Go版GCP SDK列集群失败 gcloud CLI执行成功问题排查

你碰到的rapt_required认证错误，核心原因是gcloud CLI使用的凭证、和Google Cloud SDK默认读取的应用默认凭证是两套独立的认证体系，二者并不互通。

两类认证方式的核心区别 #

• gcloud CLI 自有凭证
  执行gcloud auth login后生成的凭证，存储在gcloud专属的配置目录中，仅供给gcloud CLI本身及其内置命令使用，不会自动共享给你自行编写、基于官方SDK实现的程序。你之前直接运行gcloud container clusters list能成功返回结果，就是因为这套凭证已经完成了你的云组织要求的二次身份校验，持有合法的访问令牌。
• 应用默认凭证（ADC）
  这是所有Google Cloud官方多语言SDK（包括你使用的Go SDK）默认遵循的凭证查找规则，本地开发环境下SDK会按固定顺序查找可用凭证：
  • 读取GOOGLE_APPLICATION_CREDENTIALS环境变量指向的服务账号密钥文件
  • 读取本地固定路径存储的ADC凭证文件（通常位置为~/.config/gcloud/application_default_credentials.json）
  • 调用云环境内置的元数据服务，获取当前运行资源绑定的服务账号身份
    你最开始运行Go代码时报错，就是因为本地没有生成有效的ADC凭证文件，SDK凭证查找流程异常，触发了组织的重认证校验要求（rapt_required即要求完成二次身份验证获取重认证令牌），无法拿到合法的OAuth2令牌调用API。

gcloud auth application-default login的作用 #

这个命令是专门为本地开发场景设计的ADC生成命令：执行后会拉起浏览器完成完整的登录校验流程，包括云组织要求的二次验证步骤，校验通过后会把包含合法访问令牌、重认证令牌的凭证写入上述固定路径的ADC凭证文件中。Go SDK启动时会自动读取该路径下的有效凭证，不需要额外做任何配置就能正常调用GKE相关API，因此问题直接解决。

常见踩坑提示：不要把这个命令和gcloud auth login混淆，后者只会更新gcloud CLI自身使用的凭证，不会生成SDK需要的ADC凭证文件，这是本地开发时最常碰到的认证类问题诱因。

内容的提问来源于stack exchange，提问作者pkaramol