HTTP Google Cloud Functions 中的身份验证

Question

https://cloud.google.com/solutions/authentication-in-http-cloud-functions

文档建议设置一个 Google Cloud Storage 存储分区。然后设置服务帐户对存储桶的权限“storage.buckets.get”。

然后使用此权限来验证对 http Google Cloud Functions 的访问。

我们正在讨论对 http 云功能进行身份验证，但我们是从 Google Cloud Storage 借用权限。在我看来，这是一个 hack 解决方案。

如果我们可以通过 Google Cloud Console 为每个 Cloud Function 设置权限，那就太好了。

你们在使用谷歌在上述文档中建议的身份验证解决方案吗？或者你有更好的方法？

设置“storage.buckets.get”，是否意味着我授予服务帐户“Storage Object Viewer”权限？

Answer 1

你带来的link中提出的解决方案确实是其中一种方式。事实上，您可以使用任何其他 Google Cloud Platform 产品（不仅仅是存储桶）来检查所选帐户对其的权限。

另一种可行的方法是：

1. 准备一个云函数，其中将列出授权用户的电子邮件。
2. Cloud Function 检索传入 HTTP 请求的 'Authorization' 标头，其中包含为发出请求的帐户生成的令牌。
3. 该函数调用tokeninfo endpoint 使用提到的标头来检索帐户的电子邮件（来自JSON 响应正文）。返回电子邮件的 url 如下所示：

url = "https://www.googleapis.com/oauth2/v1/tokeninfo?fields=email&access_token
    =" + token_from_the_request_header;

4. 验证返回的电子邮件是否在授权列表中。
5. ...如果是，则执行函数的逻辑。

Answer 2

要使用 Cloud Functions，您需要将模块放入存储桶中。授予账户“storage.buckets.get”对存储桶的权限，您授予服务账户授权以触发您的 HTTP Cloud Function；同样，您可以通过从另一个服务帐户中删除“storage.buckets.get”权限来撤销授权。

要设置‘storage.buckets.get’ permission，您需要通过标准角色选择“Storage Admin”，或者从旧角色中选择“Storage.legacyBucketReader”/“storage.legacyBucketWriter”，甚至使用“storage.buckets.get”选择define a custom role ' 许可。