不设置GOOGLE_APPLICATION_CREDENTIALS认证多GKE集群的方法

你当前配置返回未授权的核心原因有两个：

• 旧版auth-provider: gcp认证逻辑已在GKE 1.26+版本弃用，不再被kubectl原生支持
• 配置中调用gcloud config config-helper时未显式指定凭证路径，gcloud会默认读取GOOGLE_APPLICATION_CREDENTIALS全局变量或本地gcloud全局激活账号配置，找不到凭证时直接返回授权失败

以下是完全不需要配置GOOGLE_APPLICATION_CREDENTIALS、KUBECONFIG全局环境变量，支持动态生成多集群独立kubeconfig的落地方案：

方案1：显式传参的exec认证（通用场景，兼容所有部署环境） #

弃用旧版auth-provider配置，改用kubectl原生支持的exec认证模式，将每个集群对应的服务账号密钥路径、集群信息直接写入对应kubeconfig的exec参数中，全程不依赖任何全局配置，多集群配置完全隔离互不影响。
可用的kubeconfig模板如下：

apiVersion: v1
kind: Config
clusters:
- cluster:
    certificate-authority-data: {{.CertData}}
    server: {{.MasterURL}}
  name: {{.ClusterName}}
contexts:
- context:
    cluster: {{.ClusterName}}
    user: {{.ClusterName}}
  name: {{.ClusterName}}
current-context: {{.ClusterName}}
preferences: {}
users:
- name: {{.ClusterName}}
  user:
    exec:
      apiVersion: client.authentication.k8s.io/v1
      command: /usr/local/bin/gcloud/google-cloud-sdk/bin/gcloud
      args:
        - container
        - clusters
        - get-credentials
        - {{.ClusterName}}
        - --region={{.ClusterRegion}}
        - --project={{.GCPProjectID}}
        - --cred-file={{.ClusterSaKeyPath}}
        - --print-access-token
        - --format=json
      env: []
      provideClusterInfo: false

配置说明：

• {{.ClusterSaKeyPath}}替换为当前集群对应的GCP服务账号JSON密钥在容器内的绝对路径，每个集群可绑定独立的服务账号，权限完全隔离
• env字段显式置空，不继承宿主机/容器全局环境变量中的凭证配置，避免多集群配置冲突
• 不需要提前执行gcloud auth login或gcloud config set project，所有配置通过启动参数显式传入

如果不想依赖gcloud二进制，也可以替换exec命令为自定义轻量脚本，直接调用GCP OAuth接口生成短期访问token，整体镜像体积可以缩小到10MB以内。

方案2：Workload Identity无密钥认证（仅适用于部署在GCP环境的工作负载） #

如果你的应用本身部署在GCP生态内（GKE、Cloud Run、GCE等），可以直接启用Workload Identity，给工作负载绑定的GCP服务账号授予目标GKE集群的访问权限，不需要在容器内存储任何服务账号密钥，也不需要配置任何凭证相关的环境变量。
对应kubeconfig的用户段配置如下：

users:
- name: {{.ClusterName}}
  user:
    exec:
      apiVersion: client.authentication.k8s.io/v1
      command: gke-gcloud-auth-plugin
      args:
        - --project={{.GCPProjectID}}
        - --location={{.ClusterRegion}}
        - --cluster={{.ClusterName}}
      provideClusterInfo: false

这种模式下认证插件会自动从GCP元数据服务拉取当前工作负载的身份token，全程不需要手动管理密钥，是GCP官方推荐的生产级认证方式。

避坑提示 #

• 不要使用旧版gcp auth-provider配置，1.26以上版本GKE集群已经完全移除对该认证方式的支持
• 所有认证相关参数必须通过exec启动参数显式传入，不要依赖gcloud的全局配置，否则多集群切换时会出现凭证串用、授权失败的问题
• 生成的kubeconfig可以存到任意自定义路径，调用kubectl时通过kubectl --kubeconfig=<自定义路径>指定即可，不需要设置全局KUBECONFIG变量

内容的提问来源于stack exchange，提问作者Rahul Goud