如何正确使用GCP Artifact Repository并解决Python工具认证阻塞问题

在使用GCP Artifact Repository作为私有PyPI源时，直接配置extra-index-url会导致所有依赖管理工具（pip、poetry、pdm、pipx等）频繁要求输入认证信息，非交互式操作直接阻塞；硬编码JSON密钥到配置文件又存在安全风险。以下是满足需求的安全方案：

核心思路 #

利用gcloud auth生成的临时访问令牌替代静态密钥，令牌有效期1小时，无需硬编码敏感信息，所有工具通过环境变量或动态注入令牌完成认证。

步骤1：完成gcloud基础认证 #

确保本地已安装并配置gcloud CLI：

• 登录GCP账号：gcloud auth login
• 设置默认项目：gcloud config set project YOUR_PROJECT_ID
• 验证令牌生成：gcloud auth print-access-token，执行后应返回一串有效令牌。

步骤2：配置pip/pdm等工具的无交互访问 #

对于pip #

无需修改全局pip.conf，推荐使用项目级配置或环境变量注入认证信息：

• 项目级配置：在项目根目录创建.pip/pip.conf，内容如下：

  [global]
  extra-index-url = https://oauth2accesstoken:${GCP_ACCESS_TOKEN}@REGION-python.pkg.dev/PROJECT_ID/REPOSITORY_NAME/simple/
  

• 环境变量方式：每次执行pip前导出令牌：

  export GCP_ACCESS_TOKEN=$(gcloud auth print-access-token)
  pip install <package-name>
  

对于pdm（基于pyproject.toml的现代工具） #

在项目的pyproject.toml中添加私有源配置，通过环境变量引用令牌：

[[tool.pdm.source]]
name = "gcp-artifact-registry"
url = "https://REGION-python.pkg.dev/PROJECT_ID/REPOSITORY_NAME/simple/"
username = "oauth2accesstoken"
password = "${GCP_ACCESS_TOKEN}"

执行pdm命令前先导出令牌：

export GCP_ACCESS_TOKEN=$(gcloud auth print-access-token)
pdm install

也可以配置全局pdm源，避免每个项目重复设置：

pdm config sources.gcp-artifact-registry.url "https://REGION-python.pkg.dev/PROJECT_ID/REPOSITORY_NAME/simple/"
pdm config sources.gcp-artifact-registry.username "oauth2accesstoken"
pdm config sources.gcp-artifact-registry.password "\${GCP_ACCESS_TOKEN}"

步骤3：配置twine安全上传 #

修改本地.pypirc文件，使用动态令牌替代静态密钥：

[distutils]
index-servers =
    pypi
    gcp-artifact-registry

[gcp-artifact-registry]
repository = https://REGION-python.pkg.dev/PROJECT_ID/REPOSITORY_NAME/
username = oauth2accesstoken
password = $(gcloud auth print-access-token)

执行上传命令时，shell会自动解析子命令生成令牌：

twine upload --repository gcp-artifact-registry dist/*

如果shell不支持配置文件中的子命令，可直接在命令行指定：

twine upload --repository gcp-artifact-registry -u oauth2accesstoken -p $(gcloud auth print-access-token) dist/*

步骤4：优化实现无交互自动化 #

由于GCP访问令牌有效期为1小时，可通过以下方式自动刷新：

• 将令牌导出命令添加到shell配置文件（如~/.bashrc或~/.zshrc），每次打开终端自动生成令牌：

  export GCP_ACCESS_TOKEN=$(gcloud auth print-access-token)
  

• 对于长时间运行的任务，添加定时刷新脚本：

  refresh_gcp_token() {
      export GCP_ACCESS_TOKEN=$(gcloud auth print-access-token)
  }
  # 每55分钟刷新一次（提前5分钟避免令牌过期）
  while true; do
      refresh_gcp_token
      sleep 3300
  done &
  

内容的提问来源于stack exchange，提问作者Mike Williamson