如何在 GCP 项目之间使用 Google KMS 创建服务帐户以访问机密？

哈喽！今天心血来潮给大家带来了《如何在 GCP 项目之间使用 Google KMS 创建服务帐户以访问机密？》，想必大家应该对Golang都不陌生吧，那么阅读本文就都不会很困难，以下内容主要涉及到，若是你正在学习Golang，千万别错过这篇文章~希望能帮助到你！

我已按照本教程进行操作：https://cloud.google.com/kms/docs/store-secrets

我的下一步是让我的应用程序从存储桶中读取我的机密文件并在运行时安全解密。这些应用程序在各种项目（登台、开发、生产等）中运行。

我已经一遍又一遍地阅读服务帐户文档，但不太明白正确的前进方向。

我发现有效的方法是简单地将服务帐户添加到教程中的 my_kms_project 和 my_storage_project 中。我将它们设置为有权读取存储桶并解密 kms 密钥。只需创建这些服务帐户，其他项目中的应用程序就可以读取和解密。这就是它应该如何工作的吗？

我认为我必须为每个我想要访问教程中的 kms 项目的项目创建一个服务帐户？或者以某种方式使用 iam 来授予访问权限？例如，我如何授予对某些项目中某些应用程序的访问权限，而不授予其他项目的访问权限？

我现在尝试授予在本地开发环境中运行的应用程序的访问权限，这通常需要下载服务帐户并将 google_application_credentials 指向该文件。但从 my_kms_project 或 my_storage_project 下载服务帐户对我来说似乎很奇怪，特别是因为我已经有一个用于访问 firebase 的服务帐户。服务帐户对于所有项目来说都是全局的吗？它们可以合并吗？ google_application_credentials 似乎只适用于指向单个服务帐户。

注意：我的大多数应用程序都在 google app engine 标准版或灵活版上运行。

以下是我的项目中的应用程序的代码，如上所述，“正常工作”：

client, err := google.defaultclient(ctx, cloudkms.cloudplatformscope)
if err != nil {
    log.fatal(err)
}

// create the kms client.
kmsservice, err := cloudkms.new(client)
if err != nil {
    log.fatal(err)
}
....

访问存储桶：

// Create the storage clientstorage
Client, err := storage.NewClient(ctx)
if err != nil {
    log.Fatal(err)
}
....

解决方案

这就是我发现的作品。直到我听说它不正确或不理想，这就是我前进的方式：

1. 按照“存储机密”教程 (https://cloud.google.com/kms/docs/store-secrets) 进行操作。

请注意，在根据教程创建两个帐户时，不会自动创建服务帐户，因为默认情况下没有计算或应用引擎实例。

1. 转至 IAM 获取 kms 存储项目，并添加您希望有权下载加密机密的应用程序的任何其他项目。通过服务帐户电子邮件添加他们，并具有查看存储桶的角色。

2. 转至 IAM 获取 kms 管理项目，并对包含您想要通过其服务帐户电子邮件解密共享密钥的应用的任何项目执行相同的操作。

对于本地主机开发，请在启动服务之前使用“gcloud auth application-default login”。

对于您的第一个问题： 发生这种情况的原因可能是这些应用程序使用您为各个项目创建的相同服务帐户。在这种情况下，您需要确保这些应用程序不使用上述服务帐户。

对于你的第二个问题： 您可以尝试在组织级别使用一个服务帐户。这些服务帐户将由组织中的所有项目继承。您可以向服务帐户授予满足您要求的角色或权限

对于你的第三个问题： 如果您使用组织级服务帐户，它们对所有项目都是“全局”的：您可以查看此文档，其中您可能会找到有关 service accounts 和 organization 的有价值的信息

请让我知道您的想法以及进展如何。

今天带大家了解了的相关知识，希望对你有所帮助；关于Golang的技术知识我们会一点点深入介绍，欢迎大家关注golang学习网公众号，一起学习编程~