执行gcloud auth login时GCE虚拟机提示凭证对其他用户可见相关问题咨询

问题1：提示中提及的凭证具体指什么？ #

这里的凭证指的是你执行gcloud auth login登录个人账号后生成的OAuth 2.0 访问令牌、刷新令牌，以及关联的账号身份信息（包括你登录的个人账号邮箱）。这类凭证可以直接代表你的账号身份调用GCP各类API、执行云资源操作，和IP、实例名、IAM角色本身不属于同一类，IAM角色是凭证对应的权限范围，而非凭证本身。

问题2：这些凭证是否会被日志记录，可在某处检索获取？ #

• GCP官方的云审计日志只会记录该凭证发起的操作行为、关联的账号身份，不会存储完整的凭证明文内容，无法从GCP官方日志中直接拿到可用的凭证。
• 如果你操作的VM开启了本地Shell操作日志（比如bash history）、或者部署了第三方日志采集工具，存在凭证文件内容、操作关联信息被采集记录的可能，可在对应日志存储位置检索到。

问题3：提示称凭证对有权访问此VM的用户可见，具体需要何种访问权限级别才可查看这些凭证？ #

gcloud默认将凭证存储在执行命令的用户家目录下的~/.config/gcloud/路径中，只要满足以下任一条件的用户都可以查看凭证：

• 拥有该VM的root权限，或者对当前执行gcloud命令的用户的家目录有读取权限的同VM普通用户
• 拥有GCP roles/compute.osAdminLogin 权限、可通过OS Login登录VM并获取root权限的用户

问题4：这些凭证是加密存储还是明文格式？ #

gcloud默认配置下，凭证以明文JSON格式存储在本地磁盘的对应目录下，没有额外加密防护。如果你有更高安全需求，可以手动配置gcloud开启凭证加密存储功能。

问题5：如果基于此虚拟机制作机器镜像，再通过镜像创建新实例，凭证是否也会被同步复制？ #

会被同步复制。机器镜像是对VM整个磁盘文件系统的全量拷贝，只要你的凭证文件没有被提前删除，制作镜像时会将凭证文件一并打包，后续使用该镜像创建的新实例启动后，对应目录下会存在完全相同的凭证文件。

内容的提问来源于stack exchange，提问作者FlyingPenguin