当使用为另一个服务返回的JWT时，云运行服务请求总是以401失败。同样的请求与为最终用户返回的JWT一起工作

Question

我有一个由多个云运行服务组成的应用程序。每个服务只对一组特定的其他服务开放。

export const getToken = async (url: string, targetAUD?: string) => {
    const auth = new GoogleAuth();
    const request  = async () => {
        if (!targetAUD) {
            targetAUD = new URL(url).origin;
        }
        console.info(`request ${url} with target audience ${targetAUD}`);
        const client = await auth.getIdTokenClient(targetAUD);
        const res = await client.request({url});
        console.info(res.data);
        return res.data;
    }
    try {
       return await request();
    } catch (err) {
        console.error(err);
    }
}

当以getToken('http://data-provider-service-123.run.app')；的形式调用上面的函数时，请求失败，401未授权。我还尝试将其称为getToken('https://data-provider-service-123.run.app')；，并得到一个403禁止的响应。以下条目将为每个此类请求添加到data-provider-servicehtml" target="_blank">日志中

    {
    httpRequest: {9}insertId: "60fcb7e0000c12346fe37579"
    logName: "projects/my-project/logs/run.googleapis.com%2Frequests"
    receiveTimestamp: "2021-07-25T01:01:20.806589957Z"
    resource: {2}
    severity: "WARNING"
    textPayload: "The request was not authorized to invoke this service. Read more at 
     https://cloud.google.com/run/docs/securing/authenticating"
    timestamp: "2021-07-25T01:01:20.800918Z"
    trace: "projects/my-project/traces/25b3c13890aad01234829711d4e9f25"
    }

我还尝试通过运行curl“http://metadata.google.internal/computemetadata/v1/instance/service-accounts/default/identity？audience=http://data-provider-servive-123.run.app”\-h“metadata-flavel:google”从compute metadata server（也是文档中宣传的一种方式）获取和使用JWT。

当我在Cloud Shell中执行这段代码时，我得到了如下所示的JWT

{
"iss": "accounts.google.com",
"azp": "123456789-9r9s1c4alg36erliucho9t52n12n6abc.apps.googleusercontent.com",
"aud": "123456789-9r9s1c4alg36erliucho9t52n12n6abc.apps.googleusercontent.com",
"sub": "106907196154567890477",
"email": "[e-mail]",
"email_verified": true,
"at_hash": "dQpctkQE2Sy1as1qv_w",
"iat": 1627173901,
"exp": 1627177501,
"jti": "448d660269d4c7816ae3zd45wrt89sb9f166452dce"
}

然后，我使用postman向https://data-provider-service/get-data发出请求，标题为授权：“bearer ” ，一切正常

但是，如果我从我的api-service发出同样的请求，返回的JWT是

{
"aud": "http://data-provider-service-123.run.app",
"azp": "111866132465987679716",
"email": "api-service-account@domain",
"email_verified": true,
"exp": 1627179383,
"iat": 1627175783,
"iss": "https://accounts.google.com",
"sub": "111866132465987679716"
}

如果我向邮递员发出相同的请求，并将此JWT放入授权头中，则返回401 Unauthorized。

Answer 1

在请求computing metadata server时，我将目标服务URL中的http更改为https，看起来解决了问题。使用google-auth-library请求像这样的令牌仍然失败，出现403错误。

如果解决方案是可持续的，我会更新答案。