无法通过IAM服务账户登录Cloud SQL MySQL数据库问题

问题情况 #

我能正常用个人账户（已添加为Cloud SQL IAM用户）登录MySQL实例：

cloud_sql_proxy -enable_iam_login -instances=project:us-central1:myinstance=tcp:3306 -verbose
mysql -u "me" --host 127.0.0.1

但切换到服务账户 impersonate 模式时就登不上：

gcloud config set auth/impersonate_service_account mygsa@project.iam.gserviceaccount.com
cloud_sql_proxy -enable_iam_login -instances=project:us-central1:myinstance=tcp:3306 -verbose
mysql -u "mygsa" --host 127.0.0.1

同样的操作在PostgreSQL上完全正常，MySQL却报这个错：

ERROR 1045 (28000): Access denied for user 'mygsa'@'cloudsqlproxy~1.1.1.1' (using password: YES)

查看Cloud SQL日志，显示是认证凭证缺失：

CloudSQL Instance's IAM access denied for user mygsa@project:us.iam.gserviceaccount.com: Error code :UNAUTHENTICATED Error Message :Request is missing required authentication credential. Expected OAuth 2 access token, login cookie or other valid authentication credential.

已经确认mygsa是**IAM（服务账户）**类型的Cloud SQL用户。

解决办法 #

1. 手动传递服务账户访问令牌 #

当用impersonate模式时，Cloud SQL Proxy可能没自动获取到正确的令牌，手动生成并传递试试：

# 生成服务账户访问令牌并保存到文件
gcloud auth print-access-token --impersonate-service-account mygsa@project.iam.gserviceaccount.com > token.txt
# 启动Proxy时指定令牌文件
cloud_sql_proxy -enable_iam_login -instances=project:us-central1:myinstance=tcp:3306 -token=token.txt -verbose

之后再执行mysql -u "mygsa" --host 127.0.0.1登录。

2. 检查服务账户权限与配置 #

• 确认mygsa服务账户拥有cloudsql.instances.connect权限；
• 确保在Cloud SQL控制台里，mygsa是作为IAM服务账户类型添加的数据库用户，不是普通账户。

3. 改用服务账户密钥文件登录 #

如果impersonate模式还是有问题，直接用服务账户密钥文件认证更稳妥：

# 用密钥文件启动Proxy
cloud_sql_proxy -enable_iam_login -instances=project:us-central1:myinstance=tcp:3306 -credential_file=/path/to/your-mygsa-key.json -verbose
# 登录时用完整的服务账户邮箱作为用户名
mysql -u "mygsa@project.iam.gserviceaccount.com" --host 127.0.0.1

4. 更新Cloud SQL Proxy版本 #

旧版本的Proxy对服务账户impersonate的支持可能有bug，更新到最新版本再测试。

内容的提问来源于stack exchange，提问作者red888