是否可以在不使用gcloud 的情况下为 Google Cloud 服务帐户获取授权持有者令牌？
也就是说，我想发出一个 HTTP 请求（可能由我的 JSON 密钥文件以某种方式签名），它可以为我提供相当于
gcloud auth application-default print-access-token
此请求将在我自己的服务器上发出，我可能不希望安装 gcloud 并且我无权访问可能提供此功能的任何内部服务器元数据（例如，与 Compute Engine 一样） .
是否有一些提供类似功能的 oauth 端点？
或者，有没有办法使用gcloud 生成长期存在的令牌？
我是 Google Cloud 生态系统的新手，请原谅我的无知和术语...
【问题讨论】：
标签： google-cloud-platform gcloud
我认为这正是您正在寻找的：
https://developers.google.com/identity/protocols/OAuth2#serviceaccount
老实说，我不认为你试图实现的目标是正确的，运行
gcloud auth application-default print-access-token
你得到一个不打算做你正在寻找的事情的令牌：
“当您开发通常使用服务帐户但需要在更容易提供用户凭据的本地开发环境中运行代码时，此命令很有用。”
这应该会在实施此解决方案时为您提供更多指导： https://developers.google.com/identity/protocols/OAuth2ServiceAccount
【讨论】：
gcloud auth 机制...
这是它在 golang 中的样子：
import(
"google.golang.org/api/compute/v1"
"google.golang.org/api/container/v1"
"google.golang.org/api/iterator"
"google.golang.org/api/option"
"google.golang.org/api/transport"
)
ctx := context.Background()
creds, err := transport.Creds(ctx, option.WithScopes(compute.CloudPlatformScope))
token, err := creds.TokenSource.Token()
【讨论】：
对于您的第二个问题，“有什么方法可以使用 gcloud 生成长期存在的令牌吗？”，不，没有。但是，您可以使用刷新令牌来生成新的访问令牌。 检查此问题的第一个答案：
OAuth2 and Google API: Access token expiration time?
此外，这是一个可用作身份验证机制的 python 库示例：
【讨论】：
不需要库或 api。您可以使用
curl -s "http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/default/token" -H "Metadata-Flavor: Google" | jq -r .access_token
如果您在 shell 脚本中需要它，它会很有用。
【讨论】：
我认为这是你需要的：
https://github.com/googleapis/google-auth-library-java#explicit-credential-loading
显式凭据加载 要从服务帐户 JSON 密钥获取凭据，请使用 GoogleCredentials.fromStream(InputStream) 或 GoogleCredentials.fromStream(InputStream, HttpTransportFactory)。请注意，必须在访问令牌可用之前刷新凭据。
GoogleCredentials credentials = GoogleCredentials.fromStream(new FileInputStream("/path/to/credentials.json"));
credentials.refreshIfExpired();
AccessToken token = credentials.getAccessToken();
// OR
AccessToken token = credentials.refreshAccessToken();
【讨论】：