使用Artifact Registry私有Python包运行gcloud beta code dev遇认证问题

你确实误解了Application Default Credentials（ADC）的作用 #

本地执行gcloud auth application-default login后，凭据会存在你本地机器的~/.config/gcloud/application_default_credentials.json文件里，你的虚拟环境直接读取这个本地文件完成认证。但Docker构建过程是完全隔离的容器环境：

• 容器默认不会挂载本地的凭据目录，所以内部找不到ADC文件
• 容器镜像里默认没有安装gcloud CLI，也没法通过gcloud命令获取临时凭据

这就是为什么本地pip安装正常，但容器构建失败的原因。

本地可行的解决方法 #

方法1：构建时挂载本地ADC到容器 #

运行gcloud beta code dev时，通过挂载卷把本地的ADC目录映射到容器内的对应路径，同时设置环境变量指定凭据位置：

gcloud beta code dev --volume ~/.config/gcloud:/root/.config/gcloud --env GOOGLE_APPLICATION_CREDENTIALS=/root/.config/gcloud/application_default_credentials.json

注：如果容器内运行的是非root用户，需要调整挂载路径到对应用户的~/.config/gcloud目录。

方法2：使用服务账号密钥文件 #

1. 创建一个具备Artifact Registry读取权限（roles/artifactregistry.reader）的服务账号，下载其密钥文件（比如命名为service-account-key.json）
2. 在Dockerfile中添加以下内容，把密钥文件复制到容器并指定环境变量：

COPY service-account-key.json /app/service-account-key.json
ENV GOOGLE_APPLICATION_CREDENTIALS=/app/service-account-key.json

3. 运行gcloud beta code dev时确保密钥文件在构建上下文内，同时记得把service-account-key.json加入.gitignore避免泄露。

方法3：提前下载私有包到本地，构建时直接安装 #

1. 本地执行命令把所有依赖包（包括私有包）下载到指定目录：

pip download -r requirements.txt -d ./local-packages

2. 修改Dockerfile，让pip从本地目录安装，无需远程认证：

COPY local-packages /app/local-packages
COPY requirements.txt /app/
RUN pip install --no-index --find-links=/app/local-packages -r requirements.txt

这种方法不需要在容器内处理认证，适合对凭据安全要求较高的场景。

内容的提问来源于stack exchange，提问作者ZachPerkitny