如何在无头模式下检查gcloud应用凭证是否有效？

我需要在无头模式下检查应用凭证是否仍然有效。尝试执行gcloud auth application-default print-access-token时，命令会提示输入Google账户密码，不符合无头模式的无交互要求；使用gcloud auth login --brief则会弹出浏览器，同样无法满足无头条件。请问有没有无需登录交互就能检查凭证有效性的方法？

补充说明：我使用的是用户账户，执行上述命令时的提示如下：

> gcloud auth application-default print-access-token
Reauthentication required.
Please enter your password:

以下是我的gcloud info输出：

Google Cloud SDK [468.0.0]

平台: [Mac OS X, arm] uname_result(system='Darwin', node='User-Computer.local', release='23.3.0', version='Darwin Kernel Version 23.3.0: Wed Dec 20 21:30:59 PST 2023; root:xnu-10002.81.5~7/RELEASE_ARM64_T6030', machine='arm64')
区域设置: ('en_US', 'UTF-8')
Python版本: [3.12.2 (main, Feb 28 2024, 10:45:25) [Clang 15.0.0 (clang-1500.1.0.2.5)]]
Python路径: [/Users/user/code/repo/venv/bin/python3]
OpenSSL: [OpenSSL 3.2.1 30 Jan 2024]
Requests版本: [2.25.1]
urllib3版本: [1.26.9]
默认CA证书文件: [/opt/homebrew/Caskroom/google-cloud-sdk/466.0.0/google-cloud-sdk/lib/third_party/certifi/cacert.pem]
站点包: [已启用]

安装根目录: [/opt/homebrew/share/google-cloud-sdk]
已安装组件:
  gsutil: [5.27]
  core: [2024.03.08]
  bq: [2.0.101]
  gcloud-crc32c: [1.0.0]
系统PATH: [/Users/user/code/repo/venv/bin:/Users/user/.pyenv/shims:/opt/homebrew/bin:/opt/homebrew/sbin:/usr/local/bin:/System/Cryptexes/App/usr/bin:/usr/bin:/bin:/usr/sbin:/sbin:/var/run/com.apple.security.cryptexd/codex.system/bootstrap/usr/local/bin:/var/run/com.apple.security.cryptexd/codex.system/bootstrap/usr/bin:/var/run/com.apple.security.cryptexd/codex.system/bootstrap/usr/appleinternal/bin:/Users/user/.local/bin:/Users/user/.oh-my-zsh/custom/plugins/diff-so-fancy:/opt/homebrew/opt/fzf/bin]
Python PATH: [/opt/homebrew/Caskroom/google-cloud-sdk/466.0.0/google-cloud-sdk/lib/third_party:/opt/homebrew/Caskroom/google-cloud-sdk/466.0.0/google-cloud-sdk/lib:/opt/homebrew/share/google-cloud-sdk/lib:/Users/user/.pyenv/versions/3.12.2/lib/python312.zip:/Users/user/.pyenv/versions/3.12.2/lib/python3.12:/Users/user/.pyenv/versions/3.12.2/lib/python3.12/lib-dynload:/Users/user/code/repo:/Users/user/code/repo/venv/lib/python3.12/site-packages]
Cloud SDK在PATH中: [否]
Kubectl在PATH中: [/usr/local/bin/kubectl]

安装属性: [/opt/homebrew/share/google-cloud-sdk/properties]
用户配置目录: [/Users/user/.config/gcloud]
活动配置名称: [default]
活动配置路径: [/Users/user/.config/gcloud/configurations/config_default]

账户: [email@example.com]
项目: [project]
宇宙域: [googleapis.com]

当前属性:
  [core]
    account: [email@example.com] (属性文件)
    disable_usage_reporting: [true] (属性文件)
    project: [project] (属性文件)

日志目录: [/Users/user/.config/gcloud/logs]
最后日志文件: [/Users/user/.config/gcloud/logs/2024.03.13/09.22.57.790126.log]

git: [git version 2.44.0]
ssh: [OpenSSH_9.4p1, LibreSSL 3.3.6]

推荐方案：改用服务账号密钥 #

用户账户的OAuth凭证依赖用户交互（如密码、MFA），天生不适合无头环境。服务账号的密钥文件可以实现无交互的凭证验证，步骤如下：

1. 在Google Cloud控制台创建服务账号，并下载对应的JSON密钥文件
2. 设置环境变量指向密钥文件：

   export GOOGLE_APPLICATION_CREDENTIALS="/path/to/service-account-key.json"
   

3. 执行gcloud auth application-default print-access-token：
   • 若成功输出令牌，说明凭证有效
   • 若返回错误（如密钥过期、权限不足），则凭证无效

若必须使用用户账户 #

可以预先在有界面环境下获取长期刷新令牌，后续在无头环境复用：

1. 在有浏览器的机器上执行：

   gcloud auth application-default login --no-launch-browser
   

2. 复制命令输出的授权URL到浏览器，完成登录授权，将返回的授权码粘贴回终端
3. 生成的刷新令牌会存储在~/.config/gcloud/application_default_credentials.json中，只要该令牌未失效（用户未改密码、未撤销权限），无头环境下执行gcloud auth application-default print-access-token会自动刷新获取令牌，无需交互；若提示重新认证，则说明凭证已失效

初步检查凭证文件有效期 #

可以直接解析应用默认凭证文件做初步验证：

1. 用户账户的凭证文件路径为~/.config/gcloud/application_default_credentials.json
2. 查看文件中的expiry字段，判断是否晚于当前时间
3. 注意：即使有效期未到，也可能因用户密码变更、MFA设置修改等原因导致凭证失效，所以此方法仅作初步检查，不能完全替代实际令牌获取测试

内容的提问来源于stack exchange，提问作者Intrastellar Explorer