无法连接从外部主库复制的Cloud SQL只读副本问题咨询

我之前也碰到过类似的情况，第一代Cloud SQL只读副本因为完全只读的特性，确实不能直接在副本上创建用户，这也是你收到Operation not allowed for a read replica提示的原因。下面给你一步步梳理解决方法：

1. 用户账户必须在外部主库创建并同步 #

Cloud SQL只读副本的所有数据（包括用户账户）都是从外部主库复制过来的，所以你需要：

• 登录你的外部主库，执行创建用户的SQL：

  CREATE USER 'your_connector'@'%' IDENTIFIED BY 'secure_password';
  -- 给用户授予只读权限（根据你的需求调整权限范围）
  GRANT SELECT ON your_target_db.* TO 'your_connector'@'%';
  FLUSH PRIVILEGES;
  

• 确保外部主库的二进制日志（binlog）已经开启，并且复制链路处于正常状态，这样用户账户会自动同步到Cloud SQL副本。你可以在Cloud SQL控制台查看副本的「复制状态」，确认没有延迟或者同步错误。

2. 排查root用户无法连接的问题 #

如果连root用户都无法连接，大概率是这几个原因：

• 密码混淆：创建Cloud SQL副本时，你需要单独设置副本的root密码，这个密码和外部主库的root密码是独立的，别用主库的root密码去连接副本。
• IP未授权：检查你的客户端IP是否在副本的「授权网络」列表里（Cloud SQL控制台 -> 实例 -> 连接 -> 授权网络），只有添加进去的IP才能远程连接副本。
• 连接方式不对：第一代Cloud SQL默认用公网IP连接，如果你尝试用私有IP连接，需要确保你的客户端在同一个VPC内，或者通过VPN/云互连打通网络。

3. 利用日志定位具体问题 #

如果上面的步骤都没解决，直接去Cloud SQL控制台查看副本的「日志」（实例 -> 日志 -> MySQL错误日志），里面会详细记录连接失败的原因：

• 比如Access denied for user 'root'@'xxx.xxx.xxx.xxx'说明IP未授权或者密码错误；
• 比如Unknown user 'your_user'@'%'说明用户还没从主库同步过来，需要检查复制链路的状态。

额外提醒 #

• 匿名用户默认只能在本地连接，所以不要尝试用匿名用户远程连接副本，完全没用。
• 所有涉及用户、权限的变更，都必须在外部主库完成，再等待同步到副本，副本本身不支持任何写入操作。

内容的提问来源于stack exchange，提问作者Justin Naldzin