使用用户帐户进行云运行身份验证

Question

与Google documented一样，开发人员可以使用gcloud auth print-identity-token生成仅用于开发的id_token以对Cloud Run进行身份验证。如果我对所生成的id_token进行base64解码，则可以看到aud声明设置为32555940559.apps.googleusercontent.com，它是google cloud sdk的client_id：

这是service-to-service authentication中概述的规则的例外，该规则说target_audience需要设置为接收服务的URL（例如https://xxxxx.run.app）。是{{1 }}和aud是同一件事？

最后，除了使用googlecloudsdk（即不存在映像target_audience之外），还有其他方法可以使用用户帐户而非服务帐户进行身份验证吗？

Answer 1

是的，这是一个真正的问题。我在IAM limitation和Service Account Credentials API上写了2篇文章，并且为Google Auth Java库提交了2个请求请求（如果您有兴趣，我可以共享链接）。

直接，轻松，您不能。我在文章中提供了解决方法，但不足以立即停止与Google的讨论。

Answer 2

您可以使用以下命令：

gcloud auth application-default login

根据documentation：

在开发将 通常使用服务帐户，但需要在本地运行代码 开发环境，可以更轻松地提供用户凭据。