GCP - 无法验证自己以调用 Google Cloud 功能答案

【问题标题】：GCP - Unable to authenticate myself to invoke Google Cloud functionGCP - 无法验证自己以调用 Google Cloud 功能
【发布时间】：2019-11-30 20:09:10
【问题描述】：

我有一个名为 rad_format_text_v0 的云函数。我（andy@onehot.io）有权调用它，如下所示：

$ gcloud beta functions get-iam-policy rad_format_text_v0
bindings:
- members:
  - allAuthenticatedUsers
  - user:andy@onehot.io
  role: roles/cloudfunctions.invoker
etag: BwWOSfjYxp0=
version: 1

我可以使用gcloud functions call...调用它。

$ gcloud auth list
           Credentialed Accounts
ACTIVE             ACCOUNT
*                  andy@onehot.io

$ gcloud functions call rad_format_text_v0 --data "$(< test.json)"
executionId: 2wm7nrgc0vjo
result: |
  ["REDACTED successful result"]

但是，当我尝试使用另一个 HTTP 客户端（如 curl）时，即使我传递了身份验证令牌，它也会失败...

$ curl -i -X POST "https://us-central1-onehot-autocoder.cloudfunctions.net/rad_format_text_v0" -H "Content-Type:application/json" -H "Authorization: bearer $(gcloud auth application-default print-access-token)" --data @test.json
HTTP/1.1 401 Unauthorized
WWW-Authenticate: Bearer error="invalid_token" error_description="The access token could not be verified"
Date: Mon, 22 Jul 2019 19:46:59 GMT
Content-Type: text/html; charset=UTF-8
Server: Google Frontend
Content-Length: 312
Alt-Svc: quic=":443"; ma=2592000; v="46,43,39"

<html><head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<title>401 Unauthorized</title>
</head>
<body text=#000000 bgcolor=#ffffff>
<h1>Error: Unauthorized</h1>
<h2>Your client does not have permission to the requested URL <code>/rad_format_text_v0</code>.</h2>
<h2></h2>
</body></html>

我完全按照documentation 中的说明进行操作。我不知道为什么我的令牌不起作用。

【问题讨论】：

标签： google-cloud-platform google-cloud-functions google-iam

【解决方案1】：

您正在使用gcloud auth application-default print-access-token 获取令牌，并且您共享的文档指定您应该改用gcloud auth print-identity-token 命令。

我对其进行了测试，发现我无法将print-identity-token 用于我的用户帐户。相反，我不得不create a new service account and activate it。然后在 curl 命令中，我指定了服务帐户，如下例所示：

curl -i https://[REGION]-[PROJECT_ID].cloudfunctions.net/[FUNCTION_NAME] -H "Authorization: bearer $(gcloud auth print-identity-token [SERVICE_ACCOUNT] )"

显然 Google Cloud SDK 在 254 版本的 gcloud auth print-identity-token 命令存在问题，您也可以尝试使用以下命令降级：

gcloud components update --version 249.0.0

【讨论】：

感谢您指出这一点！有趣的是，今天Google 发布了 gcloud 255.0.0，gcloud auth print-identity-token 现在与宣传的完全一样。