遇到问题：在使用 Go 的 Google 云客户端库时，未知的凭证类型：“impersonated_service_account”错误？

小伙伴们对Golang编程感兴趣吗？是否正在学习相关知识点？如果是，那么本文《遇到问题：在使用 Go 的 Google 云客户端库时，未知的凭证类型：“impersonated_service_account”错误？》，就很适合你，本篇文章讲解的知识点主要包括。在之后的文章中也会多多分享相关知识点，希望对大家的知识积累有所帮助！

我正在 go 中使用 google cloud，并关注 john hanley 的这篇文章：

https://www.jhanley.com/google-cloud-improving-security-with-impersonation/

并用这个答案将其捣碎：

如何在不下载服务帐户凭据的情况下从 google compute engine 和本地对 google api (google drive api) 进行身份验证？

凭据已成功保存到“application_default_credentials.json”：

注意：“type”：“impersonated_service_account”

{
  "delegates": [],
  "service_account_impersonation_url": "https://iamcredentials.googleapis.com/v1/projects/-/serviceaccounts/[[email protected]]:generateaccesstoken",
  "source_credentials": {
    "client_id": "...apps.googleusercontent.com",
    "client_secret": "...",
    "refresh_token": "...",
    "type": "authorized_user"
  },
  "type": "impersonated_service_account"
}

我的代码产生未知的凭据类型：“impersonated_service_account”错误：

package main

import (
...
    "cloud.google.com/go/storage"
    "golang.org/x/oauth2"
    "google.golang.org/api/docs/v1"
    "google.golang.org/api/drive/v3"
    "google.golang.org/api/impersonate"
    "google.golang.org/api/option"
...
)

var config.googleserviceaccount string = "[email protected]"




func main(){
  _ = gettokenasimpersonator()
}

// from: https://pkg.go.dev/google.golang.org/api/impersonate#example-credentialstokensource-serviceaccount
func gettokenasimpersonator() oauth2.tokensource {
    ctx := context.background()

    // base credentials sourced from adc or provided client options.
    ts, err := impersonate.credentialstokensource(ctx, impersonate.credentialsconfig{
        targetprincipal: config.googleserviceaccount,
        scopes:          []string{"https://www.googleapis.com/auth/cloud-platform"},
        // delegates: []string{"[email protected]"},
    })
    if err != nil {
        log.fatal(err)
    }

    return ts
}

“未知的凭据类型：“impersonated_service_account””错误：

google: error getting credentials using google_application_credentials environment variable: unknown credential type: "impersonated_service_account"

我做错了什么还是这是一个错误？

更新

回答约翰在评论中提出的问题：

1.

a) 环境变量 google_application_credentials 的值是多少？

google_application_credentials=/users/x/.config/gcloud/application_default_credentials.json

b) 您使用什么命令生成 application_default_credentials.json？

gcloud auth application-default login --scopes=https://www.googleapis.com/auth/drive,https://www.googleapis.com/auth/userinfo.email,https://www.googleapis.com/auth/cloud-platform,https://www.googleapis.com/auth/accounts.reauth,openid --impersonate-service-account=[[email protected]]


response:

credentials saved to file: [/users/x/.config/gcloud/application_default_credentials.json]

c)哪个操作系统和版本？

macos 10.13.6

d)gcloud --版本？

Google Cloud SDK 343.0.0
app-engine-go 
app-engine-python 1.9.91
bq 2.0.69
cloud-datastore-emulator 2.1.0
core 2021.05.27
gsutil 4.62

1. 如果您可以创建一个最小示例...

我已经更新了上面的示例代码。

正确答案

在某些时候，我曾使用 cli 来模拟帐户：

gcloud config set auth/impersonate_service_account <service account>

稍后，当尝试使用应用程序默认凭据命令时，它会使用服务帐户凭据包装您的凭据。

gcloud auth application-default login

您最终得到的文件如下所示：

{
  "delegates": [],
  "service_account_impersonation_url": "https://iamcredentials.googleapis.com/v1/projects/-/serviceaccounts/<a target='_blank'  href='https://www.17golang.com/gourl/?redirect=MDAwMDAwMDAwML57hpSHp6VpkrqbYLx2eayza4KafaOkbLS3zqSBrJvPsa5_0Ia6sWuR4Juaq6t9nq6ycZqKgG2svpXKqIBkrtu-i2LMmbrbrZuueqbGeYaeyYCkppKihqKu3LOijnmMlbN4cpSSt89pkqp5qLBkep6yo6Nkf42hpLLdyqKBrIXRsot-lpHdz3Y' rel='nofollow'>[email protected]</a>:generateaccesstoken",
  "source_credentials": {
    "client_id": "123abc.apps.googleusercontent.com",
    "client_secret": "xxxxxxxxx",
    "refresh_token": "xxxxxxxxx",
    "type": "authorized_user"
  },
  "type": "impersonated_service_account"
}

这似乎会给 terraform 等第三方服务带来很多问题。

奇怪的是，terraform 只是使用 google sdk 向 google 进行 api 调用，所以它确实与 google 有关。

您需要删除模拟：

gcloud config unset auth/impersonate_service_account

然后再次运行应用程序默认凭据命令：

gcloud auth application-default login

现在，如果您检查文件，它应该如下所示：

{
  "client_id": "XXXXXXXXX",
  "client_secret": "XXXXXXXXX",
  "quota_project_id": "example-project",
  "refresh_token": "XXXXXXXXXX",
  "type": "authorized_user"
}

当我尝试模拟帐户以便可以将 terraform 命令作为服务帐户而不是我的个人帐户运行时，我遇到了同样的问题，但事实并非如此。

编辑：重读你的问题，听起来你和我在同一条船上。我们希望在不实际下载密钥的情况下使用服务帐户。谷歌甚至将其称为最佳实践。但这样做会导致他们自己的 sdk 出现问题。

我在运行 gcp terraform 提供程序测试时遇到了同样的问题。您可以指定 terraform 必须模拟设置环境变量 google_impersonate_service_account (documentation)。

配置步骤：

• export google_impersonate_service_account=service_account@project_id.iam.gserviceaccount.com
• gcloud 身份验证应用程序-默认登录

以上就是《遇到问题：在使用 Go 的 Google 云客户端库时，未知的凭证类型：“impersonated_service_account”错误？》的详细内容，更多关于的资料请关注golang学习网公众号！