如何强制GOOGLE_APPLICATION_CREDENTIALS优先于默认ServiceAccount？

为什么默认ServiceAccount会生效？ #

Google Cloud的Java客户端库自带一套认证优先级 fallback 逻辑：当GOOGLE_APPLICATION_CREDENTIALS指向的文件不存在或无效时，会自动尝试其他认证方式——比如K8s的Workload Identity（如果启用）、节点元数据服务挂载的默认ServiceAccount凭证，所以你的请求会用默认SA成功访问BQ。

强制环境变量优先生效的办法 #

• 确保指定的密钥文件真实存在且有效
  这是让环境变量生效的前提：如果要让GOOGLE_APPLICATION_CREDENTIALS优先，必须让/tmp/sa.json是合法的服务账号密钥文件。可以通过K8s Secret挂载实现：

  1. 本地准备好合法的sa.json密钥文件
  2. 用kubectl创建Secret：kubectl create secret generic gcp-sa-key --from-file=sa.json=/path/to/your/local/sa.json
  3. 在Pod的部署配置中添加挂载：

     spec:
       volumes:
         - name: sa-key-volume
           secret:
             secretName: gcp-sa-key
       containers:
         - name: your-spring-boot-app
           volumeMounts:
             - name: sa-key-volume
               mountPath: /tmp
               readOnly: true
     

  这样Pod启动后，/tmp/sa.json就是真实有效的密钥文件，客户端库会优先使用它。

• 禁用客户端库的自动 fallback 机制
  如果想让GOOGLE_APPLICATION_CREDENTIALS指向无效文件时直接报错（而非 fallback 到默认SA），可以通过以下方式关闭自动 fallback：

  • 添加环境变量：GOOGLE_AUTH_DISABLE_AUTO_FALLBACK=true
  • 或者在Spring Boot的JVM启动参数中加入：-Dgoogle.auth.disable.auto.fallback=true
    这样当指定的密钥文件无效时，客户端库会直接抛出认证失败异常，不会再尝试默认SA。

• 检查Workload Identity配置
  如果你的Pod启用了Workload Identity绑定，客户端库会优先使用该身份认证，即使设置了GOOGLE_APPLICATION_CREDENTIALS。如果要强制用文件密钥，可以暂时解除Workload Identity绑定，或者确保挂载的密钥文件合法有效。

内容的提问来源于stack exchange，提问作者curiousengineer