使用IAM用户连接AlloyDB数据库报错问题咨询

AlloyDB Python连接器的IAM认证逻辑和Cloud SQL的不同，无法直接通过enable_iam_auth参数跳过密码，需要通过生成IAM认证令牌作为连接密码来实现无密钥连接，具体步骤如下：

1. 安装必要依赖 #

确保安装连接器和Google认证库：

pip install alloydb-python-connector google-auth

2. 生成IAM认证令牌作为密码 #

使用Google Cloud的认证库生成短期访问令牌，这个令牌就是连接AlloyDB时的密码：

from google.auth import default
from google.auth.transport.requests import Request

# 获取默认凭证（GCE/GAE/Cloud Run等环境自动加载；本地需设置GOOGLE_APPLICATION_CREDENTIALS或执行gcloud auth application-default login）
credentials, _ = default(scopes=["https://www.googleapis.com/auth/cloud-platform"])
# 刷新凭证获取有效令牌
credentials.refresh(Request())
iam_password = credentials.token

3. 用连接器建立IAM认证连接 #

将生成的令牌作为密码传入，用户名使用IAM用户的邮箱（比如服务账号邮箱或GSuite用户邮箱）：

from alloydb.connector import Connector

connector = Connector()

def get_alloydb_conn():
    return connector.connect(
        "your-project-id:your-region:your-cluster-id",  # AlloyDB集群的完整连接名称
        "pg8000",  # 支持pg8000或psycopg2驱动
        user="iam-user@your-domain.com",  # IAM用户的邮箱地址
        password=iam_password,  # 使用生成的IAM令牌作为密码
        db="your-db-name"
    )

# 示例：执行查询
with get_alloydb_conn() as conn:
    with conn.cursor() as cur:
        cur.execute("SELECT current_user;")
        print("当前连接用户:", cur.fetchone()[0])

connector.close()

关键注意事项 #

• 权限配置：确保IAM用户被授予roles/alloydb.client角色（包含alloydb.connections.connect权限），同时在AlloyDB数据库中创建对应用户：

  CREATE USER "iam-user@your-domain.com" WITH LOGIN;
  -- 按需赋予数据库权限，比如：
  GRANT ALL PRIVILEGES ON DATABASE "your-db-name" TO "iam-user@your-domain.com";
  

• 令牌有效期：IAM令牌默认有效期1小时，若需长期保持连接，需定期刷新凭证并重连。
• 本地开发凭证：本地运行时，要么设置环境变量GOOGLE_APPLICATION_CREDENTIALS指向服务账号密钥文件，要么执行gcloud auth application-default login获取用户凭证。

内容的提问来源于stack exchange，提问作者Sumit Desai