部署在Cloud Run的GO应用连接AlloyDB遇IAM权限错误求助

环境与配置信息 #

• 应用：基于Go语言开发，部署在Cloud Run，尝试连接AlloyDB实例
• Cloud Run配置：
  • 网络：已指定VPC网络及子网，开启「直接将流量发送到VPC」，路由规则设为「仅将发往私有IP的请求路由到VPC」
  • 安全：服务账号已配置权限：Cloud AlloyDB Client、Cloud AlloyDB Database User、Service Account User、Service Usage Consumer

报错详情 #

Go应用连接初始化失败 #

"failed to set up database connection: failed to connect to host=/tmp user=cicd-***@labs-****-****-****.iam database=postgres: dial error (IAM check failed, caller does not have required permissions)"

psql客户端测试连接报错 #

执行命令：

user@gce-instance:~$ PGPASSWORD=$(gcloud auth print-access-token) psql -h *.*.*.*  -U cicd-***@labs-****-****-****.iam -d postgres

返回错误：

psql: error: FATAL:  AlloyDB IAM user authentication failed for user "cicd-***@labs-****-****-****.iam" FATAL:  pg_hba.conf rejects connection for host "*.*.*.*", user "cicd-***@labs-****-****-****.iam", database "cicd-***@labs-****-****-****.iam", no encryption

排查背景 #

个人GCP账号遵循官方IAM认证及连接规范可正常连接AlloyDB，但客户受管控环境出现上述连接失败问题，需排查缺失配置项。

核心排查方向 #

• pg_hba.conf与SSL强制检查：报错明确提到no encryption及pg_hba拒绝连接，需确认AlloyDB实例的pg_hba.conf是否要求IAM认证连接必须使用SSL。测试时psql需添加sslmode=require参数，Go应用连接字符串需包含sslmode=require配置，确保加密连接。
• IAM权限绑定范围：确认服务账号的权限是否直接绑定到AlloyDB实例所在的项目或实例资源，受管控环境可能存在组织级政策限制，需检查是否有政策阻断了服务账号的权限生效。
• VPC网络连通性验证：检查Cloud Run所在子网与AlloyDB实例子网是否在同一VPC或已通过VPC peering连通，同时确认防火墙规则未阻止Cloud Run访问AlloyDB的5432端口。
• AlloyDB内IAM用户映射：确认AlloyDB实例中已创建对应IAM用户的数据库角色（执行CREATE ROLE "cicd-***@labs-****-****-****.iam" LOGIN;），且该角色拥有访问postgres数据库的权限。
• 服务账号令牌有效性：在Cloud Run环境中验证服务账号能否正常获取有效访问令牌，确认令牌包含AlloyDB相关权限范围。

内容的提问来源于stack exchange，提问作者Godfrey P Menezes