AlloyDB是否支持IAM服务账号认证PostgreSQL及用户创建、API问题

实现IAM服务账号到AlloyDB用户的映射 #

对应你在Cloud SQL中的操作流程，AlloyDB的实现步骤如下：

1. 创建IAM服务账号（流程与Cloud SQL一致）
2. 创建CLOUD_IAM_SERVICE_ACCOUNT类型的AlloyDB用户，使用gcloud命令：

   gcloud alloydb users create <服务账号完整邮箱> --cluster=<你的集群名称> --region=<集群所在区域> --type=CLOUD_IAM_SERVICE_ACCOUNT
   

3. 登录AlloyDB实例的PostgreSQL终端，为该用户配置指定数据库的访问权限：

   -- 授予连接目标数据库的权限
   GRANT CONNECT ON DATABASE <目标数据库名> TO "<服务账号邮箱>";
   -- 授予Schema使用权限（按需调整Schema）
   GRANT USAGE ON SCHEMA public TO "<服务账号邮箱>";
   -- 按需授予具体表的操作权限
   GRANT SELECT, INSERT, UPDATE ON ALL TABLES IN SCHEMA public TO "<服务账号邮箱>";
   

API支持说明 #

• AlloyDB不支持Cloud SQL的sql users API，它有独立的用户管理API接口：projects.locations.clusters.users.create，在请求体中设置type: "CLOUD_IAM_SERVICE_ACCOUNT"即可创建IAM服务账号类型的用户。
• 你提到的CLOUD_IAM_USER是针对IAM普通身份用户的类型，服务账号映射需使用CLOUD_IAM_SERVICE_ACCOUNT类型。

应用认证与权限限制 #

应用通过Cloud SQL Auth Proxy连接AlloyDB时，使用IAM服务账号认证后会自动以对应的AlloyDB用户身份登录，由于已配置仅指定数据库的权限，无法访问实例中的其他数据库，和你在Cloud SQL中的使用效果一致。

内容的提问来源于stack exchange，提问作者red888