我无法测试在Google Cloud的PostgreSQL产品中使用IAM用户的能力。
以下是我的思考过程：
1.我已经在Google Cloud上的PostgreSQL示例上设置了相应的标志：

$ gcloud sql instances describe [MY_DB_INSTANCE] --format json | jq '.settings.databaseFlags'
[
  {
    "name": "cloudsql.iam_authentication",
    "value": "on"
  }
]
$

1.我有一个IAM用户，我已经在数据库示例中创建了该用户：

gcloud sql users create [MY_EMAIL] --instance=[MY_DB_INSTANCE] --type=CLOUD_IAM_USER

$ gcloud sql users list --instance [MY_DB_INSTANCE] | grep CLOUD_IAM_USER
[MY_EMAIL]                                      CLOUD_IAM_USER
$

• 当我尝试使用下面的任一命令连接到数据库时，出现身份验证错误。在这两种情况下，我都使用gcloud auth print-access-token的输出作为密码：
• 此方法将我的IP添加到allowlist：

$ gcloud sql connect [MY_DB_INSTANCE] --database=[DB_NAME] --user=[MY_EMAIL]
Allowlisting your IP for incoming connection for 5 minutes...done.
Connecting to database with SQL user [MY_EMAIL]. Password:
psql: error: FATAL:  Cloud SQL IAM user authentication failed for user "[MY_EMAIL]"
FATAL:  pg_hba.conf rejects connection for host "100.200.300.400", user "[MY_EMAIL]", database "[MY_EMAIL]", SSL off
$

可能与失败有关，也可能与失败无关，但这里的错误消息令人困惑。最后一行是...database "[MY_EMAIL]"，显然我没有试图连接到与我的电子邮件同名的数据库;我正在连接到一个具有非常特定名称的数据库，例如。[DB_NAME]。

更新，目前在“Known issues”页面中列出了对此的确认：

以下仅适用于默认用户（'postgres'）：gcloud sql connect --user

• 此方法使用云SQL代理：

$ gcloud beta sql connect [MY_DB_INSTANCE] --database=[DB_NAME] --user=[MY_EMAIL]
Starting Cloud SQL Proxy: [/usr/local/Caskroom/google-cloud-sdk/latest/google-cloud-sdk/bin/cloud_sql_proxy -instances my-project-id:europe-west1:[MY_DB_INSTANCE]=tcp:9470 -credential_file /Users/eugene/.config/gcloud/legacy_credentials/[MY_EMAIL]/adc.json]]
2021/01/26 16:35:03 Rlimits for file descriptors set to {&{8500 9223372036854775807}}
2021/01/26 16:35:03 using credential file for authentication; path="/Users/eugene/.config/gcloud/legacy_credentials/[MY_EMAIL]/adc.json"
2021/01/26 16:35:04 Listening on 127.0.0.1:9470 for my-project-id:europe-west1:[MY_DB_INSTANCE]
2021/01/26 16:35:04 Ready for new connections
Connecting to database with SQL user [MY_EMAIL].Password:
psql: error: FATAL:  Cloud SQL IAM user authentication failed for user "[MY_EMAIL]"
$

• 如果我从云控制台检查访问日志，对于两次登录尝试，我都会看到相同的错误消息：

2021-01-26 14:20:11.988 UTC [594848]: [2-1] db=[DB_NAME],user=[MY_EMAIL] DETAIL:  Request is missing required authentication credential. Expected OAuth 2 access token, login cookie or other valid authentication credential. See https://developers.google.com/identity/sign-in/web/devconsole-project.

在这一点上，我完全迷失了。
也许我的期望与连接到DB的工作方式不一致。我期望：
1.将不需要输入密码（例如，gcloud auth print-access-token的值），因为gcloud会自动为我生成并使用密码，
1.如果需要手动输入密码（通过复制粘贴来自paste-buffer的gcloud auth print-access-token命令的输出），它将工作（当它不工作时）。
我希望通过依赖IAM auth机制对DB进行身份验证，能够避免创建用户并使用psql（或类似地使用gcloud sql users create ... --type=BUILD_IN）为他设置密码的必要性。
我到底错过了什么？

Upd，如果不使用gcloud sql命令，而是运行代理，直接使用命令，就可以成功连接：

$ cloud_sql_proxy -instances my-project-id:europe-west1:[MY_DB_INSTANCE]=tcp:9470
2021/01/26 17:29:56 Rlimits for file descriptors set to {&{8500 9223372036854775807}}
2021/01/26 17:29:56 Listening on 127.0.0.1:9470 for my-project-id:europe-west1:[MY_DB_INSTANCE]
2021/01/26 17:29:56 Ready for new connections

$ env PGPASSWORD=(gcloud auth print-access-token) psql --host 127.0.0.1 --port 9470 --username=[MY_EMAIL] --dbname=[MY_DB]
psql (13.1, server 13.0)
Type "help" for help.

[MY_DB]=>