来自 Compute Engine 的任务队列身份验证 - “权限不足”

Question

我正在尝试使用 Google 的 python REST API 库从计算引擎 VM 实例中使用拉取队列，并不断收到 403 错误 - “权限不足”

queue.yaml：

queue:
- name: queuename
  mode: pull

构建 api 客户端：

from apiclient.discovery import build
credentials = GoogleCredentials.get_application_default()
task_api = build('taskqueue', 'v1beta2', credentials=credentials)

获取任务：

lease_req = task_api.tasks().lease(project=PROJECT_NAME,
                                           taskqueue=QUEUE_NAME,
                                           leaseSecs=60 * 30,
                                           numTasks=1)
result = lease_req.execute()

结果总是 HttpError 403 - Insufficient Permission

VM 已启用完整的云平台 API 访问。

Answer 1

您应该可以通过GoogleCredentials.get_application_default 从 GCE 访问任务队列：

1. 您使用的服务器必须启用任务队列、云 API 访问范围。见this discussion。
2. 或者服务器必须以正确的权限连接到 Google 帐户，即正确的密钥必须在 /root/.config/gcloud/application_default_credentials.json 中（如果该进程在另一个用户下运行，则在用户主页中搜索密钥）。
3. 或将环境变量GOOGLE_APPLICATION_CREDENTIALS 指向正确的json 密钥文件（您需要service_account 密钥，而不是authorized_user）。

service_account 键必须有权访问正确的范围，https://www.googleapis.com/auth/taskqueue 或 https://www.googleapis.com/auth/taskqueue.consumer。 （要生成 OAuth2 凭据，请转到网络 Google GAE 控制台API Manager - 凭据。

你必须在queue.yaml中设置队列ACL：

queue:
- name: myqueue
  mode: pull
  acl:
  - user_email: myemail@myemailserver.com
  - writer_email: myemail@myemailserver.com

常规 REST API 访问

您可以从任何机器访问 TaskQueue REST API。您也可以手动加载凭据：

from oauth2client.service_account import ServiceAccountCredentials
# use the right scopes by the queue ACL
SCOPES = ['https://www.googleapis.com/auth/taskqueue']
credentials = ServiceAccountCredentials.from_json_keyfile_name('myemail.json', scopes=SCOPES)
# or
credentials = ServiceAccountCredentials.from_p12_keyfile('myemail@myemailserver.com', '/path/to/myemail.p12', scopes=SCOPES)

Answer 2

问题在于 TaskQueue API 只是 App Engine 的一项功能，因此无法从 Google Compute Engine 访问。