如何将多个服务帐户凭据分配给 Google Cloud Functions？

Question

我有三个服务帐户：

我的云函数在数据存储模式下使用 Firestore 进行簿记并调用警报中心 API。

部署云功能时只能分配一个服务帐号。

有没有类似于 AWS 的方法，可以创建多个内联策略并将其分配给默认服务帐户。

PS 我尝试创建自定义服务帐户，但不支持数据存储角色。另外，我不想将凭据存储在环境变量中或上传带有源代码的凭据文件。

Answer 1

您对服务帐户的看法有点倒退。

当然，我知道命名可以如何引导您朝这个方向发展。在这种情况下，“服务”并不是指所提供的服务，而是指尝试访问所提供的服务的非人类实体（即应用程序、机器等，在这种情况下称为服务）。来自了解服务帐户：

服务帐户是一种特殊类型的 Google 帐户，属于您的应用程序或虚拟机 (VM)，而不是单个最终用户。您的应用程序假定服务帐户的身份来调用 Google API，以便用户不会直接参与。

因此，您不应该从提供的服务角度（即数据存储或警报中心 API）查看服务帐户，而应该从他们的“用户”角度（在本例中为您的 CF）查看服务帐户。

分配给特定 CF 的单个服务帐户只是在访问特定服务时识别该 CF（而不是其他一些 CF、应用程序、计算机、用户等）。

如果您希望该 CF 能够访问某个 Google 服务，您需要为该 CF 的服务帐户授予适当的角色和/或权限来执行此操作。

要访问数据存储区，您需要查看这些Permissions and Roles。如果您的 CF 需要访问的数据存储位于同一个 GCP 项目中，则默认 CF 服务帐户（与该项目中的 GAE 应用程序的帐户相同）已经有权访问数据存储（当然，如果您同意）使用默认服务帐户）。

我没有使用 Alert Center API，但显然它使用 OAuth 2.0，因此您可能应该通过Service Accounts。