部署至云集群后无法获取Google Service Account访问令牌问题排查

核心定位 #

你遇到的java.net.SocketException: Connection reset错误，本质是云集群的网络出口链路被阻断——本地能正常访问https://oauth2.googleapis.com/token，但集群环境无法和Google OAuth服务建立有效连接。

必查配置项 #

• 防火墙/安全组规则：
  确认云集群的出口防火墙、安全组是否允许访问oauth2.googleapis.com（443端口）。企业云环境通常默认限制公网访问，需手动添加允许规则，目标可直接填该域名，或其对应的IP段（通过DNS解析获取）。
• 出口网关配置：
  如果集群用了统一出口网关（比如企业代理、NAT网关），要检查网关是否允许转发请求到Google OAuth服务地址。部分网关会拦截白名单外的HTTPS请求，需将oauth2.googleapis.com加入网关白名单。
• 额外验证项：
  虽然本地正常，仍要确认集群中使用的Service Account密钥是否正确，以及集群所在VPC是否和Google Cloud有VPC peering（跨云部署场景）。但从报错来看，网络层面问题优先级最高。

排查步骤 #

1. 在云集群节点上执行curl https://oauth2.googleapis.com/token，验证基础网络连通性。如果curl也失败，可直接锁定为网络规则问题。
2. 查看云集群的网络日志，确认请求是否被防火墙/网关拦截，找到对应的拦截规则ID后针对性调整。
3. 若集群使用代理，检查应用是否正确配置了代理参数（如http.proxyHost、https.proxyPort），避免应用走默认网络栈被拦截。

内容的提问来源于stack exchange，提问作者Andulos