此页面由 Cloud Translation API 翻译。

向 Vision 进行身份验证

Google Cloud 服务使用 Identity and Access Management (IAM) 进行身份验证。IAM 权限和角色按主账号和资源提供精细的控制。为了使用 Vision API，安全主账号通常需要 Cloud Storage > Storage Object Viewer (roles/storage.objectViewer) 预定义 IAM 角色来发送请求。特别是，安全主账号需要此预定义角色才能发送指定 Cloud Storage 中文件的请求。

本文档介绍了如何以编程方式向 Cloud Vision 进行身份验证。如何向 Cloud Vision 进行身份验证取决于您用于访问 API 的界面以及运行代码的环境。

如需详细了解 Google Cloud 身份验证，请参阅身份验证概览。

API 访问权限

Vision 支持程序化访问。您可以通过以下方式访问 API：

客户端库
REST

客户端库

Vision 客户端库为以编程方式向 Vision 进行身份验证提供高级语言支持。为了对 Google Cloud API 的调用进行身份验证，客户端库支持应用默认凭据 (ADC)；这些库会在一组定义的位置查找凭据，并使用这些凭据对发送到 API 的请求进行身份验证。借助 ADC，您可以在各种环境（例如本地开发或生产环境）中为您的应用提供凭据，而无需修改应用代码。

REST

您可以使用 gcloud CLI 凭据或使用应用默认凭据向 Vision API 进行身份验证。如需详细了解 REST 请求身份验证，请参阅使用 REST 时进行身份验证。如需了解凭据类型，请参阅 gcloud CLI 凭据和 ADC 凭据。

Vision 的用户凭据和 ADC

向 ADC 提供凭据的一种方法是使用 gcloud CLI 将您的用户凭据插入凭据文件中。此文件位于本地文件系统上，ADC 可以找到它。然后，ADC 使用提供的用户凭据对请求进行身份验证。此方法通常用于本地开发。

如果您使用此方法，则在尝试向 Vision 进行身份验证时可能会遇到身份验证错误。如需详细了解此错误及其解决方法，请参阅用户凭据不起作用。

为 Vision 设置身份验证

设置身份验证的方式取决于代码在其中运行的环境。

以下是最常用的身份验证设置选项。如需了解有关身份验证的更多选项和信息，请参阅身份验证方法。

在完成这些说明之前，您必须完成 Vision 的基本设置，如 Cloud Vision 设置和清理中所述。

对于本地开发环境

您可以通过以下方式为本地开发环境设置凭据：

客户端库或第三方工具的用户凭据
从命令行发出的 REST 请求的用户凭据

客户端库或第三方工具

在本地环境中设置应用默认凭据 (ADC)：

Install the Google Cloud CLI, then initialize it by running the following command:
```
gcloud init
```
If you're using a local shell, then create local authentication credentials for your user account:
```
gcloud auth application-default login
```
You don't need to do this if you're using Cloud Shell.
Note: If the gcloud CLI prints a warning that your account doesn't have the serviceusage.services.use permission, then some gcloud CLI commands and client libraries might not work. Ask an administrator to grant you the Service Usage Consumer IAM role (roles/serviceusage.serviceUsageConsumer), then run the following command:
```
gcloud auth application-default set-quota-project PROJECT_ID
```
登录屏幕随即出现。在您登录后，您的凭据会存储在 ADC 使用的本地凭据文件中。

如需详细了解如何在本地环境中使用 ADC，请参阅本地开发环境。

从命令行发出的 REST 请求

从命令行发出 REST 请求时，您可以通过在发送该请求的命令中添加 gcloud auth print-access-token 来使用 gcloud CLI 凭据。

以下示例列出了指定项目的服务账号。您可以对任何 REST 请求使用相同的模式。

在使用任何请求数据之前，请先进行以下替换：

PROJECT_ID：您的 Google Cloud 项目 ID。

如需发送您的请求，请展开以下选项之一：

curl（Linux、macOS 或 Cloud Shell）

执行以下命令：

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts"

PowerShell (Windows)

执行以下命令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts" | Select-Object -Expand Content

如需详细了解如何使用 REST 和 gRPC 进行身份验证，请参阅使用 REST 时进行身份验证。如需了解本地 ADC 凭据与 gcloud CLI 凭据之间的区别，请参阅 gcloud CLI 身份验证配置和 ADC 配置。

在 Google Cloud 上

如需对 Google Cloud 上运行的工作负载进行身份验证，请使用关联到代码在其中运行的计算资源（例如 Compute Engine 虚拟机 [VM] 实例）的服务账号的凭据。对于在 Google Cloud 计算资源上运行的代码，这是首选的身份验证方法。

对于大多数服务，您必须在创建将运行代码的资源时关联服务账号；您之后无法添加或替换服务账号。Compute Engine 是一个例外，它允许您随时将服务账号关联到虚拟机实例。

使用 gcloud CLI 创建服务账号并将其关联到您的资源：

Install the Google Cloud CLI, then initialize it by running the following command:
```
gcloud init
```
Set up authentication:
1. Create the service account:
```
gcloud iam service-accounts create SERVICE_ACCOUNT_NAME
```
  Replace SERVICE_ACCOUNT_NAME with a name for the service account.
2. To provide access to your project and your resources, grant a role to the service account:
```
gcloud projects add-iam-policy-binding PROJECT_ID --member="serviceAccount:SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com" --role=ROLE
```
  Replace the following:
  - SERVICE_ACCOUNT_NAME: the name of the service account
  - PROJECT_ID: the project ID where you created the service account
  - ROLE: the role to grant
  Note: The --role flag affects which resources the service account can access in your project. You can revoke these roles or grant additional roles later. In production environments, do not grant the Owner, Editor, or Viewer roles. Instead, grant a predefined role or custom role that meets your needs.
3. To grant another role to the service account, run the command as you did in the previous step.
4. Grant the required role to the principal that will attach the service account to other resources.
```
gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com --member="user:USER_EMAIL" --role=roles/iam.serviceAccountUser
```
  Replace the following:
  - SERVICE_ACCOUNT_NAME: the name of the service account
  - PROJECT_ID: the project ID where you created the service account
  - USER_EMAIL: the email address for a Google Account
创建将运行代码的资源，并将服务账号关联到该资源。例如，如果您使用 Compute Engine：
Create a Compute Engine instance. Configure the instance as follows:
- 将 INSTANCE_NAME 替换为您偏好的实例名称。
- 将 --zone 标志设置为您要在其中创建实例的可用区。
- 将 --service-account 标志设置为您创建的服务账号的电子邮件地址。

如需详细了解如何向 Google API 进行身份验证，请参阅身份验证方法。

在本地或在其他云服务提供商上

如需在 Google Cloud 外部设置身份验证，首选方法是使用工作负载身份联合。如需了解详情，请参阅身份验证文档中的本地或其他云服务提供商。

后续步骤

了解 Google Cloud 身份验证方法。
请参阅身份验证使用场景列表。