使用GKE连接Google Cloud SQL遇权限不足：GenerateEphemeralCert报错

针对你遇到的调用google.cloud.sql.v1beta4.SqlConnectService.GenerateEphemeralCert返回403的问题，按以下步骤排查：

1. 确认Pod使用的服务账号是否正确 #

检查你的Deployment是否指定了正确的Kubernetes服务账号，默认情况下Pod会使用default账号，可能和你配置权限的GCP服务账号不匹配：

kubectl describe deployment <你的Deployment名称> | grep ServiceAccount

如果输出为空或不是你绑定的账号，需要在Deployment的spec.template.spec中添加serviceAccountName: <你的K8s服务账号名>。

2. 验证Workload Identity绑定是否生效 #

如果你用Workload Identity关联GCP服务账号，确认绑定关系正确：

gcloud iam service-accounts add-iam-policy-binding <GCP服务账号邮箱> \
  --member="serviceAccount:<GKE项目ID>.svc.id.goog[<命名空间>/<K8s服务账号名>]" \
  --role="roles/iam.workloadIdentityUser"

同时确保K8s服务账号存在，且Deployment中指定的账号名与绑定的一致。

3. 检查服务账号的IAM权限 #

虽然你给了Owner角色，但建议明确添加Cloud SQL Client角色（roles/cloudsql.client），该角色包含生成临时证书的必要权限，避免Owner角色的权限生效延迟或配置问题：

gcloud projects add-iam-policy-binding <你的项目ID> \
  --member="serviceAccount:<GCP服务账号邮箱>" \
  --role="roles/cloudsql.client"

可以用以下命令验证权限是否已添加：

gcloud projects get-iam-policy <你的项目ID> \
  --filter="bindings.members:serviceAccount:<GCP服务账号邮箱>" \
  --format=json

4. 确认Cloud SQL Admin API已启用 #

Cloud SQL Proxy依赖该API生成临时证书，检查是否启用：

gcloud services list --enabled | grep sqladmin

如果未启用，执行以下命令开启：

gcloud services enable sqladmin.googleapis.com

5. 检查Cloud SQL Proxy边车配置 #

确保Proxy的启动参数正确，特别是实例连接名（格式为项目ID:区域:实例名）：

# Deployment中边车容器示例
containers:
- name: cloud-sql-proxy
  image: gcr.io/cloudsql-docker/gce-proxy:latest
  command:
    - "/cloud_sql_proxy"
    - "-instances=<你的实例连接名>=tcp:3306"
    # 如果未使用Workload Identity，需要指定密钥文件路径
    # - "-credentials-file=/secrets/cloudsql/key.json"
  # 挂载密钥卷（仅当未使用Workload Identity时需要）
  # volumeMounts:
  # - name: cloudsql-instance-credentials
  #   mountPath: /secrets/cloudsql
  #   readOnly: true

6. 直接测试服务账号的证书生成权限 #

用服务账号密钥直接调用API验证权限是否正常：

1. 导出服务账号密钥（如果未持有）：

gcloud iam service-accounts keys create key.json --iam-account=<GCP服务账号邮箱>

2. 设置凭证环境变量：

export GOOGLE_APPLICATION_CREDENTIALS=key.json

3. 尝试生成临时证书：

gcloud sql ssl client-certs create test-cert <你的实例名> --instance=<你的实例名>

如果该命令返回403，说明权限配置确实有问题；如果成功，问题出在GKE的Pod配置上。

7. 验证Spring Boot数据源配置 #

确保你的application.yml中数据源指向Proxy的本地端口：

spring:
  datasource:
    url: jdbc:mysql://127.0.0.1:3306/<你的数据库名>
    username: <数据库用户名>
    password: <数据库密码>

内容的提问来源于stack exchange，提问作者anz