Cloud Run连接CloudSQL：IAM认证下免环境变量获取用户名

你的现有代码 #

String dbUser = Optional.ofNullable(System.getenv("DB_USER")).orElseGet(() -> {
    EXIT.accept("You must Provide a DB Username");
    return null;
});

核心问题 #

在Cloud Run实例中使用IAM认证连接数据库时，能不能不用环境变量获取数据库用户名？就像IAM认证下密码可以留空那样？

答案：可以动态获取，无需环境变量 #

在GCP的IAM数据库认证机制里，数据库登录用户名就是Cloud Run实例使用的服务账号邮箱，完全不需要通过环境变量配置，直接在代码中从GCP元数据服务器动态获取即可，和密码留空的逻辑匹配（IAM认证的密码是临时生成的令牌，无需硬编码）。

Java实现代码 #

import java.io.BufferedReader;
import java.io.InputStreamReader;
import java.net.URL;

public class IamDbUserHelper {
    public static String getIamDbUsername() throws Exception {
        // 访问GCP元数据服务器获取当前服务账号邮箱
        URL metadataUrl = new URL("http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/default/email");
        var connection = metadataUrl.openConnection();
        // 必须添加Metadata-Flavor请求头才能访问元数据服务器
        connection.addRequestProperty("Metadata-Flavor", "Google");
        
        try (BufferedReader reader = new BufferedReader(new InputStreamReader(connection.getInputStream()))) {
            return reader.readLine();
        }
    }
}

注意事项 #

• 确保Cloud Run使用的服务账号拥有对应的权限：需要具备cloudsql.client角色，同时在数据库侧已将该服务账号邮箱配置为可登录的用户。
• 元数据服务器仅能在GCP内部环境访问，本地测试时可以手动指定服务账号邮箱，或者使用GCP本地模拟工具。

内容的提问来源于stack exchange，提问作者Jose Gleeson