如何通过Kubernetes连接Cloud SQL？权限问题求助

一、解决Cloud SQL Proxy权限报错 #

你的报错核心是GKE节点的默认Compute Engine服务账号缺少Cloud SQL API访问权限，或工作负载身份配置存在疏漏，按以下步骤修复：

1. 检查GKE节点池API访问范围 #

• 进入GCP控制台的GKE集群节点池详情页，查看「身份与API访问」下的「访问范围」，确认包含Cloud SQL Admin API（权限级别至少为「只读」）
• 若未包含，执行命令更新节点池（会重启节点，建议低峰操作）：

  gcloud container node-pools update [NODE_POOL_NAME] --cluster [CLUSTER_NAME] --region [REGION] --scopes sql-admin
  

2. 验证工作负载身份绑定 #

• 确认Deployment的spec.serviceAccountName字段已设置为你创建的GKE服务账号名称
• 给关联的GCP服务账号配置最小必要权限（无需Owner，遵循最小权限原则）：
  • 添加Cloud SQL Client角色（核心连接权限）
  • 若需修改实例配置，可额外添加Cloud SQL Editor角色
• 检查绑定命令是否正确执行：

  gcloud iam service-accounts add-iam-policy-binding [GCP_SA_EMAIL] --member "serviceAccount:[PROJECT_ID].svc.id.goog[K8S_NAMESPACE/GKE_SA_NAME]" --role "roles/iam.workloadIdentityUser"
  

3. 修正Cloud SQL Proxy Sidecar配置 #

确保Proxy容器参数正确，使用工作负载身份时无需指定密钥文件：

containers:
- name: cloud-sql-proxy
  image: gcr.io/cloudsql-docker/gce-proxy:1.33.1
  command:
    - "/cloud_sql_proxy"
    # 替换为你的Cloud SQL实例连接名，端口对应数据库类型（MySQL用3306）
    - "-instances=[PROJECT_ID]:[REGION]:[INSTANCE_NAME]=tcp:5432"

二、应用代码与Proxy通信配置 #

Cloud SQL Proxy会在Pod内监听本地端口，应用只需连接该本地端口即可，无需直接访问Cloud SQL实例IP：

PostgreSQL示例（Java） #

String url = "jdbc:postgresql://localhost:5432/[DB_NAME]";
String user = "[DB_USER]"; // Cloud SQL中创建的数据库账号
String password = "[DB_PASSWORD]"; // 数据库账号密码
Connection conn = DriverManager.getConnection(url, user, password);

MySQL示例（Python） #

import mysql.connector

cnx = mysql.connector.connect(
    host='localhost',
    port=3306,
    user='[DB_USER]',
    password='[DB_PASSWORD]',
    database='[DB_NAME]'
)

关键注意：连接地址为localhost，端口需与Proxy配置一致，数据库账号是Cloud SQL内创建的账号，而非GCP服务账号。

三、额外排查步骤 #

• 查看Proxy容器日志，确认启动状态：

  kubectl logs [POD_NAME] -c cloud-sql-proxy
  

• 检查Pod服务账号挂载情况：

  kubectl exec [POD_NAME] -- env | grep GOOGLE_APPLICATION_CREDENTIALS
  

内容的提问来源于stack exchange，提问作者Rob