Azure DevOps Pipeline获取GCP Auth Token遇认证错误求助

问题分析 #

你遇到的两个问题本质都是Azure DevOps Pipeline的无头环境无法支持交互式认证：

1. 直接运行gcloud auth application-default print-access-token时，因为没有预设GCP凭证，触发自动凭证检测失败；
2. 用gcloud auth application-default login会进入交互式流程，需要手动打开链接输入token，但Pipeline的CLI无法响应这种交互，导致卡住。

正确解决方案：使用GCP服务账号密钥进行无交互认证 #

步骤如下：

• 1. 在GCP控制台创建服务账号密钥
  生成JSON格式的服务账号密钥文件，给该账号分配匹配你操作需求的权限（比如部署Cloud Functions所需的roles/cloudfunctions.developer权限）。
• 2. 将密钥文件存入Azure DevOps安全库
  在Azure DevOps项目的「库」->「安全文件」中上传这个JSON密钥文件，配置为可被目标Pipeline访问。
• 3. 在YAML Pipeline中配置认证流程
  在YAML脚本中添加以下步骤，实现无交互认证：

  steps:
    # 下载GCP服务账号密钥文件
    - task: DownloadSecureFile@1
      name: gcpKey
      inputs:
        secureFile: '你的密钥文件名.json'
  
    # 设置环境变量指定凭证路径并获取token
    - script: |
        export GOOGLE_APPLICATION_CREDENTIALS=$(gcpKey.secureFilePath)
        gcloud auth application-default print-access-token
      displayName: '获取GCP应用默认凭证Token'
  

关键注意事项 #

• 禁止在Pipeline脚本中硬编码密钥内容，必须通过Azure DevOps的安全文件/变量组管理敏感信息；
• GOOGLE_APPLICATION_CREDENTIALS是GCP SDK自动识别凭证的标准环境变量，设置后所有依赖GCP凭证的命令都会自动使用该密钥；
• 提前验证服务账号的IAM权限，确保能覆盖你需要执行的所有GCP操作。

内容的提问来源于stack exchange，提问作者Ali