驗證入門

驗證入門

本文旨在說明建議用來驗證 Cloud API 的方式。

「驗證」指判定用戶端身分的程序。「授權」是指判定經驗證的用戶端對一組資源具有哪些權限的程序。也就是說，驗證和您的身分有關，而授權則和您可執行哪些操作有關。

建議針對驗證使用「服務帳戶」：與 GCP 專案相關聯，而非與特定使用者相關聯的 Google 帳戶。無論您的程式碼是在哪裡執行 (在本機、Compute Engine、App Engine、內部部署等)，都可以使用服務帳戶來驗證。如要進一步瞭解其他驗證類型，請參閱驗證總覽。

建立服務帳戶

GCP 主控台

在 GCP 主控台中，前往「Create service account key」(建立服務帳戶金鑰) 頁面。
前往「Create Service Account Key」(建立服務帳戶金鑰) 頁面
從 [Service account] (服務帳戶) 清單中選取 [New service account] (新增服務帳戶)。
在 [Service account name] (服務帳戶名稱) 欄位中輸入一個名稱。
從 [Role] (角色) 清單中，選取 [Project] (專案) > [Owner] (擁有者)。

附註：「Role」(角色) 欄位會授權服務帳戶存取資源。以後您可以使用 GCP 主控台查看及變更這個欄位。如果您要開發正式版應用程式，請指定比 [Project] (專案) > [Owner] (擁有者) 更精細的權限。詳情請參閱為服務帳戶授予角色一文。
點選 [建立]。一個包含您金鑰的 JSON 檔案會下載到電腦中。

指令列

您可以使用本機電腦上的 Cloud SDK，或在 Cloud Shell 內執行下列指令。

建立服務帳戶。將 [NAME] 換成服務帳戶的名稱。
```
gcloud iam service-accounts create [NAME]
```
向服務帳戶授予權限。用您的專案 ID 取代 [PROJECT_ID]。
```
gcloud projects add-iam-policy-binding [PROJECT_ID] --member "serviceAccount:[NAME]@[PROJECT_ID].iam.gserviceaccount.com" --role "roles/owner"
```
附註：「Role」(角色) 欄位會授權服務帳戶存取資源。您稍後可以使用 GCP 主控台查看及變更這個欄位。如果您要開發正式版應用程式，請指定比 [Project] (專案) > [Owner] (擁有者) 更精細的權限。詳情請參閱為服務帳戶授予角色一文。

產生金鑰檔案。用金鑰檔案的名稱取代 [FILE_NAME]。

gcloud iam service-accounts keys create [FILE_NAME].json --iam-account [NAME]@[PROJECT_ID].iam.gserviceaccount.com

設定環境變數

如要使用服務帳戶，則必須設定環境變數。

設定環境變數 GOOGLE_APPLICATION_CREDENTIALS 來為應用程式程式碼提供驗證憑證。將 [PATH] 改成包含您的服務帳戶金鑰的 JSON 檔案路徑，並將 [FILE_NAME] 改成檔案名稱。此變數僅適用於您目前的殼層工作階段，所以如果您開啟新的工作階段，請再次設定變數。

Linux 或 macOS

export GOOGLE_APPLICATION_CREDENTIALS="[PATH]"

例如：

export GOOGLE_APPLICATION_CREDENTIALS="/home/user/Downloads/[FILE_NAME].json"

Windows

使用 PowerShell：

$env:GOOGLE_APPLICATION_CREDENTIALS="[PATH]"

例如：

$env:GOOGLE_APPLICATION_CREDENTIALS="C:\Users\username\Downloads\[FILE_NAME].json"

使用命令提示字元：

set GOOGLE_APPLICATION_CREDENTIALS=[PATH]

設定環境變數可讓您從自己的應用程式個別提供憑證，而無需在部署時變更應用程式的程式碼。或者，您也可以在程式碼中明確指定服務帳戶金鑰檔案的路徑。詳情請參閱實際工作環境指南。

確認驗證

設定環境變數之後，使用 Google Cloud 用戶端程式庫時，您就不需要在程式碼中明確指定憑證。用戶端程式庫會以隱含方式判斷您的憑證。因此，您可藉由設定環境變數，然後執行用戶端程式庫的程式碼來確認驗證是否有效，如下列範例所示。如果要求成功，即表示驗證有效。

您必須安裝 Cloud Storage 用戶端程式庫，才能執行下列範例。

C#

前往 GitHub 查看

public object AuthImplicit(string projectId)
{
    // If you don't specify credentials when constructing the client, the
    // client library will look for credentials in the environment.
    var credential = GoogleCredential.GetApplicationDefault();
    var storage = StorageClient.Create(credential);
    // Make an authenticated API request.
    var buckets = storage.ListBuckets(projectId);
    foreach (var bucket in buckets)
    {
        Console.WriteLine(bucket.Name);
    }
    return null;
}

Go

前往 GitHub 查看

// implicit uses Application Default Credentials to authenticate.
func implicit() {
	ctx := context.Background()

	// For API packages whose import path is starting with "cloud.google.com/go",
	// such as cloud.google.com/go/storage in this case, if there are no credentials
	// provided, the client library will look for credentials in the environment.
	storageClient, err := storage.NewClient(ctx)
	if err != nil {
		log.Fatal(err)
	}

	it := storageClient.Buckets(ctx, "project-id")
	for {
		bucketAttrs, err := it.Next()
		if err == iterator.Done {
			break
		}
		if err != nil {
			log.Fatal(err)
		}
		fmt.Println(bucketAttrs.Name)
	}

	// For packages whose import path is starting with "google.golang.org/api",
	// such as google.golang.org/api/cloudkms/v1, use the
	// golang.org/x/oauth2/google package as shown below.
	oauthClient, err := google.DefaultClient(ctx, cloudkms.CloudPlatformScope)
	if err != nil {
		log.Fatal(err)
	}

	kmsService, err := cloudkms.New(oauthClient)
	if err != nil {
		log.Fatal(err)
	}

	_ = kmsService
}

Java

前往 GitHub 查看

// If you don't specify credentials when constructing the client, the
// client library will look for credentials in the environment.

Storage storage = StorageOptions.getDefaultInstance().getService();

Page<Bucket> buckets = storage.list();
for (Bucket bucket : buckets.iterateAll()) {
  // do something with the info
}

Node.js

前往 GitHub 查看

// Imports the Google Cloud client library.
const {Storage} = require('@google-cloud/storage');

// Instantiates a client. If you don't specify credentials when constructing
// the client, the client library will look for credentials in the
// environment.
const storage = new Storage();

// Makes an authenticated API request.
storage
  .getBuckets()
  .then(results => {
    const buckets = results[0];

    console.log('Buckets:');
    buckets.forEach(bucket => {
      console.log(bucket.name);
    });
  })
  .catch(err => {
    console.error('ERROR:', err);
  });

PHP

前往 GitHub 查看

namespace Google\Cloud\Samples\Auth;

// Imports the Cloud Storage client library.
use Google\Cloud\Storage\StorageClient;

function auth_cloud_implicit($projectId)
{
    $config = [
        'projectId' => $projectId,
    ];

    # If you don't specify credentials when constructing the client, the
    # client library will look for credentials in the environment.
    $storage = new StorageClient($config);

    # Make an authenticated API request (listing storage buckets)
    foreach ($storage->buckets() as $bucket) {
        printf('Bucket: %s' . PHP_EOL, $bucket->name());
    }
}

Python

前往 GitHub 查看

def implicit():
    from google.cloud import storage

    # If you don't specify credentials when constructing the client, the
    # client library will look for credentials in the environment.
    storage_client = storage.Client()

    # Make an authenticated API request
    buckets = list(storage_client.list_buckets())
    print(buckets)

Ruby

前往 GitHub 查看

# project_id = "Your Google Cloud project ID"

require "google/cloud/storage"

# If you don't specify credentials when constructing the client, the client
# library will look for credentials in the environment.
storage = Google::Cloud::Storage.new project: project_id

# Make an authenticated API request
storage.buckets.each do |bucket|
  puts bucket.name
end

後續步驟

本頁內容對您是否有任何幫助？請提供意見：

上次更新：五月 23, 2019。

建立服務帳戶

GCP 主控台

指令列

設定環境變數

Linux 或 macOS

Windows

確認驗證

C#

Go

Java

Node.js

PHP

Python

Ruby

後續步驟

傳送您對下列選項的寶貴意見...