google-cloud-platform - 在 ExecuteScript 中使用 Controller 服务

Question

我正在处理一个 Google Cloud 项目，我想使用 Jython 连接到自定义 API。我需要提供 Google 服务帐户凭据才能验证自己的身份，但出于安全原因，我不希望轻易访问这些信息。我可以创建一个可用的 Controller 服务，让我可以连接到 Google Cloud 服务。

我有可以执行身份验证的 Python 代码，但该代码设计为独立运行并从文件加载凭据。然而，这对我来说是不可能的，因为可能有权访问服务器的人不应该看到凭据。所以我需要将凭据存储在其他地方

有没有一种方法可以将服务帐户 JSON 存储在 NiFi 中，以便我可以在需要时在 ExecuteScript 中访问它或直接使用 Controller 服务？

Answer 1

你的问题的答案是否定的。没有安全的方法可以在文件中或以 JSON 数据结构的形式分发服务帐户凭据。无论你如何尝试隐藏、屏蔽或加密，我只需要几分钟就能对你的混淆进行逆向工程。您的选择是易用性还是安全性。

如果您的代码在 Google 计算服务(例如 Compute Engine)上运行，则您的代码可以使用通过元数据访问的默认服务帐户。这将阻止分发服务帐户 JSON key 文件的要求。但是，有权访问服务器的任何人也可以访问元数据服务器。这种技术称为 ADC(应用程序默认凭据)。这更安全，但在您的用例中并不是万无一失的。

您没有提供足够的详细信息，无法让我推荐替代解决方案。如果可以使用 Google OAuth 2.0 用户凭证，这将提供安全性和临时 OAuth 访问 token 。然而，这是为人机交互(身份验证)而设计的。