在Python中配置GCP工作负载身份池外部凭据

在python中配置gcp工作负载身份池外部凭据

本文详细阐述了如何在Python中利用`google.auth.external_account`包，为Google Cloud工作负载身份池（Workload Identity Pool）配置外部凭据。针对`gcloud iam workload-identity-pools create-cred-config`命令在Python中无直接SDK调用的情况，我们提供了通过编程方式构建AWS身份提供者支持的GCP凭据对象的方法，并演示了如何在Google Cloud客户端库中使用这些凭据，以实现从外部环境（如AWS）安全访问GCP资源。

引言

Google Cloud Workload Identity Pools（工作负载身份池）允许您将外部身份（如来自AWS、Azure、GitHub Actions等）联邦到Google Cloud，从而使这些外部工作负载能够以GCP服务账号的身份访问GCP资源，而无需使用传统的服务账号密钥文件。gcloud命令行工具提供了gcloud iam workload-identity-pools create-cred-config命令，可以生成一个JSON格式的客户端凭据配置文件，供应用程序使用。

然而，在Python等编程语言中，直接等效的SDK方法来“生成”这个配置文件并不存在。当尝试使用google.cloud.iam_v1等客户端库时，可能会遇到部署或运行时错误，因为这些库主要用于管理IAM资源，而非客户端认证配置。本文旨在指导您如何在Python中，通过google.auth.external_account包以编程方式构建并使用这些外部身份凭据。

理解gcloud create-cred-config命令的作用

gcloud iam workload-identity-pools create-cred-config命令的核心作用是创建一个JSON文件，该文件描述了如何从外部身份提供者（例如AWS）获取凭据，然后将其交换为GCP的短期访问令牌，并最终可能模拟一个GCP服务账号。这个JSON文件实际上是google-auth库可以理解的一种外部账号凭据配置格式。

例如，对于AWS身份提供者，gcloud命令可能生成如下配置：

Manus

全球首款通用型AI Agent，可以将你的想法转化为行动。

250 查看详情 Manus

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/IDENTITY_POOL/providers/IDENTITY_POOL_PROVIDER",
  "service_account_impersonation_url": "https://iamcredentials.googleapis.com/v1/projects/PROJECT_NUMBER/serviceAccounts/SA_EMAIL:generateAccessToken",
  "credential_source": {
    "environment_id": "aws",
    "region_url": "http://169.254.169.254/latest/meta-data/placement/*ailability-zone",
    "url": "http://169.254.169.254/latest/meta-data/iam/security-credentials",
    "headers": {
      "x-goog-cloud-target-resource": "//iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/IDENTITY_POOL/providers/IDENTITY_POOL_PROVIDER"
    }
  }
}

在Python中，我们的目标不是生成这个文件，而是直接在内存中构建一个等效的凭据对象，然后将其传递给Google Cloud客户端库。

Pythonic方法：使用google.auth.external_account构建凭据

google.auth.external_account包是google-auth库的一部分，专门用于处理外部身份联邦。它提供了不同外部身份提供者的特定实现，例如针对AWS的google.auth.external_account.aws.Credentials。这个类能够自动处理从AWS环境（如EC2实例元数据、环境变量或IAM角色）获取临时凭据，并将其用于GCP的令牌交换过程。

1. 安装必要的库

首先，确保您的Python环境中安装了google-auth和google-auth-external-account-aws（如果您的外部身份提供者是AWS）以及您计划使用的Google Cloud客户端库，例如google-cloud-storage：

pip install google-auth google-auth-external-account-aws google-cloud-storage

2. 构造凭据对象

以下是一个使用google.auth.external_account.aws.Credentials来创建GCP凭据的Python示例。它模拟了gcloud命令中所需的核心参数。

import os
from google.auth.external_account import aws
from google.cloud import storage

# --- 配置信息 (请替换为您的实际值或更安全的获取方式) ---
# 这些值通常通过环境变量、密钥管理服务或配置文件安全地提供
GCP_PROJECT_NUMBER = os.environ.get("GCP_PROJECT_NUMBER", "YOUR_GCP_PROJECT_NUMBER")
GCP_IDENTITY_POOL_ID = os.environ.get("GCP_IDENTITY_POOL_ID", "YOUR_IDENTITY_POOL_ID")
GCP_IDENTITY_POOL_PROVIDER_ID = os.environ.get("GCP_IDENTITY_POOL_PROVIDER_ID", "YOUR_IDENTITY_POOL_PROVIDER_ID")
GCP_SERVICE_ACCOUNT_EMAIL = os.environ.get("GCP_SERVICE_ACCOUNT_EMAIL", "YOUR_SERVICE_ACCOUNT_EMAIL@YOUR_PROJECT_ID.iam.gserviceaccount.com")
AWS_REGION = os.environ.get("AWS_REGION", "us-east-1") # 例如: 'us-east-1'
AWS_ROLE_ARN = os.environ.get("AWS_ROLE_ARN") # 可选: 例如 'arn:aws:iam::ACCOUNT_ID:role/ROLE

以上就是在Python中配置GCP工作负载身份池外部凭据的详细内容，更多请关注其它相关文章！

# 浮点 # 韶关seo网站关键词优化方法 # 龙岩网站营销与推广 # 咸阳品茶网站推广招聘 # 德州网站营销与推广加盟 # 赚钱的时候要做营销推广 # 百度网站需要优化吗 # seo01在线 # 搜狗排名关键词查询系统 # 黄岛营销型网站建设 # 高档产品网站推广文案 # 所需 # 是一个 # 如何在 # 将其 # 令牌 # python # 配置文件 # 您的 # 客户端 # 配 # google # 环境变量 # ai # 工具 # 编程语言 # access # github # go # json # git # js

相关栏目：【 Google疑问12 】【 Facebook疑问10 】【优化推广96088 】【技术知识133117 】【 IDC资讯59369 】【网络运营7196 】【 IT资讯61894 】

2025-11-10

4008744355

在Python中配置GCP工作负载身份池外部凭据

引言

理解gcloud create-cred-config命令的作用

Pythonic方法：使用google.auth.external_account构建凭据

1. 安装必要的库

2. 构造凭据对象

了解您产品搜索量及市场趋势，制定营销计划

同行竞争及网站分析保障您的广告效果

提交您的需求，1小时内享受我们的专业解答。

运城市盐湖区信雨科技有限公司

4008744355

服务/方案/案例/支持

关于我们

Notice