Создание краткосрочных учетных данных учетной записи службы из консоли GCP

Question

Я пытаюсь создать кратковременные учетные данные службы. Я работаю с https://cloud.google.com/iam/docs/creating-short-lived-service-account-credentials#creating_a_limited-privilege_service_account,, который описывает, как это сделать с помощью REST API, но я хочу сделать это с консоли GCP. В частности, я пытаюсь выполнить эквивалент запроса serviceAccounts.setIamPolicy ().

Как обновить политику для учетной записи службы, чтобы добавить привязку (как описано в приведенной выше ссылке),с помощью консоли GCP?

Заранее спасибо.

Эллиот

Answer 1

Если мы посмотрим на эту статью под названием Как олицетворять учетные записи служб в Google Cloud , мы найдем явное утверждение, которое гласит:

Специфично для учетной записи (возможно только из командной строки -НЕТ опции в консоли)

Мне кажется, это говорит о том, что если мы хотим рассматривать служебную учетную запись как ресурс и разрешать ей настраивать кратковременные учетные данные, мы должны использовать API.

Answer 2

Вы путаете учетные записи служб и токены доступа OAuth.

Консоль Google Cloud Console и CLI могут создать учетную запись службы. Срок действия учетной записи службы не истекает, но ее можно отозвать. Учетные записи служб используются для создания токенов доступа Google Cloud OAuth 2.0 (и токенов идентификации).

Невозможно создать токен доступа OAuth в консоли Google Cloud. Вы можете создавать токены доступа OAuth с помощью CLI gcloud или с помощью API.

Все токены доступа Google Cloud OAuth являются недолговечными. По умолчанию и максимальное время истечения составляет 3600 секунд. Если вам нужно более короткое время жизни токена, вам нужно будет создать его самостоятельно с помощью вызовов API и / или конечных точек OAuth.

Я написал статью, в которой показано, как создавать токены доступа Google OAuth, включая исходный код. Вы можете изменить код для создания токенов с любым сроком действия до 3600 секунд.

Google Cloud - Создание токенов доступа OAuth для вызовов REST API

Если вы хотите назначитьРоли IAM в служебной учетной записи вы можете. Это можно сделать в облачной консоли Google, используя CLI gcloud или с помощью вызова API. Это не зависит от маркера доступа OAuth. Роли IAM не назначены токенам. Роли IAM назначаются идентификатору участника учетной записи. Эти разрешения будут действительны для любого OAuth-токена, созданного учетной записью службы, если они не ограничены областями действия. Если вы хотите изменить области во время генерирования OAuth Access Token, вы должны написать свой собственный код, чтобы сделать это во время запроса токена.