如何从Azure Key Vault获取私钥以编程方式提供GCP服务账号凭证

完全支持通过代码动态传入GCP服务账号凭证，无需依赖本地JSON文件或GOOGLE_APPLICATION_CREDENTIALS环境变量，核心实现思路是先从Azure Key Vault拉取服务账号的核心参数，再手动构造GoogleCredentials实例即可。

前置准备 #

你需要提前从Azure Key Vault中拉取GCP服务账号的2个核心必填字段（对应原有JSON凭证内的字段）：

• 服务账号邮箱：client_email
• 服务账号私钥：private_key（需完整保留原始换行格式，不要丢弃\n转义符）
  同时提前声明你需要访问的GCP服务对应的OAuth 2.0 授权Scope，例如全平台访问权限的scope为https://www.googleapis.com/auth/cloud-platform。

Java 代码示例（对应你提到的GoogleCredentials类） #

首先确保引入GCP Auth依赖（以Maven为例）：

<dependency>
    <groupId>com.google.auth</groupId>
    <artifactId>google-auth-library-oauth2-http</artifactId>
    <version>最新稳定版本号</version>
</dependency>

动态构造凭证代码：

import com.google.auth.oauth2.GoogleCredentials;
import com.google.auth.oauth2.ServiceAccountCredentials;
import java.util.Collections;

// 1. 替换为你自己的Azure Key Vault读取逻辑，获取对应参数
String serviceAccountEmail = "your-service-account@your-project.iam.gserviceaccount.com";
String privateKey = "-----BEGIN PRIVATE KEY-----\nxxx......xxx\n-----END PRIVATE KEY-----\n";
// 2. 声明GCP服务授权Scope
String SCOPE = "https://www.googleapis.com/auth/cloud-platform";

// 3. 手动构造ServiceAccountCredentials
GoogleCredentials credentials = ServiceAccountCredentials.newBuilder()
    .setClientEmail(serviceAccountEmail)
    .setPrivateKey(privateKey)
    .setScopes(Collections.singletonList(SCOPE))
    .build();

// 4. 直接将credentials传入GCP服务客户端即可，例如初始化Storage客户端
// Storage storage = StorageOptions.newBuilder().setCredentials(credentials).build().getService();

Python 代码示例（供参考） #

from google.oauth2 import service_account

# 1. 替换为你自己的Azure Key Vault读取逻辑，获取对应参数
service_account_email = "your-service-account@your-project.iam.gserviceaccount.com"
private_key = "-----BEGIN PRIVATE KEY-----\nxxx......xxx\n-----END PRIVATE KEY-----\n"
SCOPES = ["https://www.googleapis.com/auth/cloud-platform"]

# 2. 动态构造凭证
credentials = service_account.Credentials.from_service_account_info(
    {
        "client_email": service_account_email,
        "private_key": private_key
    },
    scopes=SCOPES
)

# 3. 传入GCP服务客户端
# from google.cloud import storage
# storage_client = storage.Client(credentials=credentials)

注意事项 #

• 私钥从Azure Key Vault取出后需校验格式完整性，若出现私钥解析失败的报错，优先检查是否丢失了私钥首尾的标识行、以及内部的换行符。
• 若你需要在多处使用该凭证，也可以自定义实现CredentialsProvider接口，将动态拉取AKV+构造凭证的逻辑封装进去，替代默认的DefaultCredentialsProvider即可。

内容的提问来源于stack exchange，提问作者Kalaiselvam M