跨项目使用Cloud Function通过VPC连接器连接PostgreSQL失败求解决方法

1. 排查VPC连接器网络配置 #

• 确认VPC连接器已启用私有Google访问：这是通过VPC访问Google服务（包括Cloud SQL）的必要条件，未启用会导致私有链路无法建立。
• 检查VPC连接器的出站流量规则：确保允许访问PostgreSQL默认端口5432，无防火墙规则拦截该端口的出站请求。
• 验证跨项目VPC连通性：若项目B的Cloud SQL部署在私有VPC中，需确认项目A的VPC与项目B的VPC已建立VPC对等连接，且对等连接路由配置正确，允许连接器子网IP段访问Cloud SQL所在子网。

2. 检查Cloud SQL的访问控制设置 #

• 确认IAM权限绑定正确性：需在项目B的IAM控制台中，为项目A的自定义服务账号sa-project-account授予Cloud SQL Client角色，而非在项目A的IAM中配置。刚配置完权限可等待1-2分钟让权限生效。
• 配置Cloud SQL的授权网络：若Cloud SQL使用公网IP，需将项目A中VPC连接器的出站IP段添加到Cloud SQL的授权网络列表，否则Cloud SQL会拒绝该IP范围的请求。
• 检查项目B的VPC防火墙规则：确保项目B的VPC中存在允许来自项目A VPC连接器子网IP段、访问5432端口的入站防火墙规则。

3. 验证Cloud Function的配置细节 #

• 确认VPC连接器关联正确性：检查Cloud Function部署配置，是否已选择正确的VPC连接器，且开启“所有流量通过VPC连接器路由”选项。
• 确认自定义服务账号关联：确保Cloud Function部署时指定sa-project-account作为运行服务账号，未使用默认的App Engine服务账号。
• 检查连接方式：若使用Cloud SQL连接名（如project-b:region:instance-name），需确保Cloud Function运行环境支持Cloud SQL Auth Proxy自动注入；若直接用IP连接，需使用Cloud SQL的私有IP（而非公网IP），避免公网路由冲突。

4. 代码与连接字符串排查 #

• 验证连接字符串格式：PostgreSQL正确连接格式示例：

  host=<cloud_sql_private_ip> port=5432 dbname=<your_db> user=<db_user> password=<db_password>
  

  若使用连接名，格式应为：

  host=/cloudsql/<project-b:region:instance-name> dbname=<your_db> user=<db_user> password=<db_password>
  

• 添加日志排查：在代码中添加日志，打印连接时的目标IP、端口及错误详情，例如捕获psycopg2异常信息，定位是DNS解析失败、端口拒绝还是权限问题。

5. 额外排查步骤 #

• 检查服务账号权限范围：除项目级Cloud SQL Client角色，可尝试在项目B的Cloud SQL实例级别直接为sa-project-account授予该角色，确保针对性授权。
• 测试虚拟机连通性：在项目A的VPC中创建云虚拟机，使用相同服务账号或连接器子网IP尝试连接项目B的Cloud SQL，若虚拟机也无法连接，说明问题出在网络配置而非Cloud Function本身。
• 确认VPC连接器状态：在Cloud Console中检查VPC连接器运行状态，是否存在子网资源不足、部署失败等异常。

内容的提问来源于stack exchange，提问作者Vaibhav