使用Workload Identity Federation在Python中验证Google云存储

Question

是否可以使用谷歌的工作负载身份联合的OIDC方法来验证我的Python应用程序的谷歌云存储包。

我想这样做：

import os
os.environ["GOOGLE_APPLICATION_CREDENTIALS"] = str(os.path.dirname(os.path.dirname(__file__))) + "/keys/credentials.json"
from google.cloud import storage

import google.oauth2.id_token
import google.auth.transport.requests

request = google.auth.transport.requests.Request()
target_audience = "https://pubsub.googleapis.com"

obtained_id_token = google.oauth2.id_token.fetch_id_token(request, target_audience)

storage_client = storage.Client(credentials=obtained_id_token)

这会产生以下错误：

ValueError：此库仅支持来自google auth库python的凭据。看见https://google-auth.readthedocs.io/en/latest/有关此库的身份验证帮助




Answer 1

这并不能解决问题中的工作负载标识联合部分，但可以使问题代码正常工作：

import google.oauth2.id_token
import google.auth.transport.requests

request = google.auth.transport.requests.Request()
target_audience = "https://storage.cloud.google.com/"

# Create ID token credentials.
credentials = google.oauth2.id_token.fetch_id_token_credentials(target_audience, request=request)

# Refresh the credential to obtain an ID token.
credentials.refresh(request)

id_token = credentials.token
id_token_expiry = credentials.expiry

storage_client = storage.Client(credentials=credentials)
bucket = storage_client.get_bucket(settings.GOOGLE_CLOUD_BUCKET_NAME)

仍然需要看看是否有可能在不需要回购中的凭据json文件的情况下进行身份验证。

Answer 2

不能直接回复评论但是

作为参考，这里有一些链接更详细地描述了这一点

>

联合会将您的环境aws|oidc|azure凭据交换为GCP理解的凭据（不涉及svc帐户密钥），请参阅gcp工作负载标识联合

Google发行的oidc（id_tokens）通常用于访问您部署在云运行等上的服务

最后，仅供参考，谷歌使用svc帐户jwt（不是oidc或oauth，而是谷歌特有的）对某些服务进行身份验证的方式非常特殊。。。它一点也不常见，但这里描述了它参见jwt访问令牌

Answer 3

匿名用户

看看自动在萨尔的交换通用OIDC凭证为GCP凭证回购。

IIUC将您的联合凭据转换为Google应用程序默认凭据（见下文），您可以在任何Google SDK中使用这些凭据。

根据@john hanley的评论，您错误地使用了auth库。

看看谷歌。验证（在导出GOOGLE_应用程序_凭证=/path/to/your/key.json之后）您可以：

import google.auth

credentials, project_id = google.auth.default()