运行docker-compose run构建数据库时gcloud凭证无效如何解决

你在宿主机上执行的所有gcloud auth login、gcloud init、gcloud auth application-default login操作，生成的凭证都存在宿主机本地用户目录下。docker-compose run启动的容器是文件系统隔离的环境，默认不会挂载宿主机的gcloud凭证目录，容器内的gcloud工具读不到有效认证信息，不管你在宿主机登多少次都没用。

方案1：挂载宿主机gcloud凭证（本地开发首选，操作最简单） #

直接修改docker-compose.yml里对应数据库服务的配置，把宿主机的gcloud配置目录挂载到容器内gcloud默认读凭证的路径即可：

• Linux/macOS 系统在服务的volumes段加这一行：

volumes:
  - ~/.config/gcloud:/root/.config/gcloud

• Windows 系统对应调整宿主机路径：

volumes:
  - C:\Users\你的实际用户名\.config\gcloud:/root/.config\gcloud

如果容器里跑服务的用户不是root，把容器内的挂载路径改成对应用户家目录下的.config/gcloud，比如普通用户路径一般是/home/服务运行用户名/.config/gcloud
改完配置先在宿主机跑一遍gcloud auth list确认当前激活账号状态正常，再重新执行docker-compose run就行。

方案2：挂载服务账号密钥（适合CI/CD、服务器部署场景） #

不想用个人账号凭证的话，用GCP服务账号做认证更稳定：

1. 在GCP控制台创建有对应数据库操作权限的服务账号，下载JSON格式的密钥文件，放到docker-compose.yml同级目录，命名为gcp-key.json
2. 在对应服务的配置里加密钥挂载和环境变量：

volumes:
  - ./gcp-key.json:/gcp-key.json:ro
environment:
  - GOOGLE_APPLICATION_CREDENTIALS=/gcp-key.json

配完直接启动容器就行，不需要额外跑登录命令，gcloud会自动读这个环境变量指向的密钥完成认证。

方案3：构建阶段注入凭证（仅临时测试用，不推荐） #

如果是自己写Dockerfile构建的自定义镜像，可以在构建阶段把密钥复制进镜像，注意别把密钥提交到公开代码仓库，不然会泄露：

COPY gcp-key.json /gcp-key.json
ENV GOOGLE_APPLICATION_CREDENTIALS=/gcp-key.json

• 别在容器内部执行gcloud auth login，容器默认没有浏览器环境，登录回调走不通，就算折腾登录成功，容器重启后凭证会直接丢失，白浪费时间
• 挂载凭证后还是报错的，先确认当前gcloud激活的账号有目标数据库的操作权限，权限不足也会返回凭证无效类报错
• 如果你习惯加sudo执行docker命令，注意sudo环境读取的是root用户家目录下的gcloud配置，不是你当前登录普通用户的配置，要么把当前用户加入docker用户组免sudo执行docker命令，要么切root用户执行一次gcloud登录生成对应凭证。

内容的提问来源于stack exchange，提问作者explorer