如何通过SQLAlchemy利用GCP服务账号免密连接Cloud SQL Auth Proxy？

完全可以实现免密连接，核心是你部署的Cloud SQL Auth Sidecar已经通过K8s服务账号完成了GCP层面的身份校验，只需配合PostgreSQL的两种认证方案之一即可：

方案1：基于PostgreSQL本地用户（简单直接） #

因为Auth Proxy会过滤所有连接，只允许通过GCP身份验证的请求（你的K8s服务账号已满足要求），所以可以给PostgreSQL本地用户配置无密码访问：

1. 在Cloud SQL中创建一个本地用户（比如app-db-user）
2. 执行SQL修改该用户密码为null，并授予数据库连接权限：

   ALTER USER "app-db-user" WITH PASSWORD NULL;
   GRANT CONNECT ON DATABASE "your-db-name" TO "app-db-user";
   

3. SQLAlchemy连接串直接指向sidecar的本地端口（默认5432），无需密码：

   from sqlalchemy import create_engine
   # localhost对应sidecar容器的端口，确保K8s部署中已暴露该端口
   engine = create_engine("postgresql://app-db-user@localhost:5432/your-db-name")
   

方案2：基于IAM数据库身份验证（更安全，完全复用GCP服务账号） #

这种方式无需创建PostgreSQL本地用户，直接用你的K8s服务账号作为数据库身份凭证：

1. 在Cloud SQL控制台开启「IAM数据库身份验证」
2. 给你的K8s服务账号授予Cloud SQL Client角色（Terraform可通过google_project_iam_binding配置）
3. 将服务账号添加为Cloud SQL的IAM用户：

   gcloud sql users create your-k8s-sa@your-gcp-project.iam.gserviceaccount.com \
     --instance=your-sql-instance-id \
     --type=iam_service_account
   

4. 给该IAM用户授予数据库访问权限：

   GRANT CONNECT ON DATABASE "your-db-name" TO "your-k8s-sa@your-gcp-project.iam.gserviceaccount.com";
   -- 按需授予数据操作权限，比如：
   GRANT SELECT, INSERT, UPDATE ON ALL TABLES IN SCHEMA public TO "your-k8s-sa@your-gcp-project.iam.gserviceaccount.com";
   

5. SQLAlchemy连接串使用服务账号邮箱作为用户名，无需密码，同时指定sslmode=disable（Proxy已处理加密）：

   from sqlalchemy import create_engine
   engine = create_engine(
       "postgresql://your-k8s-sa@your-gcp-project.iam.gserviceaccount.com@localhost:5432/your-db-name?sslmode=disable"
   )
   

必查配置项 #

• 确认K8s服务账号已绑定roles/cloudsql.client角色，这是Auth Proxy访问Cloud SQL的核心权限
• 确保K8s部署中，Auth Proxy的端口（比如5432）已与主容器共享（无需NodePort，用容器间本地通信即可）
• 如果用Terraform管理，需在kubernetes_deployment的sidecar容器配置中指定正确的Cloud SQL实例连接串（比如--instances=your-project:region:instance=tcp:5432）

内容的提问来源于stack exchange，提问作者randomrabbit