通过 OAuth2.0 流模拟 Google Cloud Patform 用户

Question

我想为有权访问 GCP 的用户设置 OAuth2.0 流程。

用户将登录到 Web 应用程序。

然后，OAuth2.0 流程将需要征求允许应用程序根据他们的权限代表他们执行操作的同意。

因此，需要请求的范围应该是涵盖他们在 GCP 上的实际权限的范围。

当涉及到 OAuth2.0 和 GCP 时，这样的事情可能吗？

Answer 1

你见过吗？ https://developers.google.com/identity/protocols/oauth2

看起来这可能会解决你的问题。

与该链接分开-> 是的，这是可以做到的。 您通过 OAuth 登录，一旦通过身份验证，该服务就可以使用 GCP 服务帐户https://cloud.google.com/iam/docs/service-accounts来使用 GCP 服务。

Answer 2

可以授予用户模拟服务帐户的权限。

可以通过域范围授权 (Google Workspace) 授予服务帐户模拟用户帐户的权限。

一个用户不能冒充另一个用户。 没有授予所需权限的机制。

Answer 3

在 GCP 项目中，您可以使用以下类型的凭据访问 Google API：

1. API 密钥
2. OAuth 2.0 客户端 ID
3. 服务帐户

因此，回答您的问题，在 GCP 中使用 OAuth 2.0 肯定是可能的。

但是，在不知道您的应用程序需要访问哪些数据的情况下，很难判断使用服务帐户还是 OAuth 2.0 客户端更合适。 在 GCP 项目中，如果您转到APIs and services > Credentials > CREATE CREDENTIALS > Help me choose ，向导将指导您完成为每个身份验证场景创建最合适的凭证的过程：

最后，当你这样说时：

适用于有权访问 GCP 的用户

您的意思是这些用户拥有可以访问您项目中使用的 Google API 的 Google 帐户吗？ 如果是这种情况，并且您的项目不需要访问用户的数据，那么服务帐户可能是比 OAuth 2.0 同意屏幕更好的选择。 我认为您可以让服务帐户通过域范围委托来模拟用户，但请记住， Google 本身不鼓励此功能。

另请参阅创建访问凭据。