连接Google Cloud Storage报TransportError: oauth2连接被拒绝如何解决

你遇到的报错属于网络层连接失败，和你为服务账号配置的admin权限无关，请求还没到达谷歌的权限校验环节就已经无法建立连接。

• K8s集群无公网出口：如果你的集群是GKE私有集群，未配置Cloud NAT，Pod没有公网访问权限，无法访问公网的oauth2.googleapis.com接口
• 网络策略拦截：集群对应命名空间下配置了NetworkPolicy，禁止了该Neo4j备份Pod的443端口出站访问公网地址
• VPC防火墙规则限制：GCP VPC的出站防火墙规则拦截了集群节点或Pod网段到谷歌API地址段的443端口请求
• 错误代理配置：Pod内的gcloud工具配置了不可用的HTTP/HTTPS代理，导致请求被转发到不存在的代理地址触发连接拒绝
• 身份配置冲突：同时启用了GKE Workload Identity和手动挂载Service Account密钥，两者配置冲突导致gcloud请求路由异常

• 集群出口配置修复：如果允许Pod访问公网，给集群所在子网配置Cloud NAT，提供公网出口；如果不允许公网访问，开启子网的Private Google Access能力，让Pod通过谷歌内网访问谷歌API，无需公网出口
• 网络策略调整：检查对应命名空间下的NetworkPolicy规则，新增允许该备份Pod到谷歌API地址段443端口的出站规则，或临时关闭该命名空间的网络策略验证是否恢复
• 防火墙规则调整：检查GCP VPC出站规则，确保允许集群所属网段访问TCP 443端口的谷歌API地址段
• 代理配置修正：进入Pod执行echo $HTTP_PROXY $HTTPS_PROXY $NO_PROXY检查代理环境变量，如果配置了错误的代理，删除对应环境变量后重试
• 身份配置归一：如果使用手动挂载Service Account密钥的方式，关闭Workload Identity对该Pod的适配；也可以直接改用Workload Identity绑定GCP服务账号，无需手动挂载密钥，降低配置复杂度

提示：问题解决后请及时将GCP服务账号的权限从admin调整为仅GCS存储对象写入的最小权限，避免权限过度泄露。

内容的提问来源于stack exchange，提问作者Murakami