Azure Functions中安全存储GA4 credentials.json及认证方案咨询

关于credentials.json部署后的安全性 #

直接打包部署credentials.json到Azure Functions，文件会以明文形式存在于函数文件系统中，存在泄露风险，绝对不建议这么做。

安全认证的最优方案 #

方案1：Azure Key Vault存储凭据+服务账号认证（推荐） #

GA4的服务账号认证无需OAuth握手，适配你每月批量下载数据的场景，步骤如下：

• 从credentials.json中提取private_key和client_email两个核心字段，存入Azure Key Vault的机密（Secrets）中
• 给Azure Function配置Key Vault访问策略，允许函数读取机密
• 代码中从Key Vault读取字段，手动构建认证凭据传给客户端：

from google.oauth2 import service_account
from google.analytics.data_v1beta import BetaAnalyticsDataClient
import os

# 从Azure应用设置读取Key Vault机密（需提前配置应用与Key Vault的集成）
client_email = os.getenv("GA4_CLIENT_EMAIL")
private_key = os.getenv("GA4_PRIVATE_KEY").replace("\\n", "\n")  # 处理转义换行符

credentials = service_account.Credentials.from_service_account_info(
    {
        "client_email": client_email,
        "private_key": private_key,
        "token_uri": "https://oauth2.googleapis.com/token",
    },
    scopes=["https://www.googleapis.com/auth/analytics.readonly"],
)

client = BetaAnalyticsDataClient(credentials=credentials)

• 优势：凭据脱离代码包，存储在加密的Key Vault中，仅授权函数可访问，彻底避免明文泄露

方案2：Azure托管身份认证（零凭据存储） #

适合企业级零信任场景，全程无需存储任何凭据：

• 给Azure Function启用系统/用户分配的托管身份
• 在Google Cloud中，将该托管身份对应的服务主体添加为GA4资源的只读授权用户
• 配置Google Workload Identity Federation，让Azure托管身份能直接生成GA4访问令牌
• 代码中通过托管身份自动获取认证：

from google.auth import compute_engine
from google.analytics.data_v1beta import BetaAnalyticsDataClient

credentials = compute_engine.IDTokenCredentials(
    target_audience="https://analyticsdata.googleapis.com/",
    use_metadata_identity=True
)

client = BetaAnalyticsDataClient(credentials=credentials)

• 优势：彻底消除凭据存储风险，符合零信任架构要求

方案3：手动构建OAuth令牌（不依赖客户端库） #

若不想用Google客户端库，可直接调用GA4 REST API：

• 从Key Vault读取服务账号的private_key和client_email
• 用PyJWT生成JWT令牌，向Google令牌端点请求访问令牌
• 携带令牌调用GA4 API：

import jwt
import requests
import time
import os

client_email = os.getenv("GA4_CLIENT_EMAIL")
private_key = os.getenv("GA4_PRIVATE_KEY").replace("\\n", "\n")

# 生成JWT令牌
payload = {
    "iss": client_email,
    "scope": "https://www.googleapis.com/auth/analytics.readonly",
    "aud": "https://oauth2.googleapis.com/token",
    "exp": int(time.time()) + 3600,
    "iat": int(time.time())
}

jwt_token = jwt.encode(payload, private_key, algorithm="RS256")

# 请求访问令牌
token_response = requests.post(
    "https://oauth2.googleapis.com/token",
    data={
        "grant_type": "urn:ietf:params:oauth:grant-type:jwt-bearer",
        "assertion": jwt_token
    }
)
access_token = token_response.json()["access_token"]

# 调用GA4报表API
report_response = requests.post(
    "https://analyticsdata.googleapis.com/v1beta/properties/[你的GA4属性ID]/runReport",
    headers={"Authorization": f"Bearer {access_token}"},
    json={
        "dateRanges": [{"startDate": "30daysAgo", "endDate": "today"}],
        "metrics": [{"name": "activeUsers"}]
    }
)

• 优势：完全自定义认证流程，不依赖第三方客户端库，适合灵活控制需求

总结 #

优先选方案1，实现简单且安全性足够；企业级零信任场景选方案2；需高度自定义认证逻辑选方案3。

内容的提问来源于stack exchange，提问作者Jeet