Esta página foi traduzida pela API Cloud Translation.

Autenticar no Cloud Storage

Neste documento, descrevemos como autenticar no Cloud Storage de maneira programática. A forma como você se autentica no Cloud Storage depende da interface usada para acessar a API e do ambiente em que seu código está sendo executado.

Esta página aborda a autenticação que depende de tokens OAuth 2.0. As solicitações do Cloud Storage feitas pela API XML são compatíveis com o uso de tokens OAuth 2.0 ou assinaturas no cabeçalho Authorization de uma solicitação.
Esta página aborda a autenticação que usa chaves RSA como credenciais. As solicitações do Cloud Storage feitas pela API XML oferecem suporte a chaves RSA e chaves HMAC como credenciais.

Para mais informações sobre a autenticação do Google Cloud, consulte a visão geral da autenticação.

Acesso à API

O Cloud Storage é compatível com o acesso programático. É possível acessar a API das seguintes maneiras:

Bibliotecas de cliente
CLI do Google Cloud
REST

Bibliotecas de cliente

As bibliotecas de cliente do Cloud Storage oferecem suporte de alto nível para a autenticação no Cloud Storage de forma programática. Para autenticar as chamadas feitas às APIs do Google Cloud, as bibliotecas de cliente dão suporte ao Application Default Credentials (ADC). As bibliotecas procuram credenciais em um conjunto de locais definidos e as usam para autenticar as solicitações feitas à API. Com o ADC, é possível disponibilizar credenciais ao aplicativo em uma variedade de ambientes, como de desenvolvimento ou produção local, sem precisar modificar o código do aplicativo.

Google Cloud CLI

Ao usar a gcloud CLI para acessar o Cloud Storage, você faz login na gcloud CLI com uma conta de usuário, que fornece as credenciais usadas pelos comandos da CLI gcloud.

Se as políticas de segurança da sua organização impedirem que as contas de usuário tenham as permissões necessárias, é possível usar a identidade temporária de conta de serviço.

Para mais informações, consulte Autenticar-se para usar a gcloud CLI. Para saber mais sobre como usar a CLI gcloud com o Cloud Storage, consulte as páginas de referência da CLI gcloud CLI.

REST

É possível autenticar nas APIs do Cloud Storage usando as credenciais da CLI gcloud ou o Application Default Credentials. Para mais informações sobre a autenticação para solicitações REST, consulte Autenticar-se usando REST. Para informações sobre os tipos de credenciais, consulte credenciais da CLI da gcloud e credenciais do ADC.

Credenciais de usuário e ADC para o Cloud Storage

Uma maneira de fornecer credenciais ao ADC é usar a CLI gcloud para inserir suas credenciais de usuário em um arquivo de credenciais. Esse arquivo é colocado no sistema de arquivos local e encontrado pelo ADC. Em seguida, o ADC usa as credenciais de usuário fornecidas para autenticar as solicitações. Esse método é muito usado para desenvolvimento local.

Se você usar esse método, poderá encontrar um erro de autenticação ao tentar autenticar no Cloud Storage. Para mais informações sobre esse erro e como resolvê-lo, consulte Credenciais do usuário que não funcionam.

Configurar a autenticação do Cloud Storage

A configuração da autenticação depende do ambiente em que o código está sendo executado.

As opções a seguir para configuração da autenticação são as mais usadas. Para mais opções e informações sobre autenticação, consulte Métodos de autenticação.

Para um ambiente de desenvolvimento local

É possível configurar credenciais para um ambiente de desenvolvimento local das seguintes maneiras:

Credenciais de usuário para bibliotecas de cliente ou ferramentas de terceiros
Credenciais do usuário para solicitações REST da linha de comando
Identidade temporária de conta de serviço

Bibliotecas de cliente ou ferramentas de terceiros

Configure o Application Default Credentials (ADC) no ambiente local:

Install the Google Cloud CLI, then initialize it by running the following command:
```
gcloud init
```
If you're using a local shell, then create local authentication credentials for your user account:
```
gcloud auth application-default login
```
You don't need to do this if you're using Cloud Shell.
Note: If the gcloud CLI prints a warning that your account doesn't have the serviceusage.services.use permission, then some gcloud CLI commands and client libraries might not work. Ask an administrator to grant you the Service Usage Consumer IAM role (roles/serviceusage.serviceUsageConsumer), then run the following command:
```
gcloud auth application-default set-quota-project PROJECT_ID
```
Uma tela de login será exibida. Após o login, suas credenciais são armazenadas no arquivo de credenciais local usado pelo ADC.

Para mais informações sobre como trabalhar com o ADC em um ambiente local, consulte Ambiente de desenvolvimento local.

Solicitações REST usando a linha de comando

Ao fazer uma solicitação REST usando a linha de comando, use as credenciais da CLI gcloud incluindo gcloud auth print-access-token como parte do comando que envia a solicitação.

No exemplo a seguir, listamos as contas de serviço do projeto especificado. É possível usar o mesmo padrão em qualquer solicitação REST.

Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:

PROJECT_ID pelo ID do projeto no Google Cloud.

Para enviar a solicitação, expanda uma destas opções:

curl (Linux, macOS ou Cloud Shell)

Execute o seguinte comando:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts"

PowerShell (Windows)

Execute o seguinte comando:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts" | Select-Object -Expand Content

Para mais informações sobre como autenticar usando REST e gRPC, consulte Autenticar para usar REST. Para mais informações sobre a diferença entre as credenciais locais da ADC e as credenciais da CLI da gcloud, consulte Configuração de autenticação da CLI da gcloud e configuração do ADC.

Representação da conta de serviço:

Na maioria dos casos, é possível usar as credenciais de usuário para se autenticar em um ambiente de desenvolvimento local. Se isso não for viável ou você precisar testar as permissões atribuídas a uma conta de serviço, use a identidade temporária de conta de serviço. Você precisa ter a permissão iam.serviceAccounts.getAccessToken, que é incluída no papel do IAM de Criador de tokens da conta de serviço (roles/iam.serviceAccountTokenCreator).

Configure a gcloud CLI para usar a identidade temporária de conta de serviço com o comando gcloud config set:

gcloud config set auth/impersonate_service_account SERVICE_ACCT_EMAIL

Em algumas linguagens, é possível usar a identidade temporária de conta de serviço para criar um arquivo do ADC local a ser usado pelas bibliotecas de cliente. Essa abordagem só tem suporte nas bibliotecas de cliente Go, Java, Node.js e Python. Não há suporte a ela em outras linguagens. Para configurar um arquivo do ADC local com identidade temporária de conta de serviço, use a flag --impersonate-service-account com o comando gcloud auth application-default login:

gcloud auth application-default login --impersonate-service-account=SERVICE_ACCT_EMAIL

Para mais informações sobre a identidade temporária de conta de serviço, consulte Usar a identidade temporária de conta de serviço.

No Google Cloud

Para autenticar uma carga de trabalho em execução no Google Cloud, use as credenciais da conta de serviço anexada ao recurso de computação em que seu código está sendo executado, como uma instância de máquina virtual (VM) do Compute Engine. Essa abordagem é o método de autenticação preferencial para códigos em execução em um recurso de computação do Google Cloud.

Para a maioria dos serviços, você precisa anexar a conta de serviço ao criar o recurso que executará o código. Não será possível adicionar ou substituir a conta de serviço mais tarde. O Compute Engine é uma exceção. Ele permite anexar uma conta de serviço a uma instância de VM a qualquer momento.

Use a CLI gcloud para criar uma conta de serviço e anexá-la ao recurso:

Install the Google Cloud CLI, then initialize it by running the following command:
```
gcloud init
```
Set up authentication:
1. Create the service account:
```
gcloud iam service-accounts create SERVICE_ACCOUNT_NAME
```
  Replace SERVICE_ACCOUNT_NAME with a name for the service account.
2. To provide access to your project and your resources, grant a role to the service account:
```
gcloud projects add-iam-policy-binding PROJECT_ID --member="serviceAccount:SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com" --role=ROLE
```
  Replace the following:
  - SERVICE_ACCOUNT_NAME: the name of the service account
  - PROJECT_ID: the project ID where you created the service account
  - ROLE: the role to grant
  Note: The --role flag affects which resources the service account can access in your project. You can revoke these roles or grant additional roles later. In production environments, do not grant the Owner, Editor, or Viewer roles. Instead, grant a predefined role or custom role that meets your needs.
3. To grant another role to the service account, run the command as you did in the previous step.
4. Grant the required role to the principal that will attach the service account to other resources.
```
gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com --member="user:USER_EMAIL" --role=roles/iam.serviceAccountUser
```
  Replace the following:
  - SERVICE_ACCOUNT_NAME: the name of the service account
  - PROJECT_ID: the project ID where you created the service account
  - USER_EMAIL: the email address for a Google Account
Crie o recurso que executará o código e anexe a conta de serviço a ele. Por exemplo, se você usar o Compute Engine:
Create a Compute Engine instance. Configure the instance as follows:
- Substitua INSTANCE_NAME pelo nome de instância de sua preferência.
- Defina a sinalização --zone com a zona onde será criada a instância.
- Defina a sinalização --service-account como o endereço de e-mail da conta de serviço que você criou.

Para mais informações sobre a autenticação nas APIs do Google, consulte Métodos de autenticação.

No local ou em outro provedor de nuvem

O método preferencial para configurar a autenticação de fora do Google Cloud é usar a federação de identidade da carga de trabalho. Para mais informações, consulte No local ou em outro provedor de nuvem na documentação de autenticação.

Controle de acesso do Cloud Storage

Depois de autenticar o Cloud Storage, você precisa ter autorização para acessar os recursos do Google Cloud. O Cloud Storage usa o Identity and Access Management (IAM) para autorização.

Para mais informações sobre os papéis do Cloud Storage, consulte Visão geral do controle de acesso. Para mais informações sobre o IAM e a autorização, consulte Visão geral do IAM.

A seguir

Saiba mais sobre downloads baseados em navegador usando a autenticação de cookies.
Saiba mais sobre os escopos do OAuth 2.0 do Cloud Storage.
Conheça os casos de uso de credenciais de conta de usuário
Saiba mais sobre os métodos de autenticação do Google Cloud.
Veja uma lista de casos de uso de autenticação.