GCR运行的ASP Core应用如何获取ServiceAccountCredential完成URL签名

问题原因 #

GCP托管计算环境（GCE、Cloud Run、GKE等）的默认应用凭据（ADC）底层返回ComputeCredential是平台原生的安全设计，运行环境本身不会下发服务账号的私钥信息，所以你不可能直接在代码中获取到ServiceAccountCredential实例，你之前的强制类型转换逻辑本身就不适用于托管运行场景。

最优解决方案 #

无需导出服务账号密钥，升级Google.Cloud.Storage.V1 NuGet包到2.3.0及以上版本即可直接适配ComputeCredential的签名需求，新版本库会自动调用GCP IAM的SignBlob接口完成远程签名，不需要本地持有私钥：

// 1. 获取默认凭据，追加IAM签名所需的权限scope
var credential = GoogleCredential.GetApplicationDefault()
    .CreateScoped("https://www.googleapis.com/auth/iam");

// 2. 直接从凭据创建UrlSigner，自动适配ComputeCredential场景，不需要类型转换
var urlSigner = UrlSigner.FromCredential(credential);

// 3. 后续签名逻辑和之前完全一致，无需额外修改
var signedUrl = urlSigner.Sign(
    bucketName: "你的存储桶名称",
    objectName: "待签名的资源对象路径",
    duration: TimeSpan.FromHours(1),
    method: HttpMethod.Get);

前置配置 #

需要给当前服务使用的服务账号授予roles/iam.serviceAccountTokenCreator角色，授权对象设置为服务账号自身即可，用于允许服务账号调用IAM签名接口。

内容的提问来源于stack exchange，提问作者aochagavia