非GCP环境下Spring Boot访问Google API的无密钥方案咨询

一、Workload Identity Federation 支持外部环境 #

Workload Identity Federation（WIF）不局限于Cloud Run、GKE等Google Cloud内部服务，完全支持运行在外部环境（本地服务器、其他云平台、自建集群等）的Spring Boot应用。只要你能为外部应用配置一个被Google Cloud信任的身份源（如OIDC提供商、AWS IAM、Azure AD等），就能通过WIF获取短期、临时的访问凭证，全程无需存储服务账号密钥。

二、生产环境最优无密钥方案（适配你的私有日历场景） #

针对你需要访问自身私有日历、无需用户授权的需求，Workload Identity Federation + 服务账号Impersonation是生产环境的最佳选择——纠正你的误解：该方案并非仅适用于开发测试，配置正确后完全满足生产级安全要求。具体实施步骤如下：

1. 配置Google Cloud侧资源 #

• 创建并授权服务账号：
  1. 新建一个服务账号，为其分配Calendar API的对应权限（如Calendar Reader或Calendar Editor，根据你的需求选择）。
  2. 打开你的私有Google日历，在「设置和共享」中添加该服务账号的邮箱为共享成员，授予相应访问权限（确保服务账号能读取/编辑你的日历）。
• 配置Workload Identity Federation：
  1. 创建一个WIF身份池，再创建对应你的外部环境的身份提供者（例如：如果你的Spring Boot应用部署在自有服务器，可选择OIDC类型，对接你的企业OIDC服务；如果在AWS上部署，选择AWS IAM身份源）。
  2. 设置身份映射规则，将外部应用的身份属性（如OIDC的sub或email）映射到Google Cloud的身份属性。
  3. 为WIF身份池中的外部身份授予Service Account Token Creator角色，允许其Impersonate上述服务账号。

2. Spring Boot应用侧配置 #

• 添加依赖：在pom.xml中引入必要的Google Cloud客户端库：

  <dependency>
      <groupId>com.google.cloud</groupId>
      <artifactId>google-cloud-calendar</artifactId>
  </dependency>
  <dependency>
      <groupId>com.google.auth</groupId>
      <artifactId>google-auth-library-oauth2-http</artifactId>
  </dependency>
  

• 配置凭证获取：
  你可以通过环境变量让Application Default Credentials（ADC）自动加载WIF凭证并Impersonate服务账号：

  # 指定WIF配置文件路径
  export GOOGLE_APPLICATION_CREDENTIALS="/path/to/your-wif-config.json"
  # 指定要Impersonate的服务账号邮箱
  export GOOGLE_IMPERSONATE_SERVICE_ACCOUNT="your-service-account@your-gcp-project.iam.gserviceaccount.com"
  

  或者在Spring配置类中手动构建凭证（更灵活）：

  import com.google.auth.oauth2.ImpersonatedCredentials;
  import com.google.auth.oauth2.WorkloadIdentityPoolCredentials;
  import com.google.api.services.calendar.Calendar;
  import com.google.api.services.calendar.CalendarScopes;
  
  import java.io.FileInputStream;
  import java.io.IOException;
  import java.util.Collections;
  
  @Configuration
  public class CalendarConfig {
  
      @Bean
      public Calendar calendarService() throws IOException {
          // 加载WIF凭证
          WorkloadIdentityPoolCredentials wifCredentials = WorkloadIdentityPoolCredentials.fromStream(
              new FileInputStream("classpath:wif-config.json")
          );
  
          // 构建Impersonated凭证
          ImpersonatedCredentials impersonatedCredentials = ImpersonatedCredentials.newBuilder()
              .setSourceCredentials(wifCredentials)
              .setTargetPrincipal("your-service-account@your-gcp-project.iam.gserviceaccount.com")
              .setScopes(Collections.singletonList(CalendarScopes.CALENDAR))
              .build();
  
          // 初始化Calendar客户端
          return new Calendar.Builder(
              GoogleNetHttpTransport.newTrustedTransport(),
              JacksonFactory.getDefaultInstance(),
              impersonatedCredentials
          ).setApplicationName("Your Spring Boot App").build();
      }
  }
  

• 调用Calendar API：通过注入Calendar bean，即可直接访问你的私有日历数据，无需用户授权。

三、其他方案的局限性 #

• API密钥：仅支持访问公开的Google API资源，无法访问私有日历，完全不符合你的需求。
• 标准OAuth2授权码流程：需要用户手动登录并授权应用访问其日历，而你无需用户参与，因此不适用。
• 服务账号密钥：你明确拒绝使用，且密钥存在泄露风险，不符合生产环境安全规范。

内容的提问来源于stack exchange，提问作者Born Ok