向 Pub/Sub Lite 进行身份验证

本文档介绍如何以编程方式向 Pub/Sub Lite 进行身份验证。如何向 Pub/Sub Lite 进行身份验证,取决于您用于访问 API 的接口以及代码的运行环境。

如需详细了解 Google Cloud 身份验证,请参阅身份验证概览

API 访问权限

Pub/Sub Lite 支持程序化访问。您可以通过以下方式访问该 API:

客户端库

Pub/Sub Lite 客户端库为以编程方式向 Pub/Sub Lite 进行身份验证提供高级语言支持。为了对 Google Cloud API 的调用进行身份验证,客户端库支持应用默认凭据 (ADC);这些库会在一组定义的位置查找凭据,并使用这些凭据对发送到 API 的请求进行身份验证。借助 ADC,您可以在各种环境(例如本地开发或生产环境)中为您的应用提供凭据,而无需修改应用代码。

Google Cloud CLI

使用 gcloud CLI 访问 Pub/Sub Lite 时,您可以使用 Google 帐号登录 gcloud CLI,该帐号会提供 gcloud CLI 命令使用的凭据。

如果您的组织的安全政策阻止用户账号获取所需的权限,您可以使用服务账号模拟

如需了解详情,请参阅使用 gcloud CLI 时进行身份验证。如需详细了解如何将 gcloud CLI 与 Pub/Sub Lite 搭配使用,请参阅 gcloud CLI 参考页面

REST

您可以使用 gcloud CLI 凭据或使用应用默认凭据Pub/Sub LiteAPI 进行身份验证。如需详细了解 REST 请求身份验证,请参阅使用 REST 时进行身份验证。如需了解凭据类型,请参阅 gcloud CLI 凭据和 ADC 凭据

为 Pub/Sub Lite 设置身份验证

设置身份验证的方式取决于代码在其中运行的环境。

以下是最常用的身份验证设置选项。如需了解有关身份验证的更多选项和信息,请参阅在 Google 进行身份验证

对于本地开发环境

您可以通过以下方式为本地开发环境设置凭据:

客户端库或第三方工具

在本地环境中设置应用默认凭据 (ADC)

  1. 安装 Google Cloud CLI,然后通过运行以下命令初始化 Google Cloud CLI:

    gcloud init
  2. 为您的 Google 账号创建本地身份验证凭据:

    gcloud auth application-default login

    系统会显示登录屏幕。在您登录后,您的凭据会存储在 ADC 使用的本地凭据文件中。

如需详细了解如何在本地环境中使用 ADC,请参阅本地开发环境

从命令行发出的 REST 请求

使用命令行发出 REST 请求时,您可以在发送请求的命令中添加 gcloud auth print-access-token,以使用 gcloud CLI 凭据。

以下示例列出了指定项目的服务账号。您可以对任何 REST 请求使用相同的模式。

在使用任何请求数据之前,请先进行以下替换:

  • PROJECT_ID:您的 Google Cloud 项目 ID。

如需发送您的请求,请展开以下选项之一:

 

如需详细了解如何使用 REST 和 gRPC 进行身份验证,请参阅使用 REST 时进行身份验证。如需了解本地 ADC 凭据与 gcloud CLI 凭据之间的区别,请参阅 gcloud CLI 凭据和 ADC 凭据

在 Google Cloud 上

如需对 Google Cloud 上运行的工作负载进行身份验证,请使用关联到代码在其中运行的计算资源的服务账号的凭据。例如,您可以将服务账号关联到 Compute Engine 虚拟机 (VM) 实例Cloud Run 服务Dataflow 作业。对于在 Google Cloud 计算资源上运行的代码,这是首选的身份验证方法。

对于大多数服务,您必须在创建将运行代码的资源时关联服务账号;您之后无法添加或替换服务账号。Compute Engine 是一个例外,它允许您随时将服务账号关联到虚拟机实例。

使用 gcloud CLI 创建服务账号并将其关联到您的资源:

  1. 安装 Google Cloud CLI,然后通过运行以下命令初始化 Google Cloud CLI:

    gcloud init
  2. 设置身份验证:

    1. 创建服务帐号:

      gcloud iam service-accounts create SERVICE_ACCOUNT_NAME

      SERVICE_ACCOUNT_NAME 替换为服务帐号的名称。

    2. 如需提供对项目和资源的访问权限,请向服务帐号授予角色:

      gcloud projects add-iam-policy-binding PROJECT_ID --member="serviceAccount:SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com" --role=ROLE

      请替换以下内容:

      • SERVICE_ACCOUNT_NAME:服务帐号的名称
      • PROJECT_ID:您在其中创建服务帐号的项目的 ID
      • ROLE:要授予的角色
    3. 要向服务帐号授予其他角色,请按照上一步中的说明运行命令。
    4. 为您的 Google 帐号授予一个可让您使用服务帐号的角色并将服务帐号关联到其他资源的角色:

      gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com --member="user:USER_EMAIL" --role=roles/iam.serviceAccountUser

      替换以下内容:

      • SERVICE_ACCOUNT_NAME:服务帐号的名称
      • PROJECT_ID:您在其中创建服务帐号的项目的 ID
      • USER_EMAIL:您的 Google 帐号的电子邮件地址
  3. 创建将运行代码的资源,并将服务账号关联到该资源。例如,如果您使用 Compute Engine:

    创建 Compute Engine 实例。按如下所示的方式配置实例:
    • INSTANCE_NAME 替换为您偏好的实例名称。
    • --zone 标志设置为您要在其中创建实例的可用区
    • --service-account 标志设置为您创建的服务账号的电子邮件地址。
    gcloud compute instances create INSTANCE_NAME --zone=ZONE --service-account=SERVICE_ACCOUNT_EMAIL

如需详细了解如何向 Google API 进行身份验证,请参阅在 Google 进行身份验证

在本地或在其他云服务提供商上

如需在 Google Cloud 外部设置身份验证,首选方法是使用工作负载身份联合。如需了解详情,请参阅身份验证文档中的本地或其他云服务提供商

Pub/Sub Lite 的访问权限控制

向 Pub/Sub Lite 进行身份验证后,您必须有权访问 Google Cloud 资源。Pub/Sub Lite 使用 Identity and Access Management (IAM) 进行授权。

如需详细了解 Pub/Sub Lite 的角色,请参阅使用 IAM 进行访问权限控制。如需详细了解 IAM 和授权,请参阅 IAM 概览

后续步骤