google-cloud-platform - 使用用户帐户进行云运行身份验证

Question

作为谷歌 documented ，开发者可以使用 gcloud auth print-identity-token 生成一个开发专用的 id_token 来向 Cloud Run 进行身份验证。如果我对生成的 id_token 进行 base64 解码，我可以看到 aud 声明设置为 32555940559.apps.googleusercontent.com，它是 google cloud sdk 的 client_id :

这是 service-to-service authentication 中概述的规则的异常(exception)吗？ ，其中说target_audience需要设置为接收服务的url(如https://xxxxx.run.app)。aud和target_audience一样吗东西？

最后，除了使用 googlecloudsdk 之外，还有其他方法可以使用用户帐户而不是服务帐户进行身份验证(即镜像 gcloud auth print-identity-token 不存在)？

Answer 1

是的，这是一个真正的问题。我在 IAM limitation 上写了 2 篇文章和 Service Account Credentials API ，并且我为 Google Auth Java 库提交了 2 个拉取请求(如果您有兴趣，我可以分享链接)。

直接而轻松，你不能。我在我的文章中提供了解决方法，但还不足以阻止我现在与 Google 的讨论。