Google Cloud签名URL相关问题：密钥识别、轮换及多URL有效性

1. 如何判断签名URL使用的密钥及密钥轮换时间？ #

• 签名URL本身不会直接暴露所用密钥信息，但可通过创建时的操作记录追溯：
  • 若用SDK/CLI创建，查看当时指定的服务账号或密钥文件路径；
  • 若通过GCP控制台创建，在Cloud Logging中筛选对应存储操作日志来确认。
• 密钥轮换规则分两种：
  • 手动创建的服务账号密钥：不会自动轮换，只有手动删除或新增密钥时才会变更；
  • Google管理的服务账号默认密钥：轮换周期通常为90天，但无法直接查看具体轮换时间，需通过监控密钥状态或在轮换后更新签名URL来适配。

2. 使用服务账号创建签名URL，是否使用的是服务账号的密钥？ #

是的。用服务账号生成签名URL时，核心是用服务账号的私钥对请求参数签名：

• 若未手动创建过服务账号密钥，会自动使用Google后台管理的私钥完成签名；
• 若你手动生成了服务账号的JSON密钥文件，则会使用该文件中的私钥进行签名。

3. 同一文件多次创建的签名URL是否均有效？ #

两个签名URL均有效，直到各自的过期时间到期，或者用于签名的密钥被轮换/删除。第二次创建签名URL不会导致第一个失效，因为每个签名URL都是独立生成的，拥有各自独立的签名信息和过期时间。

补充：签名URL的有效性仅与自身过期时间、签名密钥的状态相关，和同一资源的其他签名URL没有关联。

内容的提问来源于stack exchange，提问作者Chris Gonzalez