Crear firmas

En esta página, se muestra cómo usar el método signBlob de Google Cloud con el objetivo de crear una firma de una cadena para firmar o documento de políticas. Las firmas se usan como credenciales en ciertas solicitudes, como las URLs firmadas. En esta guía, se usan claves RSA para crear firmas.

Importante: Las claves de la cuenta de servicio administradas por Google que usa el método signBlob se rotan con regularidad. Si configuras un plazo de vencimiento para una firma superior a 12 horas, y generas la firma con el método signBlob, la firma se puede usar por al menos 12 horas, pero puede dejar de funcionar antes de la fecha de vencimiento debido a la rotación de claves. Las firmas generadas con el método signBlob son más adecuadas para el acceso a los recursos de corta duración.

Antes de comenzar

1. Enable the Service Account Credentials API.

   Enable the API

2. Debes tener el permiso iam.serviceAccounts.signBlob para la cuenta de servicio que usas en esta guía. Este permiso iam.serviceAccounts.signBlob se incluye en el rol roles/iam.serviceAccountTokenCreator.

3. La cuenta de servicio que uses en esta guía debe tener permiso para realizar la solicitud codificada dentro de la firma. Por ejemplo, si se usará la firma para leer datos de un bucket, la cuenta de servicio debe tener permiso para leer los datos del objeto.

Crea una firma

1. Tener la gcloud CLI instalada e inicializada, lo que te permite generar un token de acceso para el encabezado Authorization.

2. Crea un archivo JSON que contenga la siguiente información:

   {
     "payload": "REQUEST_INFORMATION"
   }

   Aquí:

   • REQUEST_INFORMATION es una cadena para firmar o un documento de políticas. Para ambos, el contenido debe estar codificado en base64.

3. Usa cURL para llamar a la API de IAM con una solicitud signBlob:

   curl -X POST --data-binary @JSON_FILE_NAME \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/SERVICE_ACCOUNT_EMAIL:signBlob"

   Aquí:

   • JSON_FILE_NAME es el nombre del archivo que creaste en el paso 2.

   • SERVICE_ACCOUNT_EMAIL es la dirección de correo electrónico de la cuenta de servicio que deseas usar para crear la firma. Por ejemplo, [e-mail]

Si se ejecuta de forma correcta, la firma se muestra en el campo signedBlob de la respuesta.

¿Qué sigue?

• Consulta la página de referencia para firmar BLOB con Google Cloud CLI.
• Crea una URL firmada de forma manual con la firma que creaste.
• Crea una URL firmada con las herramientas de Google Cloud.
• Obtén más información acerca de las firmas.