使用Docker Compose+短期凭证运行GCloud脚本遇密钥格式错误

问题重现 #

• 操作目标：通过Docker Compose挂载本地短期GCP凭证，在容器内运行包含gcloud命令的bash脚本
• 配置流程：
  1. 本地通过Makefile执行gcloud auth application-default login --impersonate-service-account获取应用默认凭证
  2. Docker Compose将本地${HOME}/.config/gcloud/目录挂载至容器/tmp路径
  3. 容器内脚本设置GOOGLE_APPLICATION_CREDENTIALS=/tmp/application_default_credentials.json，执行gcloud auth activate-service-account时触发错误：

     ERROR: (gcloud.auth.activate-service-account) The .json key file is not in a valid format -- via impersonate-service-account

• 额外情况：用docker run直接传入凭证文件中的source_credentials内容可正常运行，但Docker Compose环境下无效；5年前的旧方案因gcloud auth命令更新已无法解决问题

问题原因 #

application_default_credentials.json是带 impersonation 配置的用户凭证，并非标准的服务账号JSON密钥文件。而gcloud auth activate-service-account仅支持加载长期服务账号密钥，直接挂载整个.config/gcloud目录到非标准路径时，容器内的gcloud无法正确识别impersonation上下文，反而误将用户凭证当作服务账号密钥解析，导致格式错误。

解决方案 #

方案1：复用本地gcloud配置上下文 #

无需手动激活服务账号，直接让容器继承本地的impersonation配置：

1. 修改Docker Compose的挂载路径，将本地gcloud配置目录挂载到容器的标准配置路径：

   services:
     your-service:
       volumes:
         - ${HOME}/.config/gcloud:/root/.config/gcloud:ro
   

2. 容器内脚本不需要设置GOOGLE_APPLICATION_CREDENTIALS，直接运行gcloud命令即可——容器内的gcloud会自动读取挂载的配置，包括已设置的impersonation规则。

方案2：预生成短期凭证传入容器 #

如果需要独立的凭证文件，可本地生成短期服务账号凭证后传入：

1. 本地生成短期访问令牌（默认有效期1小时）：

   gcloud auth print-access-token --impersonate-service-account=YOUR_SERVICE_ACCOUNT@PROJECT_ID.iam.gserviceaccount.com > /tmp/short-lived-token
   

2. 在Docker Compose中通过环境变量传入令牌：

   services:
     your-service:
       environment:
         - GOOGLE_OAUTH_ACCESS_TOKEN=$(cat /tmp/short-lived-token)
   

3. 容器内直接执行gcloud命令，无需调用activate-service-account——gcloud会自动读取GOOGLE_OAUTH_ACCESS_TOKEN环境变量完成认证。

方案3：容器内动态配置impersonation #

如果需要在容器内灵活配置：

1. Docker Compose仅挂载用户的应用默认凭证到容器标准路径：

   services:
     your-service:
       volumes:
         - ${HOME}/.config/gcloud/application_default_credentials.json:/root/.config/gcloud/application_default_credentials.json:ro
   

2. 容器内脚本先设置impersonation配置，再执行业务命令：

   # 配置要 impersonate 的服务账号
   gcloud config set auth/impersonate_service_account YOUR_SERVICE_ACCOUNT@PROJECT_ID.iam.gserviceaccount.com
   # 执行所需gcloud操作，例如：
   gcloud storage ls gs://your-bucket
   

关键注意事项 #

• gcloud auth activate-service-account仅适用于长期服务账号JSON密钥文件，短期凭证或带impersonation的用户凭证不能用该命令激活
• 挂载gcloud配置目录时，需对应容器内运行用户的配置路径（root用户对应/root/.config/gcloud），否则配置无法被正确读取
• 短期凭证有有效期限制，需根据业务需求定期重新生成

内容的提问来源于stack exchange，提问作者willwrighteng