이 페이지에서는 서비스 계정의 단기 사용자 인증 정보를 만들어 서비스 계정을 가장하는 방법을 설명합니다.
일부 시스템 아키텍처는 함께 사용하도록 설계된 권한 보유 서비스 계정을 중심으로 설계되었습니다. 이 경우 여러 서비스 계정에 대해 사용자 인증 정보를 만들어야 할 수 있습니다.
단기 사용자 인증 정보 만들기 정보
서비스 계정은 단기 사용자 인증 정보를 사용하여 Google Cloud API, 기타 Google API, Google 이외의 API에 대한 호출을 인증할 수 있습니다. 단기 사용자 인증 정보의 존속 기간은 몇 시간 이하로 제한되어 있습니다. 단기 서비스 계정 사용자 인증 정보는 신뢰할 수 있는 서비스 계정에 리소스에 대한 제한적 액세스 권한을 부여해야 하는 시나리오에 유용합니다. 또한 서비스 계정 키와 같은 장기 사용자 인증 정보보다 위험이 적습니다.
서비스 계정을 가장하여 다음과 같은 유형의 단기 사용자 인증 정보를 만들 수 있습니다.
-
액세스 토큰은 가장 일반적으로 사용되는 단기 토큰입니다.
-
ID 토큰은 OpenID Connect(OIDC) 사양을 따르며 제한된 수의 서비스와 애플리케이션에서 지원됩니다.
-
승인 서버에서 액세스 토큰을 가져오지 않아도 자체 서명 JWT를 사용하여 일부 Google API를 인증할 수 있습니다. API 게이트웨이로 배포된 API에는 다음이 필요합니다.
-
자체 서명 바이너리 blob
자체 서명 blob은 일반적으로 인증을 위해 임의 바이너리 데이터를 안전하게 전송해야 하는 시나리오에서 유용하게 사용됩니다.
직접 요청 흐름
직접 요청 흐름을 사용하여 서비스 계정의 단기 사용자 인증 정보를 만들면 호출자가 단기 사용자 인증 정보를 만들어 달라고 직접 요청합니다. 이 흐름에서는 ID 2개, 즉 호출자와 사용자 인증 정보를 만드는 서비스 계정이 필요합니다.
시스템 아키텍처가 제한된 권한의 서비스 계정 계층을 중심으로 설계된 경우 여러 서비스 계정에 대해 단기 사용자 인증 정보 만들기를 참조하세요.
시작하기 전에
API IAM and Service Account Credentials 사용 설정
IAM 서비스 계정 이해
아직 이해가 부족하면 빠른 시작의 다음 단계를 수행하여 결제와 IAM API를 사용 설정합니다.
필수 권한 제공
직접 요청에는 ID 2개, 즉 호출자와 사용자 인증 정보를 만드는 서비스 계정이 필요합니다. 권한 설정 방법은 호출자가 서비스 계정 또는 사용자 자격 증명을 사용하는지에 따라 달라집니다.
로컬 개발 환경에서 이 페이지의 샘플을 실행하려면 사용자 인증 정보를 사용합니다. Compute Engine에서 실행되는 애플리케이션과 같은 프로덕션 용도의 경우 서비스 계정을 사용하여 호출자를 나타냅니다.
사용자 계정에 필요한 권한 제공
Google Cloud CLI를 사용하여 단기 토큰을 생성하려는 경우 또는 로컬 개발 환경에서 단기 토큰을 생성하려는 경우 사용자 계정을 사용해서 토큰을 생성할 수 있습니다. 종종 자신의 Google 계정을 사용할 수 있습니다.
사용자 계정을 사용해서 단기 토큰을 생성할 때는 다음 ID가 포함됩니다.
호출자 Google 계정(
CALLER_ACCOUNT
)이 사용자 계정은 권한 보유 서비스 계정에 대해 단기 사용자 인증 정보를 생성하기 위해 사용됩니다.
권한 보유 서비스 계정(
PRIV_SA
)이 서비스 계정에는 단기 토큰에 필요한 IAM 역할이 부여됩니다. 이것은 단기 토큰이 생성되는 서비스 계정입니다.
CALLER_ACCOUNT
가 PRIV_SA
에 대해 단기 사용자 인증 정보를 만들 수 있게 하려면 CALLER_ACCOUNT
에 PRIV_SA
에 대한 서비스 계정 토큰 생성자 역할(roles/iam.serviceAccountTokenCreator
)을 부여합니다.
콘솔
Google Cloud 콘솔에서 서비스 계정 페이지로 이동합니다.
프로젝트를 선택합니다.
권한 보유 서비스 계정
PRIV_SA
의 이메일 주소를 클릭합니다.권한 탭을 클릭합니다.
이 서비스 계정에 대한 액세스 권한이 있는 주 구성원에서
액세스 권한 부여를 클릭합니다.호출자 Google 계정
CALLER_ACCOUNT
의 이메일 주소를 입력합니다.예를 들면
username@google.com
입니다.서비스 계정 토큰 생성자 역할(
roles/iam.serviceAccountTokenCreator
)을 선택합니다.저장을 클릭하여 사용자 계정에 역할을 부여합니다.
gcloud
PRIV_SA
에 필요한 역할을 부여합니다.
gcloud iam service-accounts add-iam-policy-binding
명령어는 서비스 계정에 역할을 부여합니다.
아래의 명령어 데이터를 사용하기 전에 다음을 바꿉니다.
-
PRIV_SA
: 토큰이 생성되는 권한 보유 서비스 계정의 이메일 주소입니다. -
CALLER_ACCOUNT
: 단기 토큰을 요청하는 데 사용 중인 사용자 계정의 이메일 주소입니다.
다음 명령어를 실행합니다.
Linux, macOS 또는 Cloud Shell
gcloud iam service-accounts add-iam-policy-binding PRIV_SA --member=user:CALLER_ACCOUNT --role=roles/iam.serviceAccountTokenCreator
Windows(PowerShell)
gcloud iam service-accounts add-iam-policy-binding PRIV_SA --member=user:CALLER_ACCOUNT --role=roles/iam.serviceAccountTokenCreator
Windows(cmd.exe)
gcloud iam service-accounts add-iam-policy-binding PRIV_SA --member=user:CALLER_ACCOUNT --role=roles/iam.serviceAccountTokenCreator
다음과 비슷한 응답이 표시됩니다.
Updated IAM policy for serviceAccount [PRIV_SA]. bindings: - members: - user:CALLER_ACCOUNT role: roles/iam.serviceAccountTokenCreator etag: BwXhCB4eyjY= version: 1
REST
먼저 PRIV_SA
의 허용 정책을 읽습니다.
serviceAccounts.getIamPolicy
메서드는 서비스 계정의 허용 정책을 가져옵니다.
요청 데이터를 사용하기 전에 다음을 바꿉니다.
PROJECT_ID
: Google Cloud 프로젝트 ID. 프로젝트 ID는my-project
같은 영숫자 문자열입니다.-
PRIV_SA
: 단기 토큰이 생성된 권한 보유 서비스 계정의 이메일 주소입니다. POLICY_VERSION
: 반환할 정책 버전입니다. 요청에는 정책 버전 3인 최신 정책 버전이 지정되어야 합니다. 자세한 내용은 정책을 가져올 때 정책 버전 지정을 참조하세요.
HTTP 메서드 및 URL:
POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy
JSON 요청 본문:
{ "options": { "requestedPolicyVersion": POLICY_VERSION } }
요청을 보내려면 다음 옵션 중 하나를 펼칩니다.
다음과 비슷한 JSON 응답이 표시됩니다.
{ "version": 1, "etag": "BwWKmjvelug=", "bindings": [ { "role": "roles/serviceAccountAdmin", "members": [ "user:admin@example.com" ] } ] }
서비스 계정에 역할을 부여하지 않은 경우 응답에 etag
값만 포함됩니다. 다음 단계에서 해당 etag
값을 포함합니다.
다음으로 CALLER_ACCOUNT
에 서비스 계정 토큰 생성자 역할을 부여하도록 허용 정책을 수정합니다(roles/iam.serviceAccountTokenCreator
).
예를 들어 이전 단계의 샘플 응답을 수정하려면 다음을 추가합니다.
{ "version": 1, "etag": "BwWKmjvelug=", "bindings": [ { "role": "roles/serviceAccountAdmin", "members": [ "user:admin@example.com" ] }, { "role": "roles/iam.serviceAccountTokenCreator", "members": [ "user:CALLER_ACCOUNT" ] } ] }
마지막으로 업데이트된 허용 정책을 작성합니다.
serviceAccounts.setIamPolicy
메서드는 서비스 계정의 업데이트된 허용 정책을 설정합니다.
요청 데이터를 사용하기 전에 다음을 바꿉니다.
PROJECT_ID
: Google Cloud 프로젝트 ID. 프로젝트 ID는my-project
같은 영숫자 문자열입니다.-
PRIV_SA
: 단기 토큰이 생성된 권한 보유 서비스 계정의 이메일 주소입니다. POLICY_VERSION
: 반환할 정책 버전입니다. 요청에는 정책 버전 3인 최신 정책 버전이 지정되어야 합니다. 자세한 내용은 정책을 가져올 때 정책 버전 지정을 참조하세요.-
POLICY
: 설정하려는 정책의 JSON 표현입니다. 정책 형식에 대한 자세한 내용은 정책 참조를 확인하세요.예를 들어 이전 단계에 표시된 허용 정책을 설정하려면
POLICY
를 다음으로 바꿉니다. 여기서CALLER_ACCOUNT
는 단기 토큰을 만드는 사용자 계정입니다.{ "version": 1, "etag": "BwWKmjvelug=", "bindings": [ { "role": "roles/serviceAccountAdmin", "members": [ "user:admin@example.com" ] }, { "role": "roles/iam.serviceAccountTokenCreator", "members": [ "user:CALLER_ACCOUNT" ] } ] }
HTTP 메서드 및 URL:
POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA
JSON 요청 본문:
{ "policy": POLICY }
요청을 보내려면 다음 옵션 중 하나를 펼칩니다.
응답에는 업데이트된 허용 정책이 포함됩니다.
서비스 계정에 필요한 권한 제공
호출 애플리케이션에 서비스 계정이 ID로 사용되는 경우 다음 주 구성원이 포함됩니다.
호출자 서비스 계정(
CALLER_SA
)이 서비스 계정은 단기 사용자 인증 정보 요청을 발급하는 호출 애플리케이션을 나타냅니다.
권한 보유 서비스 계정(
PRIV_SA
)이 서비스 계정에는 단기 토큰에 필요한 IAM 역할이 부여됩니다. 이것은 단기 토큰이 생성되는 서비스 계정입니다.
CALLER_SA
에 PRIV_SA
에 대한 단기 사용자 인증 정보를 만들 수 있는 권한을 부여하려면 CALLER_SA
에 PRIV_SA
에 대한 서비스 계정 토큰 생성자 역할(roles/iam.serviceAccountTokenCreator
)을 부여합니다.
콘솔
Google Cloud 콘솔에서 서비스 계정 페이지로 이동합니다.
프로젝트를 선택합니다.
권한 보유 서비스 계정
PRIV_SA
의 이메일 주소를 클릭합니다.권한 탭을 클릭합니다.
이 서비스 계정에 대한 액세스 권한이 있는 주 구성원에서
액세스 권한 부여를 클릭합니다.호출자 서비스 계정의 이메일 주소(
CALLER_SA
)를 입력합니다.예를 들면
demo@my-project.iam.gserviceaccount.com
입니다.서비스 계정 토큰 생성자 역할(
roles/iam.serviceAccountTokenCreator
)을 선택합니다.저장을 클릭하여 서비스 계정에 역할을 부여합니다.
gcloud
PRIV_SA
에 필요한 역할을 부여합니다.
gcloud iam service-accounts add-iam-policy-binding
명령어는 서비스 계정에 역할을 부여합니다.
아래의 명령어 데이터를 사용하기 전에 다음을 바꿉니다.
-
PRIV_SA
: 토큰이 생성되는 권한 보유 서비스 계정의 이메일 주소입니다. -
CALLER_SA
: 단기 토큰을 요청 중인 애플리케이션을 나타내는 서비스 계정의 이메일 주소입니다.
다음 명령어를 실행합니다.
Linux, macOS 또는 Cloud Shell
gcloud iam service-accounts add-iam-policy-binding PRIV_SA --member=serviceAccount:CALLER_SA --role=roles/iam.serviceAccountTokenCreator
Windows(PowerShell)
gcloud iam service-accounts add-iam-policy-binding PRIV_SA --member=serviceAccount:CALLER_SA --role=roles/iam.serviceAccountTokenCreator
Windows(cmd.exe)
gcloud iam service-accounts add-iam-policy-binding PRIV_SA --member=serviceAccount:CALLER_SA --role=roles/iam.serviceAccountTokenCreator
다음과 비슷한 응답이 표시됩니다.
Updated IAM policy for serviceAccount [PRIV_SA]. bindings: - members: - serviceAccount:CALLER_SA role: roles/iam.serviceAccountTokenCreator etag: BwXhCB4eyjY= version: 1
REST
먼저 PRIV_SA
의 허용 정책을 읽습니다.
serviceAccounts.getIamPolicy
메서드는 서비스 계정의 허용 정책을 가져옵니다.
요청 데이터를 사용하기 전에 다음을 바꿉니다.
PROJECT_ID
: Google Cloud 프로젝트 ID. 프로젝트 ID는my-project
같은 영숫자 문자열입니다.-
PRIV_SA
: 단기 토큰이 생성된 권한 보유 서비스 계정의 이메일 주소입니다. POLICY_VERSION
: 반환할 정책 버전입니다. 요청에는 정책 버전 3인 최신 정책 버전이 지정되어야 합니다. 자세한 내용은 정책을 가져올 때 정책 버전 지정을 참조하세요.
HTTP 메서드 및 URL:
POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy
JSON 요청 본문:
{ "options": { "requestedPolicyVersion": POLICY_VERSION } }
요청을 보내려면 다음 옵션 중 하나를 펼칩니다.
다음과 비슷한 JSON 응답이 표시됩니다.
{ "version": 1, "etag": "BwWKmjvelug=", "bindings": [ { "role": "roles/serviceAccountAdmin", "members": [ "user:admin@example.com" ] } ] }
서비스 계정에 역할을 부여하지 않은 경우 응답에 etag
값만 포함됩니다. 다음 단계에서 해당 etag
값을 포함합니다.
다음으로 CALLER_SA
에 서비스 계정 토큰 생성자 역할(roles/iam.serviceAccountTokenCreator
)을 부여하도록 허용 정책을 수정합니다.
예를 들어 이전 단계의 샘플 응답을 수정하려면 다음을 추가합니다.
{ "version": 1, "etag": "BwWKmjvelug=", "bindings": [ { "role": "roles/serviceAccountAdmin", "members": [ "user:admin@example.com" ] }, { "role": "roles/iam.serviceAccountTokenCreator", "members": [ "serviceAccount:CALLER_SA" ] } ] }
마지막으로 업데이트된 허용 정책을 작성합니다.
serviceAccounts.setIamPolicy
메서드는 서비스 계정의 업데이트된 허용 정책을 설정합니다.
요청 데이터를 사용하기 전에 다음을 바꿉니다.
PROJECT_ID
: Google Cloud 프로젝트 ID. 프로젝트 ID는my-project
같은 영숫자 문자열입니다.-
PRIV_SA
: 단기 토큰이 생성된 권한 보유 서비스 계정의 이메일 주소입니다. POLICY_VERSION
: 반환할 정책 버전입니다. 요청에는 정책 버전 3인 최신 정책 버전이 지정되어야 합니다. 자세한 내용은 정책을 가져올 때 정책 버전 지정을 참조하세요.-
POLICY
: 설정하려는 정책의 JSON 표현입니다. 정책 형식에 대한 자세한 내용은 정책 참조를 확인하세요.예를 들어 이전 단계에 표시된 허용 정책을 설정하려면
POLICY
를 다음으로 바꿉니다. 여기서CALLER_SA
는 단기 토큰을 만드는 서비스 계정입니다.{ "version": 1, "etag": "BwWKmjvelug=", "bindings": [ { "role": "roles/serviceAccountAdmin", "members": [ "user:admin@example.com" ] }, { "role": "roles/iam.serviceAccountTokenCreator", "members": [ "serviceAccount:CALLER_SA" ] } ] }
HTTP 메서드 및 URL:
POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA
JSON 요청 본문:
{ "policy": POLICY }
요청을 보내려면 다음 옵션 중 하나를 펼칩니다.
응답에는 업데이트된 허용 정책이 포함됩니다.
단기 사용자 인증 정보 요청
각 ID에 적절한 역할을 부여했으면 원하는 서비스 계정에 단기 사용자 인증 정보를 요청할 수 있습니다. 지원되는 사용자 인증 정보 유형은 다음과 같습니다.
이 섹션의 샘플에서는 사용자 계정을 사용해야 합니다.
OAuth 2.0 액세스 토큰 생성
gcloud CLI, REST API, Cloud 클라이언트 라이브러리 및 Google API 클라이언트 라이브러리를 사용하여 OAuth 2.0 액세스 토큰을 생성할 수 있습니다.
REST API를 사용하고 시스템이 확장된 토큰 수명을 허용하도록 구성된 경우 기본값보다 긴 수명의 토큰을 만들 수 있습니다. Google Cloud CLI는 토큰 수명 설정을 지원하지 않습니다.
아래 샘플은 로컬 개발 환경에 사용하도록 설계되었습니다. 호출자는 서비스 계정 대신 사용자 계정으로 표시되어야 합니다.
권한 보유 서비스 계정에 대해 OAuth 2.0 액세스 토큰을 생성하려면 다음 안내를 따르세요.
gcloud
Google Cloud CLI에 호출자 Google 계정으로 로그인합니다.
gcloud auth login CALLER_ACCOUNT
권한 보유 서비스 계정을 가장하여 토큰을 생성합니다.
gcloud auth print-access-token
명령어는 서비스 계정에 대해 OAuth 2.0 액세스 토큰을 생성합니다.아래의 명령어 데이터를 사용하기 전에 다음을 바꿉니다.
-
PRIV_SA
: 단기 토큰이 생성된 권한 보유 서비스 계정의 이메일 주소입니다.
다음 명령어를 실행합니다.
Linux, macOS 또는 Cloud Shell
gcloud auth print-access-token --impersonate-service-account=PRIV_SA
Windows(PowerShell)
gcloud auth print-access-token --impersonate-service-account=PRIV_SA
Windows(cmd.exe)
gcloud auth print-access-token --impersonate-service-account=PRIV_SA
다음과 비슷한 응답이 표시됩니다.
WARNING: This command is using service account impersonation. All API calls will be executed as [my-sa@my-project.iam.gserviceaccount.com]. ya29.c.b0AXv0zTPnzTnDV8F8Aj5Fgy46Yf2v_v8eZIoKq7xGpfbpXuy23aQ1693m3gAuE8AZga7w6kdagN7a9bfdDYbdeoGY0CMHOClsCwIdutL7k_RFC672lOCbUgF5hS8Iu2nCA8hle-11LJXBLmaxFmH08ZTBJLuDrWSNd8cYqGYFunSC1K1qLIPBF18tsa0hxVgKPucI8b1A9L8_MK1JGLGcr0n7-zY77_lmbcdODG3NmIbLOGWOutjJgqSO_YoeCKK2QTUZIp5PG7RkKlXWnmYJA9pEahzNoQrs5sWZctc2bia9af_ITzqqlXC9h1Kj5-me6e8rd734MJvpagqYazRk0gGWpMb03XmMGpgPc_FBp4pnX9rGOzW83SNpcDz8zeFO1Q0Bo3N7CuZougjRce0y8I2_4rtw5ME_nV3wrCWa..................................................................................................................................................................................................................................................................................................
-
REST
Service Account Credentials API의 serviceAccounts.generateAccessToken
메서드는 서비스 계정의 OAuth 2.0 액세스 토큰을 생성합니다.
요청 데이터를 사용하기 전에 다음을 바꿉니다.
-
PRIV_SA
: 단기 토큰이 생성된 권한 보유 서비스 계정의 이메일 주소입니다. -
LIFETIME
: 액세스 토큰이 만료될 때까지의 시간(초)입니다. 예를 들면300s
입니다.기본적으로 토큰 최대 수명은 1시간(3,600초)입니다. 이 토큰의 최대 수명을 12시간(43,200초)까지 연장하려면
constraints/iam.allowServiceAccountCredentialLifetimeExtension
목록 제약조건이 포함된 조직 정책에 서비스 계정을 추가합니다.
HTTP 메서드 및 URL:
POST https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/PRIV_SA:generateAccessToken
JSON 요청 본문:
{ "scope": [ "https://www.googleapis.com/auth/cloud-platform" ], "lifetime": "LIFETIME" }
요청을 보내려면 다음 옵션 중 하나를 펼칩니다.
generateAccessToken
요청이 성공하면 응답 본문에 OAuth 2.0 액세스 토큰과 만료 시간이 포함됩니다. 이후 accessToken
은 expireTime
에 도달할 때까지 서비스 계정 대신 요청을 인증하는 데 사용할 수 있습니다.
{ "accessToken": "eyJ0eXAi...NiJ9", "expireTime": "2020-04-07T15:01:23.045123456Z" }
OpenID Connect ID 토큰 생성
gcloud CLI, REST API, Cloud 클라이언트 라이브러리 및 Google API 클라이언트 라이브러리를 사용하여 OpenID Connect(OIDC) ID 토큰을 생성할 수 있습니다.
아래 샘플은 로컬 개발 환경에 사용하도록 설계되었습니다. 호출자는 서비스 계정 대신 사용자 계정으로 표시되어야 합니다.
OIDC ID 토큰은 1시간(3,600초) 동안 유효합니다.
권한 보유 서비스 계정에 대해 Google에서 서명된 OIDC ID 토큰을 생성하려면 다음 안내를 따르세요.
gcloud
Google Cloud CLI에 호출자 Google 계정으로 로그인합니다.
gcloud auth login CALLER_ACCOUNT
권한 보유 서비스 계정을 가장하여 토큰을 생성합니다.
gcloud auth print-identity-token
명령어는 서비스 계정에 대해 OIDC ID 토큰을 생성합니다.아래의 명령어 데이터를 사용하기 전에 다음을 바꿉니다.
-
PRIV_SA
: 단기 토큰이 생성된 권한 보유 서비스 계정의 이메일 주소입니다. -
AUDIENCE_NAME
: 토큰의 대상이며, 일반적으로 토큰이 액세스하는 데 사용될 애플리케이션 또는 서비스의 URL입니다.
다음 명령어를 실행합니다.
Linux, macOS 또는 Cloud Shell
gcloud auth print-identity-token --impersonate-service-account=PRIV_SA --audiences="AUDIENCE_NAME"
Windows(PowerShell)
gcloud auth print-identity-token --impersonate-service-account=PRIV_SA --audiences="AUDIENCE_NAME"
Windows(cmd.exe)
gcloud auth print-identity-token --impersonate-service-account=PRIV_SA --audiences="AUDIENCE_NAME"
다음과 비슷한 응답이 표시됩니다.
WARNING: This command is using service account impersonation. All API calls will be executed as [my-sa@my-project.iam.gserviceaccount.com]. eyJhbGciOiJSUzI1NiIsImtpZDNhMDg4ZDRmZmMjJkYTVmZTM5MDZjY2MiLCJ0eXAiOiJKV1QifQ.eyJhdWQiOiJ3d3cuZXhhbXBsJhenAiOiIxMTYzwNDYyMDk0ODIiLCJleHAiOjE2NTQ4ODU0MzEsImlhdCI6MTY1NDg4MTgzMSwiaXN6Ly9hY2NvdW50cy5nb29nbGUuY29tIiwic3ViIMDQ2MjA5NDgyIn0.F7mu8IHj5VQdu7ItFrnYAKyGd7YqXuOP_rFLc98q8BaFBycAF1zAQnSnwqnSUXba0UK9PDT_-IOry68qLwBObz4XlX9lk0ehpN0O0W9FcFToKLB6wefXXPd4h7xtuPe5KzmpSOqj2Qqv34HriGw00Nqd-oGSgNY_lZ4wGEf4rT4oQa_kEcrY57Q2G6pwd769BhgeFwoLi5aK_Cv2kvf_zfMszC-xlkP9zwWQ8XinJBwe-qcQBa4NTgrbueNtXsEjccBS366zmw
-
REST
Service Account Credentials API의 serviceAccounts.generateIdToken
메서드는 서비스 계정의 OIDC ID 토큰을 생성합니다.
요청 데이터를 사용하기 전에 다음을 바꿉니다.
-
PRIV_SA
: 단기 토큰이 생성된 권한 보유 서비스 계정의 이메일 주소입니다. -
AUDIENCE_NAME
: 토큰의 대상이며, 일반적으로 토큰이 액세스하는 데 사용될 애플리케이션 또는 서비스의 URL입니다.
HTTP 메서드 및 URL:
POST https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/PRIV_SA:generateIdToken
JSON 요청 본문:
{ "audience": "AUDIENCE_NAME", "includeEmail": "true" }
요청을 보내려면 다음 옵션 중 하나를 펼칩니다.
generateId
요청이 성공하면 다음과 같이 응답 본문에 1시간 동안 유효한 ID 토큰이 포함됩니다. 이후 token
은 서비스 계정 대신 요청을 인증하는 데 사용할 수 있습니다.
{ "token": "eyJ0eXAi...NiJ9" }
자체 서명 JSON 웹 토큰(JWT) 생성
자체 서명 JSON 웹 토큰(JWT)은 다음과 같은 다양한 시나리오에서 유용합니다.
- Google의 인증 가이드에서 설명하는 대로 Google API 호출을 인증하는 시나리오
- App Engine에서 실행되는 애플리케이션과 같이 Google Cloud 또는 Google 이외 서비스 사이에 안전하게 통신하는 시나리오. 이 시나리오에서는 특정 애플리케이션이 다른 애플리케이션에서 인증 목적으로 확인할 수 있는 토큰에 서명할 수 있습니다.
- 사용자, 계정 또는 기기에 관한 임의 클레임이 포함된 JWT에 서명하여 서비스 계정을 ID 공급업체로 처리하는 시나리오
아래 샘플을 실행하려면 사용자 계정을 호출자 사용자 인증 정보로 사용해야 합니다.
권한 보유 서비스 계정에 대해 자체 서명된 JWT를 생성하려면 다음 안내를 따르세요.
REST
Service Account Credentials API의 serviceAccounts.signJwt
메서드는 서비스 계정의 시스템 관리 비공개 키를 사용하여 JWT에 서명합니다.
요청 데이터를 사용하기 전에 다음을 바꿉니다.
-
PRIV_SA
: 단기 토큰이 생성된 권한 보유 서비스 계정의 이메일 주소입니다. -
JWT_PAYLOAD
: 서명할 JWT 페이로드로, JWT 클레임 집합이 저장되는 JSON 객체이기도 합니다. 원하는 사용 사례에 필요하고 호출 중인 서비스의 검증 요구사항을 충족하는 클레임을 포함합니다. Google API를 호출하는 경우 클레임 요건은 Google의 인증 가이드를 참조하세요.exp
(만료 시간) 클레임은 향후 12시간을 초과할 수 없습니다. Google API를 호출하는 경우exp
클레임은 향후 1시간 이하로 설정해야 합니다.다음 페이로드 예시에는 Google API를 호출하는 클레임이 포함되어 있습니다. 여기서
EXP
는 만료 시간을 나타내는 정수 타임스탬프입니다.{ \"iss\": \"PRIV_SA", \"sub\": \"PRIV_SA\", \"aud\": \"https://firestore.googleapis.com/\", \"iat\": 1529350000, \"exp\": EXP }
HTTP 메서드 및 URL:
POST https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/PRIV_SA:signJwt
JSON 요청 본문:
{ "payload": "JWT_PAYLOAD" }
요청을 보내려면 다음 옵션 중 하나를 펼칩니다.
signJwt
요청이 성공하면 다음과 같이 응답 본문에 서명된 JWT와 JWT에 서명할 때 사용된 서명 키 ID가 포함됩니다. signedJwt
값을 Bearer 토큰으로 사용하여 서비스 계정 대신 요청을 직접 인증할 수 있습니다. 토큰은 요청에서 지정한 만료 시간까지만 유효합니다.
{ "keyId": "42ba1e...fc0a", "signedJwt": "eyJ0eXAi...NiJ9" }
자체 서명 blob 생성
아래 샘플을 실행하려면 사용자 계정을 호출자 사용자 인증 정보로 사용해야 합니다.
권한 보유 서비스 계정에 대해 자체 서명 blob을 생성하려면 다음 안내를 따르세요.
REST
Service Account Credentials API의 serviceAccounts.signBlob
메서드는 서비스 계정의 시스템 관리 비공개 키를 사용하여 blob에 서명합니다.
요청 데이터를 사용하기 전에 다음을 바꿉니다.
-
PRIV_SA
: 단기 토큰이 생성된 권한 보유 서비스 계정의 이메일 주소입니다. -
BLOB_PAYLOAD
: 바이트 단위의 base64 인코딩 문자열입니다. 예를 들면VGhlIHF1aWNrIGJyb3duIGZveCBqdW1wZWQgb3ZlciB0aGUgbGF6eSBkb2cu
입니다.
HTTP 메서드 및 URL:
POST https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/PRIV_SA:signBlob
JSON 요청 본문:
{ "payload": "BLOB_PAYLOAD" }
요청을 보내려면 다음 옵션 중 하나를 펼칩니다.
signBlob
요청이 성공하면 다음과 같이 응답 본문에 서명된 blob과 blob에 서명할 때 사용된 서명 키 ID가 포함됩니다. signedBlob
값을 Bearer 토큰으로 사용하여 서비스 계정 대신 요청을 직접 인증할 수 있습니다. 토큰은 서비스 계정의 시스템 관리 비공개 키가 만료될 때까지 유효합니다. 이 키의 ID는 응답의 keyId
필드 값입니다.
{ "keyId": "42ba1e...fc0a", "signedBlob": "eyJ0eXAi...NiJ9" }