使用JWT令牌的Google云认证服务到服务

Question

是否可以从应用程序A中创建JWT令牌，并使用GCP服务帐户在应用程序B中验证它？我如何在Python中做到这一点？

这两个应用程序都部署在GCP中。应用程序可以部署在GCF、Cloud Run、AppEngine、GKE甚至GCE中。

我花了一些时间阅读Google Cloud文档，但我没有找到如何处理服务间身份验证的“通用”答案。（很可能是因为它们对每个GCP产品都不相同）

那么，考虑到我们抛开了谷歌的任何简化身份验证的无服务器产品，我如何在彼此之间验证我的服务呢？（例如，自动检查令牌的云运行/CF）

def serviceA():
"""
serviceA function gets a token and pass it in it's request to the serviceB
"""
    token = # How do I retrieved a token that I can use to auth my call? ID Token? Signed JWT?
    req.add_header("Authorization", f"Bearer {token}")

    response = urllib.request.urlopen(req)
    return response.read()

@app.route('/')
def hello():
"""Return a friendly HTTP greeting."""
  if "Authorization" not in request.headers:
    return "Forbidden", 403
  # Check if the request is authenticated
  verify_token(request.headers)
  # proceed...

null

Answer 1

我能想到的唯一适合您用例的服务是BeyondCorp：

BeyondCorp是Google对零信任模型的实现
(...)
BeyondCorp允许单点登录、访问控制策略、访问代理以及基于用户和设备的身份验证和授权。
BeyondCorp的原则是:
-对服务的访问不得由连接的网络决定
-对服务的访问是根据用户及其设备的上下文因素授予的
-对服务的访问必须经过身份验证、授权和加密