Creare le firme

Questa pagina mostra come utilizzare il metodo signBlob di Google Cloud per creare una firma da un documento di tipo stringa-firma o di criterio. Le firme vengono utilizzate come credenziali in determinate richieste, ad esempio gli URL firmati. Questa guida utilizza le chiavi RSA per creare le firme.

Importante: le chiavi degli account di servizio gestite da Google utilizzate dal metodo signBlob vengono ruotate regolarmente. Se imposti una scadenza per una firma superiore a 12 ore e generi la firma utilizzando il metodo signBlob, la firma sarà utilizzabile per almeno 12 ore, ma potrebbe smettere di funzionare prima della scadenza a causa della rotazione della chiave. Le firme generate utilizzando il metodo signBlob sono ideali per l'accesso di breve durata alle risorse.

Prima di iniziare

1. Devi disporre dell'autorizzazione iam.serviceAccounts.signBlob per l'account di servizio che utilizzi in questa guida. L'autorizzazione iam.serviceAccounts.signBlob è inclusa nel ruolo roles/iam.serviceAccountTokenCreator.

2. L'account di servizio utilizzato in questa guida deve disporre dell'autorizzazione per eseguire la richiesta codificata all'interno della firma. Ad esempio, se la firma verrà utilizzata per leggere i dati dell'oggetto da un bucket, l'account di servizio deve disporre dell'autorizzazione per leggere i dati dell'oggetto.

Crea una firma

1. Assicurati che gcloud CLI sia installato e inizializzatoper generare un token di accesso per l'intestazione Authorization.

   In alternativa, puoi creare un token di accesso utilizzando OAuth 2.0 Playground e includerlo nell'intestazione Authorization.

2. Crea un file JSON contenente le seguenti informazioni:

   {
     "payload": "REQUEST_INFORMATION"
   }

   Dove:

   • REQUEST_INFORMATION è un string-to-sign o un documento dei criteri. Per entrambe le modalità, i contenuti devono essere codificati in base64.

3. Utilizza cURL per chiamare l'API IAM con una richiesta signBlob:

   curl -X POST --data-binary @JSON_FILE_NAME \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/SERVICE_ACCOUNT_EMAIL:signBlob"

   Dove:

   • JSON_FILE_NAME è il nome del file creato nel passaggio 2.

   • SERVICE_ACCOUNT_EMAIL è l'indirizzo email dell'account di servizio che vuoi utilizzare per creare la firma. Ad esempio, [e-mail].

Se l'esito è positivo, la firma viene restituita nel campo signedBlob della risposta.

Passaggi successivi

• Consulta la pagina di riferimento per la firma dei BLOB con Google Cloud CLI.
• Crea manualmente un URL firmato, utilizzando la firma che hai creato.
• Crea un URL firmato con gli strumenti di Google Cloud.
• Scopri di più sulle firme.