本地Spring Boot通过IAM认证+端口转发连接GCP K8s Postgres数据库

可行性说明 #

通过端口转发结合IAM认证访问Cloud SQL Postgres完全可行，你之前配置失败的核心原因是：spring.cloud.gcp.sql.instance-connection-name配置存在时，Spring Cloud GCP SQL starter会自动忽略你指定的datasource.url，强制走Cloud SQL原生套接字连接逻辑，和本地端口转发的链路冲突。

配置调整方案 #

第一步：修改Spring Boot配置 #

完全移除spring.cloud.gcp.sql整段配置，调整数据源配置如下：

spring:
  datasource:
    # 注意末尾补全数据库名
    url: jdbc:postgresql://localhost:5432/my_database
    username: myiam@my-project-12345.iam
    # 密码填写GCP IAM访问令牌，有效期15分钟
    password: ${gcp.access-token:}

第二步：本地获取IAM访问令牌 #

本地提前安装并登录gcloud CLI，确保登录的账号拥有roles/cloudsql.instanceUser权限，执行以下命令即可生成当前有效的访问令牌：
gcloud auth print-access-token
将输出的令牌填入上述配置的password字段即可启动应用。

可选：自动获取令牌避免手动复制 #

如果需要开发时自动拉取令牌，可添加自定义数据源配置类，实现启动时自动从本地GCP凭证获取令牌作为密码：

@Configuration
public class GcpIamDataSourceConfig {
    @Bean
    public DataSource dataSource() throws IOException {
        // 从本地gcloud默认凭证获取访问令牌
        Credentials credentials = GoogleCredentials.getApplicationDefault().createScoped(List.of("https://www.googleapis.com/auth/sqlservice.admin"));
        credentials.refreshIfExpired();
        String accessToken = credentials.getAccessToken().getTokenValue();

        HikariConfig config = new HikariConfig();
        config.setJdbcUrl("jdbc:postgresql://localhost:5432/my_database");
        config.setUsername("myiam@my-project-12345.iam");
        config.setPassword(accessToken);
        return new HikariDataSource(config);
    }
}

使用该配置时需要引入GCP凭证SDK依赖，同时需要在本地执行过gcloud auth application-default login生成默认凭证文件。

注意事项 #

• 你转发的cloudsql-proxy服务本身已经在集群侧完成了IAM认证的支持配置，无需额外修改proxy侧逻辑
• IAM访问令牌最长有效期为1小时，开发过程中如果连接断开，重新生成令牌填入即可
• 全程不需要保留instance-connection-name配置，避免触发Spring Cloud GCP的自动连接逻辑

内容的提问来源于stack exchange，提问作者Englishbob