如何实现并行调用gcloud时使用不同服务账号并自动应用其项目ID？

我完全懂你遇到的这些糟心问题——gcloud的认证机制有时候确实让人摸不着头脑，尤其是在CI流水线这种需要隔离和并行的场景里。下面给你几个可行的方案，都是非交互式、不会破坏个人凭据的，还能实现不同服务账号的并行调用：

方案1：使用gcloud独立配置文件（最推荐） #

gcloud支持创建多个独立的配置文件，每个配置可以绑定不同的服务账号、项目ID等参数，完美解决并行冲突和个人配置被修改的问题：

1. 创建独立配置：为每个服务账号创建一个专属配置（名字可以自定义）

   gcloud config configurations create sa-config-<unique-id>
   

   比如给服务账号A创建sa-config-project-a，服务账号B创建sa-config-project-b。

2. 绑定服务账号与项目ID：在指定配置下激活服务账号，并自动设置密钥文件中的项目ID（用jq提取，需要提前安装jq）

   # 从密钥文件提取项目ID和服务账号邮箱
   PROJECT_ID=$(jq -r .project_id "$GOOGLE_APPLICATION_CREDENTIALS")
   SA_EMAIL=$(jq -r .client_email "$GOOGLE_APPLICATION_CREDENTIALS")
   
   # 在目标配置下激活服务账号
   gcloud auth activate-service-account "$SA_EMAIL" --key-file="$GOOGLE_APPLICATION_CREDENTIALS" --configuration=sa-config-<unique-id>
   
   # 设置该配置的项目ID
   gcloud config set project "$PROJECT_ID" --configuration=sa-config-<unique-id>
   

3. 使用指定配置执行命令：在并行任务中，通过--configuration参数或者环境变量指定要使用的配置，完全隔离上下文

   # 方式1：命令行指定配置
   gcloud --configuration=sa-config-<unique-id> compute instances list
   
   # 方式2：设置环境变量，后续所有gcloud命令自动使用该配置
   export CLOUDSDK_ACTIVE_CONFIG_NAME=sa-config-<unique-id>
   gcloud compute instances list
   

这个方法的好处是：每个配置完全独立，并行任务之间不会互相干扰；不会修改你的默认个人配置，个人凭据绝对安全；可以重复使用配置，后续CI任务直接调用即可。

方案2：通过环境变量强制指定上下文（无需创建配置） #

如果不想创建多个配置文件，也可以直接通过环境变量和命令参数强制gcloud使用指定的服务账号和项目ID，绕过全局配置：

1. 提取密钥文件中的关键信息：

   PROJECT_ID=$(jq -r .project_id "$GOOGLE_APPLICATION_CREDENTIALS")
   SA_EMAIL=$(jq -r .client_email "$GOOGLE_APPLICATION_CREDENTIALS")
   

2. 执行命令时强制指定账号和项目：

   GOOGLE_APPLICATION_CREDENTIALS="$GOOGLE_APPLICATION_CREDENTIALS" gcloud --account="$SA_EMAIL" --project="$PROJECT_ID" <your-command>
   

或者把环境变量和参数封装到脚本里，每个并行任务使用自己的密钥文件路径、账号和项目ID即可。这个方法更轻量化，适合一次性的CI任务，不需要维护配置文件。

方案3：Docker容器完全隔离（适合复杂CI环境） #

如果你的CI环境支持Docker，可以把每个gcloud任务放到独立的容器中运行，彻底隔离环境：

使用官方的google/cloud-sdk镜像，挂载本地的密钥文件到容器内，然后在容器中设置环境变量或执行认证命令：

docker run --rm -v "$GOOGLE_APPLICATION_CREDENTIALS:/tmp/key.json" \
  -e GOOGLE_APPLICATION_CREDENTIALS=/tmp/key.json \
  -e CLOUDSDK_CORE_PROJECT=$(jq -r .project_id "$GOOGLE_APPLICATION_CREDENTIALS") \
  google/cloud-sdk gcloud <your-command>

每个容器都有独立的gcloud配置，不会影响宿主机的个人凭据，并行任务之间也完全隔离。

为什么之前的方法会出问题？ #

你提到的gcloud auth activate-service-account是修改全局默认配置的操作，所以并行执行时会互相覆盖，而且默认配置会优先于GOOGLE_APPLICATION_CREDENTIALS环境变量，导致环境变量被忽略。上面的方案都是通过上下文隔离来避免这个问题，要么用独立配置，要么强制指定参数，要么用容器隔离，都不会修改你的个人默认配置。

内容的提问来源于stack exchange，提问作者jbrown