如何生成长期有效（数月/数年）的gcloud auth print-identity-token令牌

• 结论：gcloud auth print-identity-token不支持生成有效期长达数月或数年的令牌，甚至无法通过参数将有效期延长到12小时以上。
• 原因：
  • 该命令生成的是OIDC ID Token，这类凭证的设计初衷就是短期身份验证，默认1小时有效期是GCP的安全规范，目的是缩小凭证泄露后的风险影响范围。
  • 虽然命令提供了--lifetime参数用于调整有效期，但官方限制最长只能设置为12小时，无法突破这个上限。
• 替代方案：
  • 如果需要长期访问GCP资源，建议使用服务账号JSON密钥，通过gcloud iam service-accounts keys create <密钥文件路径> --iam-account=<服务账号邮箱>命令生成。这类密钥没有默认过期时间（可手动吊销），但务必妥善保管，避免泄露。
  • 更安全的长期访问方式是采用工作负载身份（Workload Identity），让运行在GCP或其他环境的应用自动获取短期凭证，无需手动管理长期密钥，符合安全最佳实践。

内容的提问来源于stack exchange，提问作者Sounak Das