Django部署GCP App Engine时，Google Secret Manager服务账号JSON仅部署异常

将Django项目部署到GCP App Engine时，把服务账号JSON存入Google Secret Manager后，项目仅能在本地正常运行，部署后无部署错误但网站超时。错误日志重复出现以下内容：

"Process terminated because the request deadline was exceeded. Please ensure that your HTTP server is listening for requests on 0.0.0.0 and on the port defined by the PORT environment variable. (Error code 123)"

当前app.yaml配置：

runtime: python39

instance_class: F2

entrypoint: gunicorn -b :$PORT gondolaProject.wsgi:application

automatic_scaling:
 target_cpu_utilization: 0.65

env_variables:
 DJANGO_SETTINGS_MODULE: "gondolaProject.settings"
 CLOUD_SQL_CONNECTION_NAME: "placeholder-401815:us-central1:to-be-announced"

beta_settings:
 cloud_sql_instances: "placeholder-401815:us-central1:to-be-announced"

此前将其他敏感密钥/令牌存入Secret Manager时，本地和部署后均运行正常。

1. 服务账号JSON加载导致启动超时 #

本地环境下Secret Manager访问速度快或有本地缓存，但部署到App Engine后，同步读取Secret Manager并初始化服务客户端的操作耗时过长，超出了App Engine的启动超时阈值，导致进程被强制终止。

解决方法：

• 延迟初始化依赖服务账号的客户端：不要在settings.py或项目启动模块中同步初始化需要服务账号的客户端（如Storage、BigQuery客户端），改为首次使用时再初始化，避免阻塞gunicorn启动流程。
• 改用App Engine内置Secret注入：在app.yaml中通过secrets配置将Secret Manager中的服务账号JSON直接注入为环境变量，减少代码层面的API调用操作，示例配置如下：

  env_variables:
    DJANGO_SETTINGS_MODULE: "gondolaProject.settings"
    CLOUD_SQL_CONNECTION_NAME: "placeholder-401815:us-central1:to-be-announced"
  secrets:
    - secret: projects/placeholder-401815/secrets/YOUR_SERVICE_ACCOUNT_SECRET_NAME
      version: latest
      env_var: SERVICE_ACCOUNT_JSON
  

  之后在代码中直接读取os.environ.get("SERVICE_ACCOUNT_JSON")即可。

2. 服务账号JSON解析或使用错误 #

若代码中对从Secret Manager获取的JSON内容解析不当（如未转为字典、格式处理错误），会导致依赖该服务账号的功能初始化失败，进而阻塞请求处理，最终触发超时。

解决方法：

• 本地模拟部署环境的读取逻辑，验证获取的JSON内容能正确解析为字典，且可正常初始化相关客户端。
• 检查代码中的异常处理：确保服务账号初始化失败时能抛出明确错误，而非静默阻塞，便于从日志中定位问题。

3. 实例启动超时配置不足 #

App Engine默认启动超时时间可能不足以支撑读取Secret Manager+初始化服务的耗时，导致实例在完成启动前被终止。

解决方法：

• 在app.yaml的automatic_scaling配置中增加startup_timeout_sec，延长启动超时时间（最大值为3600秒）：

  automatic_scaling:
    target_cpu_utilization: 0.65
    startup_timeout_sec: 300
  

4. 服务账号权限配置遗漏 #

尽管其他Secret能正常访问，仍需确认App Engine默认服务账号（PROJECT_ID@appspot.gserviceaccount.com）拥有当前服务账号JSON对应的Secret Manager的Secret Accessor权限。

解决方法：

• 进入GCP控制台的Secret Manager页面，找到目标Secret，检查权限列表中是否包含App Engine默认服务账号，并确保其拥有roles/secretmanager.secretAccessor角色。

内容的提问来源于stack exchange，提问作者DoCu99