使用Workload Identity从AWS Fargate连接GCP BigQuery报错该如何配置？

该报错是因为你使用的google-auth-library-oauth2-http:0.26.0版本原生不支持AWS Fargate环境的凭证获取逻辑：

• EC2环境下，IAM角色凭证可以通过固定元数据地址169.254.169.254获取，老版本Auth库默认请求该地址，所以EC2场景运行正常
• Fargate环境下，没有该元数据地址的路由，角色凭证需要通过Fargate内置的AWS_CONTAINER_CREDENTIALS_RELATIVE_URI环境变量对应的端点获取，老版本库没有适配该逻辑，直接请求169.254.169.254就会抛出连接失败异常

• 第一步：升级依赖版本（推荐方案）
  你当前使用的com.google.cloud:libraries-bom:20.9.0版本过旧，26.0.0及以上版本的BOM配套的Auth库已经原生支持Fargate环境自动识别，无需额外代码修改，直接更新依赖即可：

  implementation(platform("com.google.cloud:libraries-bom:26.27.0")) // 可替换为当前最新稳定版
  implementation("com.google.cloud:google-cloud-bigquery")
  

• 第二步：如果无法升级依赖，手动构造适配Fargate的凭证
  初始化BigQuery客户端时，手动指定AwsCredentials读取Fargate环境的凭证端点：

  import com.google.api.client.http.javanet.NetHttpTransport;
  import com.google.auth.oauth2.AwsCredentials;
  import com.google.cloud.bigquery.BigQuery;
  import com.google.cloud.bigquery.BigQueryOptions;
  import java.io.IOException;
  
  public class BigQueryClientInit {
      public BigQuery getFargateBigQueryClient() throws IOException {
          AwsCredentials awsCredentials = AwsCredentials.newBuilder()
              .setHttpTransport(new NetHttpTransport())
              .build();
          return BigQueryOptions.newBuilder()
              .setCredentials(awsCredentials)
              .build()
              .getService();
      }
  }
  

• 第三步：Fargate任务配置校验

  • 确保任务定义中已经配置任务角色（Task Role），而非仅配置任务执行角色（Task Execution Role），任务角色才是容器内进程可调用的IAM身份
  • 确保Fargate任务网络可访问公网，或已配置VPC端点连通GCP STS服务，Workload Identity需要和GCP STS服务交换凭证
  • 确保GCP侧的Workload Identity池、AWS身份提供商、IAM绑定配置和EC2场景完全一致，已给Fargate任务角色的ARN授予模拟GCP服务账号、访问BigQuery的对应权限

• 第四步：故障排查
  若修改后仍报错，可在Fargate容器内打印AWS_CONTAINER_CREDENTIALS_RELATIVE_URI环境变量，若该变量不存在说明任务角色配置错误，需重新调整Fargate任务定义。

内容的提问来源于stack exchange，提问作者Masato Hori