如何在Cloud Function中使用其服务账号创建签名GCS URL？

核心前提：配置正确权限 #

Cloud Function默认使用的服务账号需要具备 Storage Object Signer 角色（roles/storage.objectSigner），这个角色包含生成签名URL所需的iam.serviceAccounts.signBlob权限，以及对目标GCS对象的读写权限（根据你要生成的是下载还是上传URL调整）。

推荐方式：使用官方SDK自动处理（无需密钥文件） #

官方google-cloud-storage SDK会自动利用Cloud Function运行环境提供的默认服务账号凭据，无需手动管理密钥文件，直接调用封装好的方法即可生成签名URL。

Python示例

from google.cloud import storage
from datetime import timedelta

def generate_signed_gcs_url(request):
    # 初始化Storage客户端（自动使用环境默认凭据）
    storage_client = storage.Client()
    
    # 替换为你的桶名和对象路径
    bucket_name = "your-target-bucket"
    blob_path = "path/to/your/object.txt"
    
    blob = storage_client.bucket(bucket_name).blob(blob_path)
    
    # 生成有效期1小时的GET下载签名URL
    signed_url = blob.generate_signed_url(
        version="v4",
        expiration=timedelta(hours=1),
        method="GET"
    )
    
    return {"signed_url": signed_url}

Node.js示例

const { Storage } = require('@google-cloud/storage');
const storage = new Storage();

exports.generateSignedGcsUrl = async (req, res) => {
    const bucketName = "your-target-bucket";
    const filePath = "path/to/your/object.txt";
    
    // 生成有效期1小时的读权限签名URL
    const [signedUrl] = await storage
        .bucket(bucketName)
        .file(filePath)
        .getSignedUrl({
            version: "v4",
            action: "read",
            expires: Date.now() + 3600 * 1000 // 1小时后过期
        });
    
    res.status(200).json({ signed_url: signedUrl });
};

手动签名方式（进阶场景） #

如果需要自定义签名逻辑，可以直接调用IAM的signBlob API，利用环境默认凭据授权：

1. 通过元数据服务器获取默认服务账号的电子邮件（路径：http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/default/email）
2. 使用google-auth库获取授权后的HTTP客户端，调用signBlob接口生成签名
3. 按照GCS签名URL的格式拼接最终URL

不过官方SDK已经封装了这部分逻辑，除非有特殊需求，否则不推荐手动实现。

注意事项 #

• 签名URL的有效期建议设置在合理范围（比如1小时内），避免泄露后被滥用
• 如果生成的是上传（PUT）URL，需要将method（Python）或action（Node.js）设置为对应的操作，并确保服务账号拥有storage.objects.create权限
• 仅当Cloud Function运行在GCP环境内（或具有元数据服务器访问权限的环境）时，才能自动获取默认服务账号凭据

内容的提问来源于stack exchange，提问作者Soumitri Pattnaik