Creare le firme

Questa pagina mostra come utilizzare il metodo signBlob di Google Cloud per creare una firma da un documento di norme o "stringa per la firma". Le firme vengono utilizzate come credenziali in alcune richieste, ad esempio gli URL firmati. Questa guida utilizza le chiavi RSA per creare le firme.

Importante: le chiavi degli account di servizio gestite da Google utilizzate dal metodo signBlob vengono ruotate regolarmente. Se imposti una scadenza per una firma che supera le 12 ore e genera la firma utilizzando il metodo signBlob, la firma può essere usata per almeno 12 ore, ma potrebbe smettere di funzionare prima del a causa della rotazione della chiave. Le firme generate utilizzando il metodo signBlob sono ideali per l'accesso temporaneo alle risorse.

Prima di iniziare

1. Enable the Service Account Credentials API.

   Enable the API

2. Devi disporre dell'autorizzazione iam.serviceAccounts.signBlob per l'account di servizio utilizzato in questa guida. L'autorizzazione iam.serviceAccounts.signBlob è inclusa nel ruolo roles/iam.serviceAccountTokenCreator.

3. L'account di servizio che utilizzi in questa guida deve disporre dell'autorizzazione per eseguire la richiesta codificata nella firma. Ad esempio, se verrà utilizzata per leggere i dati degli oggetti da un bucket, deve disporre dell'autorizzazione per leggere i dati dell'oggetto.

Crea una firma

1. Avere installato e inizializzato l'interfaccia a riga di comando gcloud, che consente di generare un token di accesso per l'intestazione Authorization.

2. Crea un file JSON contenente le seguenti informazioni:

   {
     "payload": "REQUEST_INFORMATION"
   }

   Dove:

   • REQUEST_INFORMATION è una stringa da firmare o un documento relativo alle norme. Per entrambi, i contenuti devono essere codificati in base64.

3. Utilizza cURL per chiamare l'API IAM con una richiesta signBlob:

   curl -X POST --data-binary @JSON_FILE_NAME \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/SERVICE_ACCOUNT_EMAIL:signBlob"

   Dove:

   • JSON_FILE_NAME è il nome del file che hai creato nel passaggio 2.

   • SERVICE_ACCOUNT_EMAIL è l'indirizzo email del l'account di servizio che vuoi utilizzare per creare la firma. Ad esempio, [e-mail].

In caso di esito positivo, la firma viene restituita nel campo signedBlob della risposta.

Passaggi successivi

• Consulta la pagina di riferimento per la firma dei BLOB con Google Cloud CLI.
• Crea un URL firmato manualmente utilizzando la firma che hai creato.
• Crea un URL firmato con gli strumenti di Google Cloud.
• Scopri di più sulle firme.