如何让GCP身份平台（GCIP）用户访问授权的Cloud Function

1. 配置Cloud Function的IAM权限 #

首先要确保Cloud Function允许认证用户调用：

• 打开GCP控制台，找到目标Cloud Function，进入「权限」页面
• 点击「添加」，在「新成员」输入框填写allAuthenticatedUsers，选择「Cloud Functions Invoker」角色后保存。
• 若需更严格的权限控制（仅允许特定GCIP用户访问），可直接添加用户的邮箱账号，同样赋予「Cloud Functions Invoker」角色。

2. 确认使用正确的令牌 #

Cloud Function仅接受ID令牌（ID Token），而非普通的Access Token：

• 通过Firebase SDK获取ID令牌：Web端可调用user.getIdToken()，返回的令牌才用于身份验证场景。
• 本地验证令牌有效性：执行命令 gcloud auth verify-id-token <你的ID令牌>，检查输出中的exp（过期时间）和email（用户邮箱）是否符合预期。

3. 调用Cloud Function的正确请求格式 #

发送HTTP请求时，必须在请求头中携带令牌：

• 示例curl命令：

  curl -H "Authorization: Bearer YOUR_ID_TOKEN" https://<地区>-<项目ID>.cloudfunctions.net/<函数名>
  

• 客户端代码调用（以JS为例）：在请求头中添加Authorization字段，值为Bearer 拼接你的ID令牌。

4. 进阶：用自定义Claims细化访问控制 #

如果需要给不同GCIP用户分配差异化权限：

• 在GCIP控制台给目标用户添加自定义Claims（例如{"role": "admin"}）
• 在Cloud Function代码中解析ID令牌，验证Claims后再处理请求。示例Node.js代码片段：

  const { OAuth2Client } = require('google-auth-library');
  const client = new OAuth2Client();
  
  exports.yourFunction = async (req, res) => {
    const authHeader = req.headers.authorization;
    if (!authHeader || !authHeader.startsWith('Bearer ')) {
      return res.status(401).send('未授权');
    }
    const token = authHeader.split(' ')[1];
    const ticket = await client.verifyIdToken({
      idToken: token,
      audience: process.env.GOOGLE_CLOUD_PROJECT,
    });
    const payload = ticket.getPayload();
    const userRole = payload['role'];
    if (userRole !== 'admin') {
      return res.status(403).send('权限不足');
    }
    // 处理业务逻辑
    res.send('请求成功');
  };
  

常见问题排查 #

• 区分令牌类型：Access Token用于访问GCP服务API，ID Token才是身份验证专用，务必使用getIdToken()获取的令牌。
• 检查Cloud Function触发设置：确保是HTTP触发，且未勾选「仅允许内部流量」选项。
• 验证令牌受众：ID令牌的aud字段需匹配你的GCP项目ID或Firebase客户端ID。

内容的提问来源于stack exchange，提问作者Mahesh kanna