登录
首页 >  Golang >  Go问答

使用 Cloud Run 进行内部 CLI 的 Google Cloud Auth

来源:stackoverflow

时间:2024-04-13 13:45:34 228浏览 收藏

小伙伴们有没有觉得学习Golang很有意思?有意思就对了!今天就给大家带来《使用 Cloud Run 进行内部 CLI 的 Google Cloud Auth》,以下内容将会涉及到,若是在学习中对其中部分知识点有疑问,或许看了本文就能帮到你!

问题内容

我们使用 cloud run 构建了多项服务。我们的目标是构建一个内部 cli,允许我们的开发人员调用这些服务。我们在生成 id_token 来与位于 cloud run 服务前面的身份识别代理一起使用时遇到问题。

根据文档,可以使用 gcloudgcloud auth print-identity-token 命令来完成对 cloud run 服务的调用。这很好用。这还避免了下载服务帐户凭据并将其传递给我们的开发人员,因为此方法利用您的应用程序默认凭据。

我们尝试在 go 中实现一些东西来复制 print-identity-token 功能,但没有成功。生成的 id_token 会向我们的所有 cloud run api 返回 401。生成令牌的示例代码:

func GetIDToken() string {
    ctx := context.Background()
    tokenSource, err := google.DefaultTokenSource(ctx, "openid", "email")

    if err != nil {
        log.Fatal(err)
    }

    token, err := tokenSource.Token()

    if err != nil {
        log.Fatal(err)
    }

    return fmt.Sprintf("%v", token.Extra("id_token"))
}

这会返回 id_token 但它不适用于 api。根据文档,范围似乎是正确的。

这给我们留下了两个问题:

  1. 这是为 iap 生成 id 令牌的正确方法吗?
  2. 是否有更好的方法来为我们的开发人员实现对这些内部 api 的身份验证?

解决方案


目前尚不清楚您为何尝试重新实现 gcloud auth print-identity-token。我强烈建议您不要尝试这样做。

如果您正在构建开发人员 CLI,那么如果您使 gcloud 存在于开发计算机中,并调用此命令来检索 id_token,您的工作将会容易得多。

重新实现 print-identity-token 确实很困难。因为 gcloud 使用内部 refresh_token 调用 OAuth 令牌端点,所以它一直在存储以获取 id_token 以及 access_token。 (使用 --log-http 运行命令以查看更多信息,并将相关 gcloud 配置设置为不从 req/resp 正文中编辑令牌。)

或者,如果开发人员计算机上没有 gcloud 并通过 GSuite 帐户进行身份验证,您唯一的其他选择是将 IAM 服务帐户密钥分发到每台开发人员计算机。 (另一方面,您需要确保这些密钥正确旋转并保持安全。)

您可以使用 IAM 服务帐户密钥通过适当的字段(如 client_secret、grant_type 等)向 https://www.googleapis.com/oauth2/v4/token 进行 POST,获取 id_token。我相信最简单的方法是将 Go 程序中的 GOOGLE_APPLICATION_CREDENTIALS env 变量设置为密钥文件,在令牌交换请求中指定正确的 audience 参数,然后像您所做的那样使用 token.Extra("id_token")

旁白:我还注意到您的身份字段未在示例代码中设置为 Cloud Run 服务的 URL。

今天带大家了解了的相关知识,希望对你有所帮助;关于Golang的技术知识我们会一点点深入介绍,欢迎大家关注golang学习网公众号,一起学习编程~

声明:本文转载于:stackoverflow 如有侵犯,请联系study_golang@163.com删除
相关阅读
更多>
最新阅读
更多>
课程推荐
更多>