如何让GKE访问GCP Compute Engine内的数据库？是否需额外配置？

核心问题 #

错误提示明确指向Kerberos认证失败：GKE的Linux容器环境默认未配置Kerberos客户端，也未加入Windows域，无法通过Integrated Security=True要求的Kerberos/NTLM认证方式连接SQL Server。而同VPC的Windows VM本身属于域环境（或已配置NTLM/Kerberos），因此可以正常连接。

解决方案 #

方案1：修改连接字符串，使用SQL Server身份认证（最简便） #

直接禁用集成认证，改用你已提供的SQL账号密码连接，修改后的连接字符串：

Server=Name;Database=ABC;User Id=sqlserver;Password=123;Integrated Security=False;

注意：需确保SQL Server已启用混合模式认证（默认可能仅允许Windows认证），可在Windows VM的SQL Server配置管理器中开启该选项，重启SQL服务后生效。

方案2：配置Kerberos认证（适用于必须使用集成认证的场景） #

如果业务要求必须保留Integrated Security=True，需完成以下配置：

• 在Windows SQL Server端注册SPN：
  以管理员身份在VM上执行命令，为SQL Server注册服务主体名称（SPN），替换占位符为实际值：

  setspn -A MSSQLSvc/[VM主机名]:1433 [SQL服务运行账号]
  setspn -A MSSQLSvc/[VMIP地址]:1433 [SQL服务运行账号]
  

  可用setspn -L [SQL服务运行账号]验证SPN是否注册成功。
• 在GKE Pod中配置Kerberos客户端：
  1. 容器镜像中安装Kerberos工具：Debian/Ubuntu镜像执行apt-get install -y krb5-user，RHEL/CentOS镜像执行yum install -y krb5-workstation。
  2. 配置/etc/krb5.conf文件，指定Windows域的KDC地址和域名，示例配置：

     [libdefaults]
      default_realm = YOUR_DOMAIN.COM
      dns_lookup_kdc = true
      dns_lookup_realm = true
     [realms]
      YOUR_DOMAIN.COM = {
       kdc = YOUR_DC_IP_OR_HOSTNAME
       admin_server = YOUR_DC_IP_OR_HOSTNAME
      }
     [domain_realm]
      .your_domain.com = YOUR_DOMAIN.COM
      your_domain.com = YOUR_DOMAIN.COM
     

  3. 在Pod启动脚本中执行kinit获取Kerberos票据，或使用keytab文件自动认证：

     kinit sqlserver@YOUR_DOMAIN.COM
     

• 网络权限检查：确保GKE Pod能访问域控制器的KDC端口（UDP/TCP 88）。

额外检查项 #

• 验证sqlserver账号对ABC数据库拥有读写权限。
• 在GKE Pod中执行telnet [VM主机名/IP] 1433，确认SQL端口连通性正常。

内容的提问来源于stack exchange，提问作者Ishika Jain