为了为服务帐户创建密钥，这个定义有什么问题？

Question

我已经实现了以下代码，但是每当我运行 Google 函数 HTTP 触发器时，我都会收到“错误：无法处理请求”错误。我检查了日志文件以查看错误（如下），但在它上面是我试图运行以获取密钥的代码。我想检索一个密钥，我可以使用它来测试它以连接到存储桶 - 这甚至可能吗？？？这是一种为某人提供密钥的方式，以便他们可以连接到存储桶并上传一些数据。我正在尝试复制 Azure 使用的 SAS，以便授予对存储帐户的访问权限。

service_account_email = 'demo@appspot.gserviceaccount.com'
    credentials = service_account.Credentials.from_service_account_file(
        filename=os.environ['GOOGLE_APPLICATION_CREDENTIALS'],
        scopes=['https://www.googleapis.com/auth/cloud-platform'])
    service = googleapiclient.discovery.build(
        'iam', 'v1', credentials=credentials)
    key = service.projects().serviceAccounts().keys().create(
        name='projects/-/serviceAccounts/' + service_account_email, body={}
        ).execute()

newrequest 6dox145ag5e0 Traceback（最近一次调用最后一次）：文件 "/env/local/lib/python3.7/site-packages/google/cloud/functions/worker_v2.py", 第 402 行，在 run_http_function 结果 = _function_handler.invoke_user_function(flask.request) 文件“/env/local/lib/python3.7/site-packages/google/cloud/functions/worker_v2.py”, 第 268 行，invoke_user_function 返回 call_user_function(request_or_event) 文件 "/env/local/lib/python3.7/site-packages/google/cloud/functions/worker_v2.py", 第 261 行，在 call_user_function 返回 self._user_function(request_or_event) 文件“/user_code/main.py”，行 33、在hello_world 文件名=os.environ['GOOGLE_APPLICATION_CREDENTIALS']，文件 “/env/lib/python3.7/os.py”，第 681 行，在 getitem 中引发 KeyError(key) from None KeyError: 'GOOGLE_APPLICATION_CREDENTIALS'

Answer 1

你可以这样做。但你不能这样做！

很多点：

• 您不能仅授予 Cloud Storage 上目录的权限。 （仅供参考，该目录不存在！它只是具有相同前缀的文件的聚合，并在 UI 中显示为这样。Cloud Storage 中有no "object" 目录）。
• 您仅限于10 keys per service account。
• 您在@appspot.gserviceaccount.com 中使用的服务帐户是 App Engine 默认服务帐户，默认情况下具有编辑者角色。很多许可，几乎可以在项目上做任何事情。如果你把它交给互联网上的某个人，它可能会破坏你的项目，甚至在带有比特币矿工的虚拟机上创建很多东西。你会付钱的！

---

正确的模式是：

• 用户使用凭据调用受保护的 Cloud Functions（如果您不知道使用什么以及如何操作，我们可以讨论这个问题）-> 不要让公开访问授予权限的函数！
• 使用 signedUrl 授予对特定 Cloud Storage 位置的访问权限，并在有限的时间内进行读取或写入操作。

---

更新 1：

要实现你想要的，你需要2个函数：

• 第一个提供signedUrl。部署您的 function in private mode --no-allow-unauthenticated（或从 Cloudfunctions.invoker 角色中删除 allUsers）。然后，当你测试时，你可以这样做curl -H "Authorization: Bearer $(gcloud auth print-access-token)" https:...。如果您使用外部工具，请使用命令gcloud auth print-access-token 生成令牌，将其复制并添加到请求的标头中。 1H有效。

• 第二个function will be triggered by Cloud Storage event。当文件被上传（最终确定）时，该函数将被调用。捕捉事件，从事件中获取文件元数据（桶名+文件路径）并存入数据库。

因为，我不知道你想对你的文件元数据做什么，所以我不能推荐一个数据库。

• 如果您有关系约束，请使用 Cloud SQL
• Firestore 是您的查询很简单（没有连接，没有复杂的过滤）
• 用于分析的 BigQuery

（有3个最实惠）