Google OAuth下实现Client Credentials Grant及非谷歌云Service Accounts使用咨询

关于Client Credentials Grant授权支持情况 #

谷歌OAuth 2.0授权服务原生支持RFC 6749定义的Client Credentials Grant授权模式。你之前认为不支持的原因是谷歌将该模式的实现和服务账号体系做了深度绑定，没有单独暴露通用的Client Credentials配置入口，底层授权逻辑完全符合标准规范要求，可以正常使用。

关于Service Accounts实现谷歌云外部服务间通信的可行性 #

可以正常实现，该方案无部署环境限制，具体操作流程如下：

• 在谷歌云控制台创建专属服务账号，导出JSON格式的私钥文件，安全存储在需要发起认证的外部服务节点中
• 发起授权请求前，用服务账号私钥按规则签名生成JWT，作为客户端身份凭证提交到谷歌OAuth 2.0授权端点
• 拿到返回的Access Token后，跨服务请求时在请求头携带Authorization: Bearer <Access Token>即可
• 接收请求的服务可以通过校验Token签名合法性完成身份认证，无需部署在谷歌云环境内

注意事项 #

• 自定义跨服务通信场景下，申请Token时的scope参数可以根据业务需求自行定义，只要收发双方统一校验规则即可，无需绑定谷歌云官方资源的scope
• 仅需要保障通信的两个服务都能正常访问谷歌OAuth相关的公网端点即可，无其他云环境依赖

内容的提问来源于stack exchange，提问作者Chowta