法啟動或建立失敗。你以為是環境問題，但控制平面其實已報配額不足。這時候 OS 日誌看不到關鍵線索，因為機器根本沒有成功完成建立。

處理方式是檢查配額、改成更合適的機型或區域、或提前做容量規劃。

第十章：把風險降到最低的設計建議

問題既然多半發生在啟動流程的交界處，那你就應該在設計時讓它「更容易被看見」。當你下一次遇到「起不來」，你不需要從頭猜，而是能從日誌直接看到原因。

10.1 啟動腳本要可觀測

在啟動腳本中加入明確的步驟輸出，並把關鍵檔案寫到固定位置；對下載、掛載、服務啟動加入檢查條件。不要讓腳本在失敗時沉默。

10.2 將網路與依賴明確化

假設啟動腳本會用到外部網路或內部服務時，請在設計上清楚列出它需要的目標與端口。這樣當防火牆變更或路由調整後，你才不會用「感覺」去猜是哪裡失效。

10.3 分離「系統啟動」與「應用部署」

最理想的做法是讓 VM 的基本 OS 能正常啟動，即使應用部署失敗也不影響你登入與診斷。你可以把複雜部署流程放到更可控的階段（例如延後到服務啟動後的工作負載），或使用具有重試機制的工具，避免一次失敗就讓整台失去可觀測性。

10.4 對 IAM 變更保持審慎

GCP帳號代充值 把服務帳戶與金鑰權限的變更納入流程控管：變更要有回滾方案、要有影響評估、要能追蹤到是哪個提交導致權限被收回。這會顯著降低「突然起不來」的發生機率。

結語：不要把「起不來」當作單一原因，而是一次分層排查

GCP帳號代充值 Google Cloud Compute Engine 無法啟動執行個體，通常不是單點故障，而是啟動流水線中某個環節失敗。你的效率取決於你是否能先分層：控制平面是否失敗、磁碟與金鑰是否能掛載、OS 初始化與啟動腳本是否完成、網路與防火牆是否滿足依賴、以及服務帳戶權限與配額是否仍然有效。

GCP帳號代充值 當你把這些方向按順序確認，再回到日誌精準定位，就能把猜測變成證據，把排查時間縮到最短。下一次你遇到「起不來」，不用慌，你只要照著流程走，原因就會自己浮出來。