如何为GCE Docker容器使用的服务账号添加Google Calendar API权限？

疑问解答 #

本地运行时你直接加载了服务账号的密钥JSON文件，这类凭据不受GCE实例级访问作用域的限制，只要服务账号本身被授予了Calendar相关权限、且目标日历给这个服务账号开了共享权限，就能正常调用。
而GCE实例里默认调用GoogleCredentials.getApplicationDefault()获取的是GCE元数据服务提供的实例默认服务账号凭据，这类凭据会被GCE的实例访问作用域额外限制：GCE的实例访问作用域是独立于IAM权限的额外限制层，优先级更高，只要作用域不包含对应API，哪怕服务账号有IAM权限也会被拦截，这就是你GCE内运行报错的核心原因。

最优解决方案推荐 #

1. 预配置实例模板（最适合批量新建COS实例的场景）

直接在创建实例模板时就配置好服务账号和所需的所有作用域，后续所有实例都从模板创建，不需要后续手动修改：

• 执行gcloud命令创建模板：

gcloud compute instance-templates create cos-springboot-template \
  --machine-type 你需要的机型 \
  --service-account 你的服务账号邮箱 \
  --scopes https://www.googleapis.com/auth/calendar,其他你需要的作用域 \
  --image-family cos-stable \
  --image-project cos-cloud

• 后续新建实例时直接选择该模板即可，实例默认就带Calendar访问作用域，无需额外操作。

2. 挂载服务账号密钥到Docker容器（不需要修改实例配置，灵活度高）

如果你不想调整实例相关配置，可以直接把服务账号密钥挂载到容器内使用，完全绕过实例作用域限制：

• 先把服务账号密钥JSON上传到COS实例的指定路径，比如/var/secrets/sa.json
• 启动Docker容器时添加挂载和环境变量参数：

docker run -d \
  -v /var/secrets/sa.json:/app/secrets/sa.json \
  -e GOOGLE_APPLICATION_CREDENTIALS=/app/secrets/sa.json \
  你的Spring Boot镜像名

• 你的原有Java代码不需要做任何修改，getApplicationDefault()会自动读取环境变量指定的密钥文件。

3. 配置工作负载身份（安全性最高，适合规模化部署）

如果你的部署规模较大，不想管理服务账号密钥，可以配置Google Cloud的工作负载身份，直接将服务账号权限绑定到容器进程，不需要挂载密钥也不需要调整实例作用域，完全避免密钥泄露风险。

额外校验项 #

如果配置完成后仍报错，请检查两个权限配置：

• 服务账号本身是否被授予了Calendar API的调用权限（项目级IAM权限）
• test@gmail.com的日历共享设置中，是否已添加该服务账号为编辑者权限

内容的提问来源于stack exchange，提问作者Antonio