Google Cloud Platform - 云功能 API - 401 未经授权

Question

我正在努力使用 Java 通过 REST API 调用 GCP 云功能。

我执行的步骤是：

• 创建角色为“Cloud Functions Invoker”的服务帐号
• 为新创建的服务帐号下载 JSON 密钥文件
• 在我的代码中，使用以下方法获取访问令牌：

private String getAuthToken() {
  File credentialsPath = new File(PATH_TO_JSON_KEY_FILE);

  GoogleCredentials credentials;
  try (FileInputStream serviceAccountStream = new FileInputStream(credentialsPath)) {
    credentials = ServiceAccountCredentials.fromStream(serviceAccountStream);
    return credentials
           .createScoped(Lists.newArrayList("https://www.googleapis.com/auth/cloud-platform"))
           .refreshAccessToken()
           .getTokenValue();
  } catch (IOException e) {
    throw new RuntimeException("Action could not be performed");
  }
}

• 使用创建的令牌执行 REST 调用：

public <Payload, Response> ResponseEntity<Response> callCloudFunction(
    String endpoint,
    Payload payload,
    Class<Response> klazz
) {
  RestTemplate restTemplate = new RestTemplate();
  HttpHeaders headers = new HttpHeaders();
  headers.setAccept(Collections.singletonList(MediaType.APPLICATION_JSON));
  headers.setContentType(MediaType.APPLICATION_JSON);
  String url = gCloudUrl + endpoint;
  String token = getAuthToken();
  String payloadString = null;

  if (payload != null) {
    try {
      ObjectMapper objectMapper = new ObjectMapper();
      payloadString = objectMapper.writeValueAsString(payload);
    } catch (JsonProcessingException e) {
      System.out.println(e.getMessage());
      throw new RuntimeException("Could not perform action");
    }
  }

  headers.add("Authorization", String.format("Bearer %s", token));
  HttpEntity<String> entity = new HttpEntity<>(payloadString, headers);

  return restTemplate.exchange(url, HttpMethod.POST, entity, klazz);
}

实现看起来不错，但作为响应，我得到 401 Unauthorized。

很遗憾，GCP 文档并没有真正的帮助。我想我已经搜索了所有可能的地方。

Answer 1

首先同意，不清楚……

然后，您必须知道（现在还不清楚）您需要访问令牌来调用 Google Cloud API，但需要身份令牌来调用 IAP（例如在 App Engine 上）或私有 Cloud Function 和 Cloud Run。而且这个身份令牌需要谷歌签名。

并且，如代码中所述，您需要在计算机上拥有一个服务帐户，但我建议您在 GCP 上避免这种情况，如果您使用默认身份验证，则不需要（请参阅我的代码，在您的计算机上设置GOOGLE_APPLICATION_CREDENTIALS env var 指向服务帐户密钥文件）。最好的方法是不在您的计算机上使用服务帐户密钥文件，但目前还不可能（这是 IMO 的安全问题，我正在与 Google 讨论这个问题......）

无论如何，这里有一个代码 sn-p 可以在 Java 中运行（文档中没有...）

  String myUri = "https://path/to/url";
  // You can use here your service account key file. But, on GCP you don't require a service account key file.
  // However, on your computer, you require one because you need and identity token and you can generate it with your user account (long story... I'm still in discussion with Google about this point...)
  Credentials credentials = GoogleCredentials.getApplicationDefault().createScoped("https://www.googleapis.com/auth/cloud-platform");
  IdTokenCredentials idTokenCredentials = IdTokenCredentials.newBuilder()
    .setIdTokenProvider((IdTokenProvider) credentials)
    .setTargetAudience(myUri).build();

  HttpRequestFactory factory = new NetHttpTransport().createRequestFactory(new HttpCredentialsAdapter(idTokenCredentials));

  HttpRequest request = factory.buildGetRequest(new GenericUrl(myUri));
  HttpResponse httpResponse = request.execute();
  System.out.println(CharStreams.toString(new InputStreamReader(httpResponse.getContent(), Charsets.UTF_8)));

注意如果你想继续使用 RestTemplate 对象并手动设置你的令牌，你可以像这样生成它

  String token = ((IdTokenProvider) credentials).idTokenWithAudience(myUri, Collections.EMPTY_LIST).getTokenValue();
  System.out.println(token);