Compute Engine SSH 连不上，按身份、网络与系统逐层排查
先确认项目与实例，再判断使用 OS Login 还是元数据 SSH 密钥。把授权、传输链路和系统状态分别验证。
需要梳理你的部署与运维需求？联系 @ak6793 ↗
保存报错并确认目标实例
记录 Project ID、可用区、VM 名称和连接方式。确认实例处于运行状态，启动盘未满且启动日志无明显错误。浏览器 SSH、gcloud 和本地 SSH 客户端的身份及网络路径可能不同，先选择一种连接方式复现问题。保存超时、拒绝连接或权限拒绝等具体错误，后续排查才能保持同一范围。
核对 OS Login 与密钥来源
项目或实例启用 OS Login 时，登录身份由相关 IAM 与组织策略控制，应检查用户角色及账号要求。使用元数据密钥时，检查项目和实例级密钥以及阻止项目密钥的配置。确认用户名、私钥文件和公钥对应关系。切换登录机制前记录当前维护入口，避免在修复过程中丢失可用通道。
沿实际传输路径检查网络
直接访问外部地址时，检查地址、路由和防火墙来源范围。通过 IAP 隧道连接时，还需检查 IAP 的使用权限和规定来源到实例端口的规则。网络标记或目标服务账号不匹配会导致规则没有覆盖目标 VM。系统防火墙与 sshd 的监听状态也要检查，连接被拒绝和连接超时应分别处理。
无法登录时收集系统线索
查看串行端口日志、启动脚本执行结果和监控，判断是否存在磁盘空间耗尽、文件权限错误或服务启动失败。使用串行控制台或救援磁盘前核对所需权限、适用条件并保存数据副本。对生产实例先安排维护窗口，将每次修复限制为可验证的小步操作，避免同时修改多个环节。
恢复后验收和收敛临时配置
重新建立 SSH 会话并验证当前用户权限，检查网站和后台服务。记录根因、修改项与恢复时间，处理排障时临时添加的密钥或宽泛来源规则。确认第二位维护者具备合适权限和恢复说明，并按团队要求保存审计日志。应用运行身份的 API 授权问题可继续查看本站服务账号指南。