向 Trace 进行身份验证

本文档介绍了如何以编程方式向 Cloud Trace 进行身份验证。如何向 Cloud Trace 进行身份验证取决于您用于访问 API 的界面以及运行代码的环境。

如需详细了解 Google Cloud 身份验证，请参阅 身份验证方法。

API 访问权限

Trace 支持程序化访问。您可以通过以下方式访问 API：

• 客户端库
• REST

客户端库

Trace 客户端库提供 以程序化方式向 Trace 进行身份验证的高级语言支持。 为了对 Google Cloud API 的调用进行身份验证，客户端库支持 应用默认凭证 (ADC)； 这些库会在一组指定的位置查找凭证，并使用这些凭证 对发送到 API 的请求进行身份验证。借助 ADC，您可以在各种环境（例如本地开发或生产环境）中为您的应用提供凭据，而无需修改应用代码。

REST

您可以使用 Trace API 凭据或使用 应用 gcloud CLI 凭证进行身份验证。如需详细了解 REST 请求身份验证，请参阅 使用 REST 时进行身份验证。 如需了解凭据类型，请参阅 gcloud CLI 凭据和 ADC 凭据。

Trace 的用户凭据和 ADC

向 ADC 提供凭据的一种方法是使用 gcloud CLI 将您的用户凭据插入凭据文件中。此文件位于本地文件系统上，ADC 可以找到它。然后，ADC 使用提供的用户凭据对请求进行身份验证。此 方法通常用于本地开发。

如果您使用此方法，则在尝试向 Trace 进行身份验证时可能会遇到身份验证错误。如需详细了解此错误及其解决方法，请参阅用户凭据不起作用。

为 Trace 设置身份验证

设置身份验证的方式取决于代码在其中运行的环境。

以下是最常用的身份验证设置选项。如需了解有关身份验证的更多 选项和信息，请参阅 身份验证方法。

在完成这些说明之前，您必须完成 Trace 的基本设置，如为 Cloud Trace 添加检测代码中所述。

对于本地开发环境

您可以通过以下方式为本地开发环境设置凭据：

• 客户端库或第三方工具的用户凭据
• 从命令行发出的 REST 请求的用户凭据
• 服务账号模拟

客户端库或第三方工具

在本地环境中设置 应用默认凭证 (ADC) ：

1. 安装 Google Cloud CLI。 安装完成后， 初始化 Google Cloud CLI，方法是运行以下命令：

   gcloud init

   如果您使用的是外部身份提供方 (IdP)，则必须先 使用联合身份登录 gcloud CLI。

2. 如果您使用的是本地 shell，请为您的用户 账号创建本地身份验证凭证：

   gcloud auth application-default login

   如果您使用的是 Cloud Shell，则无需执行此操作。

   如果返回了身份验证错误，并且您使用的是外部身份提供方 (IdP)，请确认您已 使用联合身份登录 gcloud CLI。

   登录屏幕随即出现。在您登录后，您的凭据会存储在 ADC 使用的本地凭据文件中。

如需详细了解如何在本地环境中使用 ADC，请参阅为本地开发环境设置 ADC。

从命令行发出的 REST 请求

从命令行发出 REST 请求时，您可以通过在发送该请求的命令中添加 gcloud auth print-access-token 来使用 gcloud CLI 凭据。

以下示例列出了指定项目的服务账号。您可以对任何 REST 请求使用相同的模式。

在使用任何请求数据之前，请先进行以下替换：

• PROJECT_ID：您的 Google Cloud 项目 ID。

如需发送您的请求，请展开以下选项之一：

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts" | Select-Object -Expand Content

如需详细了解如何使用 REST 和 gRPC 进行身份验证，请参阅使用 REST 时进行身份验证。如需了解本地 ADC 凭据与 gcloud CLI 凭据之间的区别，请参阅 gcloud CLI 身份验证配置和 ADC 配置。

服务账号模拟

在大多数情况下，您可以使用用户凭据从本地开发环境进行身份验证。如果这种方法不可行，或者您需要测试分配给服务账号的权限，则可以使用服务账号模拟。您必须拥有 iam.serviceAccounts.getAccessToken 权限，该权限包含在 Service Account Token Creator (roles/iam.serviceAccountTokenCreator) IAM 角色中。

您可以使用 gcloud config set 命令将 gcloud CLI 设置为使用服务账号模拟：

gcloud config set