google-app-engine - 如何管理谷歌应用引擎服务帐户私钥？

Question

我有一个 Google App Engine 应用程序，它使用服务帐户为关联的 Google Apps 域中的用户订阅特定日历。

我可以通过下载服务帐户私钥然后使用它进行身份验证，使它在我的开发环境中正常工作。

但我对上传私钥作为我的生产部署的一部分犹豫不决。这是最佳做法吗？有没有更好的方法可以在不涉及上传我的私钥的情况下向 Google Apps 域验证 App Engine 服务帐户？什么是合适的最佳实践？

Answer 1

生产中的 App Engine 应用程序附带由 Identity service 提供的特定服务帐户，但它不允许您像常规服务帐户那样模拟用户。

因此，您最好的选择是上传私钥。出于明显的安全原因，最好:

• 跨环境使用不同的服务帐户(一个用于开发，一个用于测试，一个用于生产)
• 将私钥与代码分开存储，至少是生产和测试代码。

因此，最佳做法是编写一个简单的 HTTP 接口(interface)，允许您上传私钥并将其与客户端 ID 和客户端电子邮件一起存储在数据存储区中。