如何从VPC内VM的容器向GCP私有云函数发起认证调用？

核心问题说明 #

你之前用getAccessToken()获取的是访问令牌（Access Token），这类令牌用于调用GCP管理类API，而私有云函数要求的是身份令牌（ID Token），且令牌的受众（Audience）必须严格匹配云函数的URL，否则会返回401 Unauthorized。

步骤1：配置权限 #

确保Compute Engine实例关联的服务账号拥有调用私有云函数的权限：

• 给该服务账号添加roles/cloudfunctions.invoker角色（可通过GCP控制台或gcloud projects add-iam-policy-binding命令配置）。

步骤2：使用Google Auth库程序化获取ID Token #

这是生产环境推荐的方式，无需手动维护密钥，库会自动通过GCP元数据服务器获取身份令牌，完全适配容器环境。

安装依赖

pip install google-auth requests

示例代码

import requests
from google.oauth2 import id_token
from google.auth.transport.requests import Request

def fetch_cloud_function_id_token(function_url):
    # 针对目标云函数URL生成身份令牌
    request = Request()
    return id_token.fetch_id_token(request, function_url)

# 替换为你的私有云函数URL
PRIVATE_FUNCTION_URL = "https://your-region-project-id.cloudfunctions.net/your-function-name"

# 获取有效ID Token
auth_token = fetch_cloud_function_id_token(PRIVATE_FUNCTION_URL)

# 构造请求头
headers = {
    'Content-Type': 'application/json;charset=UTF-8',
    'Accept': 'application/json',
    'Authorization': f'Bearer {auth_token}'
}

# 发送请求（示例数据）
payload = {"your_key": "your_data"}
response = requests.post(
    PRIVATE_FUNCTION_URL,
    json=payload,  # 自动序列化JSON并设置正确Content-Type
    headers=headers,
    timeout=1.50
)

# 处理响应
print(response.status_code)
print(response.json())

关键注意事项 #

• 容器会自动继承Compute Engine实例的服务账号权限，无需在容器内额外配置密钥文件。
• 确保云函数与Compute Engine实例处于同一VPC（你的场景是默认VPC，满足要求），否则需要配置VPC对等连接或云函数的VPC连接器。
• 使用json=payload而非data=payload，避免手动序列化JSON时出现格式错误。

内容的提问来源于stack exchange，提问作者scimeup