google-cloud-platform - 我不想为我想与之共享 bigquery 数据集的外部用户生成服务帐户 - 这会产生什么影响？

Question

我授予用户的 Google 帐户访问我的一个数据集的权限。他们正在使用这个 Python 脚本:

def query_stackoverflow():
    client = bigquery.Client()
    query_job = client.query(
        """
        SELECT *
        FROM `myproject.mydata.mytable`
        ORDER BY someColumn DESC
        LIMIT 10"""
    )

    results = query_job.result()

它有效，但他们看到了这个警告:

UserWarning: Your application has authenticated using end usercredentials from Google Cloud SDK without a quota project. You mightreceive a "quota exceeded" or "API not enabled" error. We recommendyou rerun gcloud auth application-default login and make sure aquota project is added. Or you can use service accounts instead. Formore information about service accounts, seehttps://cloud.google.com/docs/authentication/
warnings.warn(_CLOUD_SDK_CREDENTIALS_WARNING)

我通读了一些文档，但我不明白这是什么意思。这是否意味着我应该为我的项目设置配额？我认识这个人并信任他们，但这是否意味着他们可以用完所有我的 bq 配额来查询？这似乎也可以通过使用服务帐户来“解决”，所以这个配额是对我无法更改的非服务帐户访问的硬性限制吗？

授予用户的 Google 帐户访问权限比创建服务帐户并为他们生成 key 更方便、更安全。

Answer 1

quota project 由客户端库等用于计费目的。您可以使用 CLI 设置配额项目:

示例命令:

cloud auth application-default set-quota-project my-quota-project

gcloud auth application-default set-quota-project

查看 BigQuery 配额和限制并加以实现。这将提高安全性并最大限度地降低财务风险。

BigQuery Quotas and Limits

Google Cloud 中主要有三种授权方法。由 Google 帐户(Gmail、G Suite 等)、服务帐户和 API key 创建的用户凭据。

您收到警告是因为 Google 更喜欢应用程序使用服务帐户而不是用户凭据进行授权。您可以在代码中禁用此警告，但我不建议这样做。相反，创建一个配额项目，创建一个服务帐户，并锁定服务帐户以仅提供用户所需的角色。

在您的问题中，您没有描述您如何使用用户凭据来获取授予 API 访问权限所需的 OAuth 访问 token 。如果您传递 token ，那不是很安全。可以删除服务帐户，可以轮换服务帐户 key 等，从而提供更高级别的安全性。如果你了解谷歌云，我写了一篇关于如何使用模拟的文章。您可以使用此方法继续使用用户凭据来模拟服务帐户，而无需分发 key 。

Google Cloud – Improving Security with Impersonation

PowerShell – Impersonate Google Service Account

用户帐户凭据的 API 调用配额比服务帐户低得多。这可能会导致使用用户帐户生成的访问 token 的软件失败。