google-cloud-platform - 获取服务帐户的 Google IdToken？

Question

我有一个为 Android 客户端提供服务的后端，使用从 Android 应用程序发送的 IdToken 对它们进行身份验证。现在，我需要验证在使用我的 api 的 aws 上运行的服务。所以我认为服务帐户可以解决问题，使用私有(private) pem 文件创建一个 IdToken 并像 android 客户端一样发送它。但是我找不到使用这些凭据获取 IdToken 的方法。这可能吗(最好在 nodejs 中)。还是我走错了路？

Answer 1

我知道这是旧的，但我发现了这个问题，但它并没有引导我找到最终的答案。

我遵循了 https://cloud.google.com/endpoints/docs/openapi/service-account-authentication#using_a_google_id_token 中的指南与 https://cloud.google.com/iap/docs/authentication-howto 的一些混合，其中提到关键是包含一个 target_audience。在生成的 JWT 中声明。

所以，基本上我制作了一个看起来像这样的 JWT:

{
  "exp": 1547576771,
  "iat": 1547575906,
  "aud":"https://www.googleapis.com/oauth2/v4/token",
  "target_audience": "https://example.com/",
  "iss": EMAIL OF SERVICE ACCOUNT
}

并将其发布到 https://www.googleapis.com/oauth2/v4/token带参数 grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer和 assertion=<THE JWT>

没有target_audience端点给了我一个访问 token ，但我得到了一个 id_token相反。