GCP工作负载身份池外部凭据配置方法

本文针对在Python中使用Google Cloud工作负载身份池（Workload Identity Pool）的外部凭据配置问题，提供了一种编程解决方案。由于`gcloud iam workload-identity-pools create-cred-config`命令在Python中缺乏直接SDK支持，本文将指导开发者如何利用`google.auth.external_account`包，特别是针对AWS身份提供者的`google.auth.external_account.aws.Credentials`类，构建GCP凭据对象。通过示例代码，展示了如何在Python环境中模拟`gcloud`命令的功能，从AWS获取临时凭据并交换为GCP的短期访问令牌，最终安全地访问GCP资源，避免传统服务账号密钥文件的使用，从而提升安全性与便捷性。

本文详细阐述了如何在Python中利用`google.auth.external_account`包，为Google Cloud工作负载身份池（Workload Identity Pool）配置外部凭据。针对`gcloud iam workload-identity-pools create-cred-config`命令在Python中无直接SDK调用的情况，我们提供了通过编程方式构建AWS身份提供者支持的GCP凭据对象的方法，并演示了如何在Google Cloud客户端库中使用这些凭据，以实现从外部环境（如AWS）安全访问GCP资源。

引言

Google Cloud Workload Identity Pools（工作负载身份池）允许您将外部身份（如来自AWS、Azure、GitHub Actions等）联邦到Google Cloud，从而使这些外部工作负载能够以GCP服务账号的身份访问GCP资源，而无需使用传统的服务账号密钥文件。gcloud命令行工具提供了gcloud iam workload-identity-pools create-cred-config命令，可以生成一个JSON格式的客户端凭据配置文件，供应用程序使用。

然而，在Python等编程语言中，直接等效的SDK方法来“生成”这个配置文件并不存在。当尝试使用google.cloud.iam_v1等客户端库时，可能会遇到部署或运行时错误，因为这些库主要用于管理IAM资源，而非客户端认证配置。本文旨在指导您如何在Python中，通过google.auth.external_account包以编程方式构建并使用这些外部身份凭据。

理解gcloud create-cred-config命令的作用

gcloud iam workload-identity-pools create-cred-config命令的核心作用是创建一个JSON文件，该文件描述了如何从外部身份提供者（例如AWS）获取凭据，然后将其交换为GCP的短期访问令牌，并最终可能模拟一个GCP服务账号。这个JSON文件实际上是google-auth库可以理解的一种外部账号凭据配置格式。

例如，对于AWS身份提供者，gcloud命令可能生成如下配置：

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/IDENTITY_POOL/providers/IDENTITY_POOL_PROVIDER",
  "service_account_impersonation_url": "https://iamcredentials.googleapis.com/v1/projects/PROJECT_NUMBER/serviceAccounts/SA_EMAIL:generateAccessToken",
  "credential_source": {
    "environment_id": "aws",
    "region_url": "http://169.254.169.254/latest/meta-data/placement/availability-zone",
    "url": "http://169.254.169.254/latest/meta-data/iam/security-credentials",
    "headers": {
      "x-goog-cloud-target-resource": "//iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/IDENTITY_POOL/providers/IDENTITY_POOL_PROVIDER"
    }
  }
}

在Python中，我们的目标不是生成这个文件，而是直接在内存中构建一个等效的凭据对象，然后将其传递给Google Cloud客户端库。

Pythonic方法：使用google.auth.external_account构建凭据

google.auth.external_account包是google-auth库的一部分，专门用于处理外部身份联邦。它提供了不同外部身份提供者的特定实现，例如针对AWS的google.auth.external_account.aws.Credentials。这个类能够自动处理从AWS环境（如EC2实例元数据、环境变量或IAM角色）获取临时凭据，并将其用于GCP的令牌交换过程。

1. 安装必要的库

首先，确保您的Python环境中安装了google-auth和google-auth-external-account-aws（如果您的外部身份提供者是AWS）以及您计划使用的Google Cloud客户端库，例如google-cloud-storage：

pip install google-auth google-auth-external-account-aws google-cloud-storage

2. 构造凭据对象

以下是一个使用google.auth.external_account.aws.Credentials来创建GCP凭据的Python示例。它模拟了gcloud命令中所需的核心参数。

import os
from google.auth.external_account import aws
from google.cloud import storage

# --- 配置信息 (请替换为您的实际值或更安全的获取方式) ---
# 这些值通常通过环境变量、密钥管理服务或配置文件安全地提供
GCP_PROJECT_NUMBER = os.environ.get("GCP_PROJECT_NUMBER", "YOUR_GCP_PROJECT_NUMBER")
GCP_IDENTITY_POOL_ID = os.environ.get("GCP_IDENTITY_POOL_ID", "YOUR_IDENTITY_POOL_ID")
GCP_IDENTITY_POOL_PROVIDER_ID = os.environ.get("GCP_IDENTITY_POOL_PROVIDER_ID", "YOUR_IDENTITY_POOL_PROVIDER_ID")
GCP_SERVICE_ACCOUNT_EMAIL = os.environ.get("GCP_SERVICE_ACCOUNT_EMAIL", "YOUR_SERVICE_ACCOUNT_EMAIL@YOUR_PROJECT_ID.iam.gserviceaccount.com")
AWS_REGION = os.environ.get("AWS_REGION", "us-east-1") # 例如: 'us-east-1'
AWS_ROLE_ARN = os.environ.get("AWS_ROLE_ARN") # 可选: 例如 'arn:aws:iam::ACCOUNT_ID:role/ROLE

今天关于《GCP工作负载身份池外部凭据配置方法》的内容就介绍到这里了，是不是学起来一目了然！想要了解更多关于的内容请关注golang学习网公众号！