Python3.11版Google Functions连MySQL超时，求服务账号替代白名单方案

核心前提说明 #

自建MySQL分为两种场景，配置逻辑差异较大：GCP Cloud SQL托管的MySQL实例和GCE/GKE等其他服务上自行搭建的MySQL。以下分场景梳理你可能遗漏的配置步骤：

场景1：你的MySQL是GCP Cloud SQL托管实例 #

Cloud SQL原生支持IAM数据库身份验证，这是用服务账号替代IP白名单的标准方案，你可能缺失以下环节：

1. 启用Cloud SQL实例的IAM数据库认证
   进入Cloud SQL控制台，找到目标实例→「Connections」标签→找到「IAM database authentication」选项，勾选启用后保存配置。

2. 在MySQL中创建对应服务账号的数据库用户
   用root账号登录MySQL，执行以下SQL（替换为你的服务账号邮箱和目标数据库名）：

   CREATE USER 'your-service-account@your-project.iam.gserviceaccount.com'@'%' IDENTIFIED WITH mysql_clear_password;
   GRANT SELECT, INSERT, UPDATE, DELETE ON your_target_db.* TO 'your-service-account@your-project.iam.gserviceaccount.com'@'%';
   FLUSH PRIVILEGES;
   

   必须使用mysql_clear_password插件，因为IAM认证会传递临时密码，需要该插件支持解析。

3. 调整SQLAlchemy的连接逻辑
   普通mysqlconnector驱动不直接支持IAM认证，建议使用cloud-sql-python-connector创建引擎，示例代码：

   from sqlalchemy import create_engine
   from cloud_sql_proxy import Connector
   
   # 初始化连接器
   connector = Connector()
   
   def get_db_connection():
       conn = connector.connect(
           "your-project-id:your-region:your-sql-instance-name",
           "pymysql",
           user="your-service-account@your-project.iam.gserviceaccount.com",
           db="your_target_db",
           enable_iam_auth=True
       )
       return conn
   
   # 创建SQLAlchemy引擎
   engine = create_engine(
       "mysql+pymysql://",
       creator=get_db_connection,
   )
   

场景2：你的MySQL是GCE/GKE等非Cloud SQL的自建实例 #

这类场景无法直接用服务账号作为MySQL登录凭证，需通过VPC私有网络+权限控制实现安全访问，遗漏的步骤如下：

1. 给Cloud Functions配置VPC连接器
   进入Cloud Functions控制台→编辑目标函数→「VPC连接」部分，选择与MySQL所在VPC相同的连接器（无连接器则先创建）。配置后GCF会通过私有IP访问MySQL，不走公网。

2. 配置VPC防火墙规则
   进入VPC网络控制台→创建防火墙规则：

   • 目标：选择MySQL所在的实例或子网
   • 来源IP范围：填写VPC连接器的IP段（可在连接器详情页查看）
   • 协议和端口：允许TCP访问你的MySQL端口（默认3306）
   • （可选）更安全配置：在「目标服务账号」中指定GCF的服务账号，仅允许该服务账号的流量访问MySQL

3. 调整MySQL绑定地址
   修改MySQL配置文件（my.cnf或my.ini），将bind-address设置为0.0.0.0或VPC内部私有IP，确保VPC内实例可访问。

4. 修改SQLAlchemy连接字符串
   将连接地址替换为MySQL的私有IP，而非公网IP，示例：

   engine = create_engine(
       "mysql+mysqlconnector://db_user:db_password@private_ip:port/your_db"
   )
   

通用排查步骤 #

• 验证服务账号权限：执行gcloud projects get-iam-policy your-project --filter="bindings.members:serviceAccount:your-service-account@your-project.iam.gserviceaccount.com"，确认已拥有roles/cloudsql.client（Cloud SQL场景）或roles/compute.networkUser（VPC场景）角色。
• 本地测试连接：用服务账号密钥激活身份后，尝试连接MySQL，排查是否为代码逻辑问题。

内容的提问来源于stack exchange，提问作者Jose Gutierrez