创建与登录IAM用户不同的CloudSQL IAM用户时遇错误

核心结论 #

无法绕过这个规则，Google Cloud SQL的IAM数据库用户机制强制要求：执行IAM用户创建（或IAM认证登录）操作时，客户端提供的数据库用户名必须与当前用于认证的Google Cloud IAM账号邮箱完全一致。

报错原因 #

你当前用CircleCI Orb的通用IAM账号去创建应用专属IAM用户，相当于用账号A（通用用户）尝试创建账号B（应用专属），但操作时指定的数据库用户名是B的邮箱，而当前认证身份是A，两者不匹配，触发了Cloud SQL的校验机制，导致报错：

cloudsql database username provided by client does not match the authenticated user's email

可行解决方案 #

• 临时切换认证身份：在CircleCI流程中，先通过gcloud auth activate-service-account命令，用应用专属IAM账号的密钥文件激活身份，再执行创建CloudSQL IAM用户的操作。这样当前认证身份和要创建的数据库用户名一致，就能通过校验。
• 修改Orb配置：如果公司的CircleCI Orb支持自定义认证身份，调整Orb的步骤配置，让创建IAM用户的环节使用应用专属IAM账号，而非通用账号。
• 预创建IAM用户：如果应用专属IAM用户不需要动态生成，提前在Google Cloud控制台或通过gcloud sql users create命令手动创建好，后续CircleCI流程直接使用该用户进行数据库操作，跳过流程内创建步骤。

补充说明 #

Cloud SQL的这个校验是为了保障身份一致性，防止越权操作，属于官方强制逻辑，没有官方提供的绕过方式。

内容的提问来源于stack exchange，提问作者Sumit Desai