Workload Identity Federation(WIF)与gsutil acl set命令适配问题

问题场景 #

已通过Workload Identity Federation（WIF）完成CircleCI与GCP的认证，gsutil -m rsync -d -r folder/ gs://bucket同步文件夹到GCS桶完全正常，但新增gsutil -m acl set -R -a public-read gs://bucket命令设置对象公开时，抛出boto.exception.NoAuthHandlerFound认证错误。

已知前提：

• gCloud auth list显示已成功认证
• 所用服务账号拥有Storage Admin和Storage Object Admin角色，权限充足
• 切换到服务账号密钥认证时，该acl命令可正常执行，仅WIF认证场景下触发问题
• 已尝试切换ACL类型、移除-m参数、升级gsutil至5.24版本、开启调试日志对比令牌权限等操作，均未解决

解决方案 #

1. 强制gsutil复用gcloud认证上下文 #

执行以下命令，让gsutil直接使用gcloud的当前认证会话（包括WIF生成的临时凭据），避免依赖独立的boto配置：

gcloud config set storage/use_gcloud_auth true

配置生效后重新执行acl命令即可。

2. 显式指定gcloud生成的boto配置文件 #

如果存在自定义~/.boto或/etc/boto.cfg文件干扰WIF认证，可临时指定使用gcloud自带的gsutil配置：

export BOTO_CONFIG=$(gcloud info --format='value(config.paths.gsutil)')
gsutil -m acl set -R -a public-read gs://bucket

该配置文件默认包含WIF凭据的正确引用，不会出现认证缺失问题。

3. 验证WIF令牌的权限范围 #

确认WIF身份池请求的令牌包含存储控制所需的OAuth范围，执行以下命令检查当前令牌的权限：

gcloud auth print-access-token | curl -H "Authorization: Bearer $(cat -)" https://www.googleapis.com/oauth2/v3/tokeninfo

查看返回结果的scope字段，需包含https://www.googleapis.com/auth/devstorage.full_control或https://www.googleapis.com/auth/devstorage.read_write，若缺失需在CircleCI的WIF配置中补充对应范围。

4. 改用gcloud storage命令替代gsutil #

gcloud的storage命令对WIF认证的兼容性更好，尤其是批量操作场景，可直接替换acl命令：

gcloud storage objects update gs://bucket/** --acl public-read --recursive

5. 强制刷新WIF凭据（临时验证） #

在CircleCI环境中显式刷新应用默认凭据，确保WIF凭据正确加载：

gcloud auth application-default login --credential-file-output=${HOME}/gcp-key.json
export GOOGLE_APPLICATION_CREDENTIALS=${HOME}/gcp-key.json

执行完成后再运行acl命令即可。

内容的提问来源于stack exchange，提问作者Saif