Google Cloud API Gateway 对多个服务帐号进行身份验证

Question

对于托管在 GCP 中的 API，我计划借助具有私钥和 API 网关的服务帐户来验证消费服务（来自外部 gcp 环境）。

对于一个服务帐户 (service-account-1) 来说一切正常，即：

paths:
    /hello:
      get:
        #...
        security:
          - service_account-1: []
securityDefinitions:
    service_account-1:
      authorizationUrl: ""
      flow: "implicit"
      type: "oauth2"
      x-google-issuer: "{service-account-1}@{project-id}.iam.gserviceaccount.com"
      x-google-jwks_uri: "https://www.googleapis.com/robot/v1/metadata/x509/{service-account-1}@{project-id}.iam.gserviceaccount.com"
      x-google-audiences: "{project-id}"

但是我该如何描述它以便项目中的任何服务帐户都可以访问？

编辑：我想避免在每次创建新服务帐户并需要允许访问时更新 API 网关上的 openapi 配置。

更新：我最终使用 Identity-Aware Proxy 来保护 API，只允许授权的服务帐户。

Answer 1

根据官方文档：

Authentication between services

您可以在 API 配置中定义多个安全定义，但是 每个定义必须有不同的 x-google-issuer。如果你有 为每个调用服务创建单独的服务帐户，您可以 为每个服务帐户创建一个安全定义，例如：

securityDefinitions:
  service-1:
    authorizationUrl: ""
    flow: "implicit"
    type: "oauth2"
    x-google-issuer: "service-1@example-project-12345.iam.gserviceaccount.com"
    x-google-jwks_uri: "https://www.googleapis.com/robot/v1/metadata/x509/service-1@example-project-12345.iam.gserviceaccount.com"
  service-2:
    authorizationUrl: ""
    flow: "implicit"
    type: "oauth2"
    x-google-issuer: "service-2@example-project-12345.iam.gserviceaccount.com"
    x-google-jwks_uri: "https://www.googleapis.com/robot/v1/metadata/x509/service-2@example-project-12345.iam.gserviceaccount.com"

因此您必须创建多个安全定义。