使用gcloud/Cloud SQL代理连接GCP Cloud Postgres报503错误如何解决

该报错出现在调用Cloud SQL控制面API阶段，和数据库实例本身的数据面运行状态无关：Cloud SQL代理启动、gcloud sql系列命令执行时，需要先调用sqladmin接口完成权限校验、实例元数据拉取，这一步触发策略检查失败就会报503 backendError；而业务直连数据库走实例的数据面链路，不经过控制面策略校验，所以可以正常访问。

按优先级从高到低操作，每步完成后执行gcloud sql instances list验证是否恢复：

• 修复gcloud本地环境异常
  1. 执行gcloud components update升级gcloud到最新版本，排除旧版本已知的API兼容bug
  2. 清理本地损坏的缓存：Linux/macOS执行rm -rf ~/.config/gcloud/cache/*，Windows执行del /q /s %APPDATA%\gcloud\cache\*
  3. 重新刷新身份凭据：个人账号执行gcloud auth login重登，服务账号执行gcloud auth activate-service-account --key-file=<你的服务账号密钥路径>重新激活
• 排查本地网络链路问题
  1. 临时关闭本地全局代理、VPN、HTTPS流量审计/解密类工具，这类工具经常篡改API请求导致策略校验异常
  2. 切换网络环境（比如连接手机热点）重试，排除本地运营商DNS污染、路由异常导致请求被转发到故障API节点的问题
  3. 如果是企业内网环境，确认防火墙放行了到*.googleapis.com的443端口出站，且未对该域名的HTTPS流量做中间人解密
• 排查权限策略侧异常
  1. 确认当前使用的账号在项目下已被授予roles/cloudsql.client角色，若近期组织管理员调整过VPC Service Controls、上下文感知访问规则，会出现短时间的策略校验失败，等待10-15分钟策略同步完成后重试即可
  2. 换用同项目下其他持有Cloud SQL访问权限的账号测试，若换号后恢复，重新给原账号绑定对应角色，触发权限同步即可
• Cloud SQL代理适配
  当gcloud sql instances list执行正常后，杀掉本地所有残留的cloud-sql-proxy进程，下载最新版本代理重新启动，启动时可加--debug参数打印详细日志定位链路问题，公网访问场景下可指定IP类型参数强制走公网链路：

  ./cloud-sql-proxy --debug --ip-address-types=PUBLIC <你的实例连接名>
  

注意：该问题不影响数据库实例本身运行，不要执行实例重启、配置变更类操作，避免造成业务连接闪断。

内容的提问来源于stack exchange，提问作者tallal