向 Bigtable 进行身份验证

本文档介绍了如何以编程方式向 Cloud Bigtable 进行身份验证。

如需详细了解 Google Cloud 身份验证，请参阅身份验证概览。

API 访问权限

Bigtable 支持以编程方式访问。如何向 Bigtable 进行身份验证取决于您访问 API 的方式。您可以通过以下方式访问 API：

客户端库

Bigtable 客户端库为以编程方式向 Bigtable 进行身份验证提供了高级语言支持。客户端库支持应用默认凭据 (ADC)；也就是说，客户端库会在一组定义的位置中查找凭据，并使用这些凭据对发送到 API 的请求进行身份验证。借助 ADC，您可以在各种环境（例如本地开发或生产环境）中为您的应用提供凭据，而无需修改应用代码。

Google Cloud CLI

使用 gcloud CLI 访问 Bigtable 时，您需要使用 Google 账号登录 gcloud CLI，该账号会提供 gcloud CLI 命令使用的凭据。

如果您的组织的安全政策阻止用户账号获取所需的权限，您可以使用服务账号模拟。

如需了解详情，请参阅使用 gcloud CLI 时进行身份验证。如需详细了解如何将 gcloud CLI 与 Bigtable 搭配使用，请参阅 gcloud CLI 参考页面。

为 Bigtable 设置身份验证

设置身份验证的方式取决于代码在其中运行的环境。

以下是最常用的身份验证设置选项。如需了解有关身份验证的更多选项和信息，请参阅在 Google 进行身份验证。

对于本地开发环境

您可以通过以下方式为本地开发环境设置凭据：

客户端库或第三方工具

在本地环境中设置应用默认凭据 (ADC)：

  1. 安装 Google Cloud CLI，然后通过运行以下命令初始化 Google Cloud CLI： 

    gcloud init

  2. 为您的 Google 帐号创建本地身份验证凭据：

    gcloud auth application-default login

    系统会显示登录屏幕。在您登录后，您的凭据会存储在 ADC 使用的本地凭据文件中。

如需详细了解如何在本地环境中使用 ADC，请参阅本地开发环境。

在 Google Cloud 上

如需对 Google Cloud 上运行的工作负载进行身份验证，请使用关联到代码在其中运行的计算资源的服务账号的凭据。例如，您可以将服务账号关联到 Compute Engine 虚拟机 (VM) 实例、Cloud Run 服务或 Dataflow 作业。对于在 Google Cloud 计算资源上运行的代码，这是首选的身份验证方法。

对于大多数服务，您必须在创建将运行代码的资源时关联服务账号；您之后无法添加或替换服务账号。Compute Engine 是一个例外，它允许您随时将服务账号关联到虚拟机实例。

使用 gcloud CLI 创建服务账号并将其关联到您的资源：

  1. 安装 Google Cloud CLI，然后通过运行以下命令初始化 Google Cloud CLI： 

    gcloud init

  2. 设置身份验证：

    1. 创建服务帐号： 

      gcloud iam service-accounts create SERVICE_ACCOUNT_NAME

      将 SERVICE_ACCOUNT_NAME 替换为服务帐号的名称。

    2. 如需提供对项目和资源的访问权限，请向服务帐号授予角色： 

      gcloud projects add-iam-policy-binding PROJECT_ID --member="serviceAccount:SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com" --role=ROLE

      请替换以下内容：

      • SERVICE_ACCOUNT_NAME：服务帐号的名称
      • PROJECT_ID：您在其中创建服务帐号的项目的 ID
      • ROLE：要授予的角色
    3. 要向服务帐号授予其他角色，请按照上一步中的说明运行命令。

    4. 为您的 Google 帐号授予一个可让您使用服务帐号的角色并将服务帐号关联到其他资源的角色：

      gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com --member="user:USER_EMAIL" --role=roles/iam.serviceAccountUser

      替换以下内容：

      • SERVICE_ACCOUNT_NAME：服务帐号的名称
      • PROJECT_ID：您在其中创建服务帐号的项目的 ID
      • USER_EMAIL：您的 Google 帐号的电子邮件地址

  3. 创建将运行代码的资源，并将服务账号关联到该资源。例如，如果您使用 Compute Engine：

    创建 Compute Engine 实例。按如下所示的方式配置实例：
    • 将 INSTANCE_NAME 替换为您偏好的实例名称。
    • 将 --zone 标志设置为您要在其中创建实例的可用区。
    • 将 --service-account 标志设置为您创建的服务帐号的电子邮件地址。
    gcloud compute instances create INSTANCE_NAME --zone=ZONE --service-account=SERVICE_ACCOUNT_EMAIL

如需详细了解如何向 Google API 进行身份验证，请参阅在 Google 进行身份验证。

在本地或在其他云服务提供商上

如需在 Google Cloud 外部设置身份验证，首选方法是使用工作负载身份联合。如需了解详情，请参阅身份验证文档中的本地或其他云服务提供商。

Bigtable 中的访问权限控制

向 Bigtable 进行身份验证后，您必须获得访问 Google Cloud 资源的授权。Bigtable 使用 Identity and Access Management (IAM) 进行授权。

如需详细了解 Bigtable 的角色，请参阅使用 IAM 进行访问权限控制。如需详细了解 IAM 和授权，请参阅 IAM 概览。

后续步骤