如何安全使用与共享BigQuery服务账号密钥（Python场景）

一、安全共享ServiceAccount密钥 #

• 绝对别用邮件、即时通讯工具直接发送JSON密钥文件，这类渠道要么未加密，要么易被拦截泄露。
• 用加密工具传输：比如通过GPG加密密钥文件后再发送，接收方用对应私钥解密。命令示例：gpg --encrypt --recipient 接收方邮箱 service-account-key.json
• 依赖企业级密钥管理系统：把密钥存储到AWS Secrets Manager、Google Cloud Secret Manager这类服务中，仅给需要的人员分配访问权限，用户通过API或CLI获取密钥，无需接触原始文件。
• 优先使用临时凭证：如果只是临时需要访问资源，别共享长期密钥，改用OAuth2生成的短期token，过期自动失效，风险更低。

二、代码中使用密钥的安全规范 #

• 打死也别把密钥硬编码到代码里，更不能提交到Git这类版本控制系统，一旦提交等于公开密钥。
• 通过环境变量加载密钥：Python中可通过环境变量指定密钥文件路径，或直接读取密钥的JSON字符串。示例代码：

import os
import json
import google.auth
from google.oauth2.service_account import Credentials

# 方式1：从环境变量指定的文件路径加载
key_path = os.environ.get('SERVICE_ACCOUNT_KEY_PATH')
credentials, project_id = google.auth.load_credentials_from_file(key_path)

# 方式2：直接读取环境变量中的JSON字符串
key_json_str = os.environ.get('SERVICE_ACCOUNT_KEY_JSON')
key_info = json.loads(key_json_str)
credentials = Credentials.from_service_account_info(key_info)

• 本地密钥文件锁权限：如果必须使用本地密钥文件，一定要设置文件权限为chmod 600 service-account-key.json，确保只有当前用户能读写。
• 托管环境用内置身份：在Google Cloud Functions、AWS Lambda这类云托管环境中，直接使用平台提供的默认服务账号身份，无需手动管理密钥，平台会自动处理身份验证。

三、额外安全防护措施 #

• 定期轮换密钥：每隔一段时间在云控制台生成新的ServiceAccount密钥，废弃旧密钥，降低密钥泄露后的影响范围。
• 最小权限原则：给ServiceAccount分配仅满足业务需求的权限，避免过度授权，就算密钥泄露，破坏能力也会被限制。
• 监控密钥使用：开启云平台的密钥使用日志，追踪异常访问行为，比如异地登录、非预期的API调用。

内容的提问来源于stack exchange，提问作者AHM