使用 Cloud Run 进行内部 CLI 的 Google Cloud Auth

小伙伴们有没有觉得学习Golang很有意思？有意思就对了！今天就给大家带来《使用 Cloud Run 进行内部 CLI 的 Google Cloud Auth》，以下内容将会涉及到，若是在学习中对其中部分知识点有疑问，或许看了本文就能帮到你！

我们使用 cloud run 构建了多项服务。我们的目标是构建一个内部 cli，允许我们的开发人员调用这些服务。我们在生成 id_token 来与位于 cloud run 服务前面的身份识别代理一起使用时遇到问题。

根据文档，可以使用 gcloud 和 gcloud auth print-identity-token 命令来完成对 cloud run 服务的调用。这很好用。这还避免了下载服务帐户凭据并将其传递给我们的开发人员，因为此方法利用您的应用程序默认凭据。

我们尝试在 go 中实现一些东西来复制 print-identity-token 功能，但没有成功。生成的 id_token 会向我们的所有 cloud run api 返回 401。生成令牌的示例代码：

func GetIDToken() string {
    ctx := context.Background()
    tokenSource, err := google.DefaultTokenSource(ctx, "openid", "email")

    if err != nil {
        log.Fatal(err)
    }

    token, err := tokenSource.Token()

    if err != nil {
        log.Fatal(err)
    }

    return fmt.Sprintf("%v", token.Extra("id_token"))
}

这会返回 id_token 但它不适用于 api。根据文档，范围似乎是正确的。

这给我们留下了两个问题：

1. 这是为 iap 生成 id 令牌的正确方法吗？
2. 是否有更好的方法来为我们的开发人员实现对这些内部 api 的身份验证？

解决方案

目前尚不清楚您为何尝试重新实现 gcloud auth print-identity-token。我强烈建议您不要尝试这样做。

如果您正在构建开发人员 CLI，那么如果您使 gcloud 存在于开发计算机中，并调用此命令来检索 id_token，您的工作将会容易得多。

重新实现 print-identity-token 确实很困难。因为 gcloud 使用内部 refresh_token 调用 OAuth 令牌端点，所以它一直在存储以获取 id_token 以及 access_token。 （使用 --log-http 运行命令以查看更多信息，并将相关 gcloud 配置设置为不从 req/resp 正文中编辑令牌。）

或者，如果开发人员计算机上没有 gcloud 并通过 GSuite 帐户进行身份验证，您唯一的其他选择是将 IAM 服务帐户密钥分发到每台开发人员计算机。 （另一方面，您需要确保这些密钥正确旋转并保持安全。）

您可以使用 IAM 服务帐户密钥通过适当的字段（如 client_secret、grant_type 等）向 https://www.googleapis.com/oauth2/v4/token 进行 POST，获取 id_token。我相信最简单的方法是将 Go 程序中的 GOOGLE_APPLICATION_CREDENTIALS env 变量设置为密钥文件，在令牌交换请求中指定正确的 audience 参数，然后像您所做的那样使用 token.Extra("id_token") 。

旁白：我还注意到您的身份字段未在示例代码中设置为 Cloud Run 服务的 URL。

今天带大家了解了的相关知识，希望对你有所帮助；关于Golang的技术知识我们会一点点深入介绍，欢迎大家关注golang学习网公众号，一起学习编程~