能否将Pod挂载的GCP ServiceAccount令牌转为JSON文件适配WithCredentialsFile？

首先明确：你Pod里挂载的/var/run/secrets/kubernetes.io/serviceaccount/token是Kubernetes ServiceAccount的JWT令牌，它和GCP服务账号的JSON密钥文件结构完全不同，无法直接转换为符合WithCredentialsFile要求的JSON凭证文件。

不过你不需要做转换，Golang GCP存储SDK支持通过Workload Identity直接使用K8s ServiceAccount认证GCP服务，这是更安全、推荐的做法，步骤如下：

1. 前提条件 #

• 若使用GKE集群，需确保已启用Workload Identity；若为其他K8s集群，需配置Workload Identity Federation关联GCP。
• 拥有一个GCP服务账号（GCP SA），并为其授予所需的GCS权限（例如roles/storage.objectAdmin）。

2. 绑定K8s SA与GCP SA #

执行gcloud命令完成身份绑定：

gcloud iam service-accounts add-iam-policy-binding [GCP_SA_EMAIL] \
  --member="serviceAccount:[GCP_PROJECT_ID].svc.id.goog[K8S_NAMESPACE/K8S_SA_NAME]" \
  --role="roles/iam.workloadIdentityUser"

3. 配置K8s ServiceAccount注解 #

在你的K8s ServiceAccount资源中添加注解，指定关联的GCP SA：

apiVersion: v1
kind: ServiceAccount
metadata:
  name: [K8S_SA_NAME]
  namespace: [K8S_NAMESPACE]
  annotations:
    iam.gke.io/gcp-service-account: [GCP_SA_EMAIL]

4. 代码中使用默认认证 #

不需要调用WithCredentialsFile，直接初始化GCS客户端即可，SDK会自动通过Workload Identity流程获取GCP认证凭证：

import (
	"context"
	"cloud.google.com/go/storage"
)

func main() {
	ctx := context.Background()
	client, err := storage.NewClient(ctx)
	if err != nil {
		// 处理错误逻辑
	}
	defer client.Close()
	// 使用客户端操作GCS资源
}

不推荐的手动方式（仅作参考） #

若你一定要手动处理K8s令牌，可以用它向GCP元数据服务器交换GCP访问令牌，但这需要自行实现认证逻辑，不如SDK自动处理可靠：

# 示例：用K8s令牌获取GCP访问令牌
curl -H "Authorization: Bearer $(cat /var/run/secrets/kubernetes.io/serviceaccount/token)" \
  "http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/default/token" \
  -H "Metadata-Flavor: Google"

内容的提问来源于stack exchange，提问作者User12547645