gcloud命令在命令行可用但Python脚本执行遇认证错误

使用服务账号运行Dataflow Flex Template时，直接在命令行执行以下命令可成功启动任务：

gcloud auth activate-service-account --key-file=******.json --project=********

gcloud dataflow flex-template run ***** ...

但通过Python的subprocess模块调用相同命令时，出现认证错误：

ERROR: (gcloud.dataflow.flex-template.run) INVALID_ARGUMENT: (60c1e988debfc8c6): Current user cannot act as service account 

已为该服务账号配置serviceAccountUser权限，且项目无相关报错日志，求排查问题原因。

• subprocess执行环境未共享认证状态
  命令行中两个命令在同一个shell会话里，gcloud auth activate-service-account的认证状态会被后续命令复用。但用subprocess分开执行两个独立命令时，第二个命令的shell会话无法获取第一个命令的认证状态。解决办法是将两个命令合并到同一个subprocess调用中，确保在同一shell环境下执行：

  import subprocess
  cmd = '''gcloud auth activate-service-account --key-file=******.json --project=******** && gcloud dataflow flex-template run ***** ...'''
  subprocess.run(cmd, shell=True, check=True)
  

• 父进程认证状态干扰
  如果运行Python脚本的父进程本身已有其他gcloud认证（比如本地用户账号的默认认证），subprocess会继承这个状态，导致第二个命令未使用刚激活的服务账号。可以通过指定环境变量强制使用目标服务账号密钥，无需执行activate命令：

  import subprocess
  import os
  
  env = os.environ.copy()
  env['CLOUDSDK_AUTH_CREDENTIAL_FILE_OVERRIDE'] = '/path/to/******.json'
  cmd = 'gcloud dataflow flex-template run ***** ... --project=********'
  subprocess.run(cmd, shell=True, env=env, check=True)
  

• serviceAccountUser权限绑定对象错误
  确认serviceAccountUser权限是授予给执行Python脚本的身份，而非服务账号本身。比如本地运行时，要给你的本地用户账号（或所属组）添加对目标服务账号的serviceAccountUser角色；在GCE/GKE等环境运行时，要给实例的默认服务账号添加对应权限。

• gcloud配置缓存干扰
  subprocess调用可能读取了旧的gcloud配置缓存。可以在命令中添加--no-user-output-enabled参数，或指定--configuration参数，也可以清理本地gcloud缓存（如删除~/.config/gcloud下的相关文件，操作前注意备份），避免缓存影响认证状态。

内容的提问来源于stack exchange，提问作者Ben Delany