如何在 Google Cloud VM 上正确使用服务账号凭证调用自托管服务_网络技术

如何在 Google Cloud VM 上正确使用服务账号凭证调用自托管服务

发布时间 - 2026-01-30 00:00:00 点击率：次

本文详解为何基于服务账号的 id token 认证无法成功访问 compute engine vm 上的 http 服务，并指出根本原因在于目标受众（target_audience）配置错误——vm 实例本身不自动验证 id token，需自行实现认证逻辑，而当前代码误将 compute engine 当作 cloud run/cloud functions 等托管服务来调用。

Google Cloud Compute Engine 不会自动验证服务账号签发的 ID Token——这与 Cloud Run、Cloud Functions 或 Identity-Aware Proxy（IAP）等托管服务有本质区别。你在代码中使用 IDTokenCredentials.from_service_account_file(...) 并设置 target_audience=f"https://{ip}:{port}"，其本意是生成一个用于“向该端点证明身份”的 JWT，但该 JWT 是否被接受、如何校验，完全取决于你部署在 VM 上的应用自身逻辑。而你的 Redis 容器（或后端服务）极大概率并未集成任何 Token 解析与验证流程，因此它直接忽略请求头中的 Authorization: Bearer ，甚至可能因未处理认证中间件而直接超时或拒绝。

换句话说：
✅ 你成功生成了合法的 ID Token；
❌ 但你的 VM 应用没有监听或校验该 Token；
⚠️ 因此 ReadTimeout 并非网络不通，而是服务端收到请求后未按预期响应（例如：未读取完整 body、未返回 HTTP 状态码、或认证中间件阻塞且无 fallback）。

正确做法分两类：

✅ 方案一：自行实现 ID Token 校验（推荐用于生产）

在你的容器应用（如 Python Flask/FastAPI 服务）中添加认证中间件，使用 Google Auth 库验证传入的 Authorization: Bearer ：

# 示例：FastAPI 中间件（需安装 google-auth）
from fastapi import Depends, HTTPException, Request
from google.auth.transport import requests
from google.oauth2 import id_token

async def verify_id_token(request: Request):
    auth_header = request.headers.get("Authorization")
    if not auth_header or not auth_header.startswith("Bearer "):
        raise HTTPException(401, "Missing or invalid Authorization header")

    token = auth_header.split(" ")[1]
    try:
        # 注意：audience 必须与生成 Token 时完全一致（如 https://:8000）
        claims = id_token.verify_token(
            token,
            requests.Request(),
            audience="https://YOUR_VM_PUBLIC_IP:8000"  # 必须严格匹配！
        )
        return claims
    except ValueError as e:
        raise HTTPException(403, f"Invalid token: {e}")

# 使用示例
@app.post("/get_attributes")
async def get_attrs(payload: list, claims: dict = Depends(verify_id_token)):
    return {"status": "authorized", "user": claims["email"]}

? 关键点：audience 在服务端校验时必须与客户端生成 Token 时的 target_audience 完全一致（协议、IP、端口、路径均需匹配），且服务端必须监听 HTTPS（若用 https://）并配置有效证书（或临时设 verify=False 测试）。

❌ 方案二：放弃 ID Token，改用更轻量认证（开发/测试适用）

若仅需简单访问控制，可改用 API Key、Basic Auth 或双向 TLS，避免复杂 JWT 流程。例如：

# 客户端（发送 API Key）
response = authed_session.post(
    url=url,
    json=uuids,
    headers={"X-API-Key": "your-secret-key"},
    timeout=10  # 建议延长 timeout，避免误判为认证失败
)

服务端校验该 Header 即可，无需依赖 Google Auth。

⚠️ 其他关键注意事项：

HTTPS 要求：IDTokenCredentials 默认要求 https:// 开头的 target_audience；若服务跑在 HTTP 上，必须显式使用 http://，且服务端需支持非加密 Token 校验（不推荐生产环境）。
防火墙 ≠ 认证网关：VPC 防火墙规则 0.0.0.0/0 仅控制 IP 层连通性，不提供任何应用层身份认证能力。服务账号绑定防火墙是 IAP 的特性，不适用于裸 VM。
超时设置合理化：将 timeout=2 提升至 timeout=(5, 30)（连接 5 秒 + 读取 30 秒），避免因服务启动慢或 Token 校验耗时导致误报 ReadTimeout。
调试建议：先用 curl -v 手动发送带 Token 的请求，观察服务端日志是否收到请求、是否有解析错误，再逐步排查。

总结：Compute Engine VM 是“空白画布”，所有安全机制（含服务账号认证）需开发者自行落地。盲目复用 Cloud Run 的认证模式必然失败。务必在服务端实现 id_token.verify_token() 校验逻辑，并确保 audience 前后端严格一致——这才是解决 ReadTimeout 的真正钥匙。

# python # redis # js # json # go # 防火墙 # app # 端口 # session # 后端 # curl # ai # proxy # flask # 中间件 # fastapi

相关栏目：【网站优化151355 】【网络推广146373 】【网络技术251813 】【 AI营销90571 】

上一篇：泉南高速充电桩布点够密吗_泉南高速桩密度查询法【数量】

下一篇：C# BigInteger使用方法 C#如何处理超出long

相关栏目网站优化
网络推广
网络技术
AI营销

最新文章 Sublime怎么一键压缩JS代码 Su sublime如何在搜索中使用正则表达式 Sublime如何设置透明窗口效果 Su mysql如何设计商品表结构_mysql css属性背景图不显示怎么办_通过检查路如何使用Golang实现排序_Golan 农历闰月是怎么回事_为合回归年加一月调整塑造《刺客信条》艾吉奥传奇的编剧离开育碧 1英里等于多少公里 1mile和km的换 css grid布局中行和列是如何定义的 PS批量旋转和翻转图片，快速校正图片方向 C# Swagger UI自定义方法 C OPPO手机九宫格和全键盘怎么切换_OP Go语言如何实现用户登录注册_Golan 1节飞行速度多少公里每小时 1节是多少公纸嫁衣8千子树第五章庙门怎么开启庙门 Laravel 多行数据编辑表单中实现逐明日之后如何提升钓鱼等级明日之后提升钓支付宝怎样查年度账单_支付宝年度账单查看 C# 多线程UI更新Dispatcher

上一篇：泉南高速充电桩布点够密吗_泉南高速桩密度查询法【数量】

下一篇：C# BigInteger使用方法 C#如何处理超出long