通过Workload Identity Federation连接IAP保护端点（Node.js问题）

问题根源 #

getIdTokenClient方法默认仅支持传统服务账号密钥JSON，无法直接识别Workload Identity Federation（WIF）的外部账号凭证文件，因此即便你正确设置了GOOGLE_APPLICATION_CREDENTIALS，仍会触发错误。

实用解决方案 #

通过GoogleAuth实例先获取授权客户端，手动获取ID Token后再发起请求，以下是完整代码示例：

const { GoogleAuth } = require('google-auth-library');
const axios = require('axios');

async function callIAPEndpoint() {
  // 替换为你的Cloud Run服务URL
  const targetAudience = 'https://your-cloud-run-service-url.a.run.app';
  const auth = new GoogleAuth({
    scopes: 'openid email profile'
  });

  // 自动加载WIF外部账号凭证并获取客户端
  const client = await auth.getClient();
  // 获取针对目标受众的ID Token
  const idToken = await client.getIdToken(targetAudience);

  // 发起带Token的请求
  try {
    const response = await axios.get(targetAudience, {
      headers: {
        'Authorization': `Bearer ${idToken}`
      }
    });
    console.log('请求结果:', response.data);
  } catch (error) {
    console.error('请求失败:', error.response?.data || error.message);
  }
}

callIAPEndpoint().catch(console.error);

关键注意事项 #

• 确认WIF外部账号凭证文件包含type: "external_account"字段，且身份提供商与GCP的绑定配置已完成。
• 验证目标服务账号拥有roles/run.invoker权限，同时IAP已配置允许该账号访问。
• 若使用旧版google-auth-library可能存在兼容问题，建议升级到最新稳定版：

  npm update google-auth-library
  

替代方案：自定义IdTokenClient配置 #

若坚持使用getIdTokenClient，可手动传入凭证配置：

const { GoogleAuth, IdTokenClient } = require('google-auth-library');
const fs = require('fs');

async function useIdTokenClientWithWIF() {
  const targetAudience = 'https://your-cloud-run-service-url.a.run.app';
  const credentials = JSON.parse(fs.readFileSync(process.env.GOOGLE_APPLICATION_CREDENTIALS, 'utf8'));

  const auth = new GoogleAuth({ credentials });
  const client = await auth.getClient();

  // 手动创建IdTokenClient并注入凭证
  const idTokenClient = new IdTokenClient(targetAudience);
  idTokenClient.credentials = client.credentials;

  const idToken = await idTokenClient.getIdToken();
  // 后续请求逻辑同上
}

内容的提问来源于stack exchange，提问作者michajas