使用用户帐户凭据来实现私有云运行/云功能

Question

这里是我的用例。

• 我已经在私有模式下部署了云运行服务。（与云函数相同的问题）
• 我正在开发一个使用云运行的新服务。我使用应用程序中的默认凭据进行身份验证。它在Compute Engine和Cloud Run上工作，因为默认凭据是从元数据服务器获得的。

但是，我不能使用我的用户帐户凭据。

日志跟踪在Java、Node或Go中非常清晰：不可能在用户凭据类型上生成标识令牌。

所以，

null

爪哇

我做这个

        Credentials credentials = GoogleCredentials.getApplicationDefault().createScoped("https://www.googleapis.com/auth/cloud-platform");

        IdTokenCredentials idTokenCredentials = IdTokenCredentials.newBuilder()
                .setIdTokenProvider((IdTokenProvider) credentials)
                .setTargetAudience(myUri).build();

        HttpRequestFactory factory = new NetHttpTransport().createRequestFactory(new HttpCredentialsAdapter(idTokenCredentials));

并且我的用户凭据与IDTokenProvider接口不兼容

Caused by: java.lang.ClassCastException: class com.google.auth.oauth2.UserCredentials cannot be cast to class com.google.auth.oauth2.IdTokenProvider (com.google.auth.oauth2.UserCredentials and com.google.auth.oauth2.IdTokenProvider are in unnamed module of loader 'app')

    const {GoogleAuth} = require('google-auth-library');
    const auth = new GoogleAuth()
    const client = await auth.getIdTokenClient(url);
    const res = await client.request({url});
    console.log(res.data);

Error: Cannot fetch ID token in this environment, use GCE or set the GOOGLE_APPLICATION_CREDENTIALS environment variable to a service account credentials JSON file.
    at GoogleAuth.getIdTokenClient(....)

Answer 1

gcloud auth activate-service-account-key-file只适用于运行gcloud命令的“您”，而不是需要google_application_credentials的“应用程序”。

从java调用Google Cloud Run或如何从Cloud Run/gcp的外部调用Cloud Run？中可以看到，您要么需要有服务帐户的JSON密钥文件，要么必须在gce/gke/Cloud Run/App Engine/gcf实例中运行。

为了在本地环境中工作，我建议使用gcloud auth application-default login命令登录（该命令的工作方式与本地设置google_application_credentials类似）。如果这管用就告诉我。

如果这不起作用，作为最后的手段，您可以重构代码，以便在本地工作时从环境变量（如果设置了）中提取标识令牌，例如：

$ export ID_TOKEN="$(gcloud auth print-identity-token -q)"
$ ./your-app

根据纪尧姆的请求“这个gcloud auth print-identity-token如何使用我的个人Google凭据”？

>

gcloud是一个注册到Google的OAuth客户端，要获得JWT令牌，您需要在GCE/gcf/gke/gae/cr环境中工作，或者有一个OAuth应用程序。

GCloud发出如下请求：

POST https://www.googleapis.com/oauth2/v4/token

带身体：

grant_type=refresh_token&client_id=REDACTED.apps.googleusercontent.com&client_secret=REDACTED&refresh_token=REDACTED

对于我们来说，client_id和client_secret值很可能是相同的，因为它们是GCloud的。但是，它会将refresh_token与一个新令牌交换。

/token响应将包含access_token和id_token。例如：

{
"access_token": ".....",
"id_token": "eyJhbG....."
"expires_in": 3599,
"scope": "https://www.googleapis.com/auth/userinfo.email 
https://www.googleapis.com/auth/appengine.admin 
https://www.googleapis.com/auth/compute 
https://www.googleapis.com/auth/cloud-platform 
https://www.googleapis.com/auth/accounts.reauth openid",
"token_type": "Bearer",
}

这就是GCloud为您打印标识令牌的方式。

如果您想知道代码是如何使用JSON密钥文件的，您将看到非常类似的内容。例如，在Go中有http://google.golang.org/api/idToken包，您将在那里看到类似的实现。