无需使用gcloud工具从Docker容器访问GCP云存储桶的合规认证方案咨询

以下方案均无需生成、使用长期服务账号密钥，也不需要在容器内执行gcloud auth activate-service-account相关命令：

方案1：GCP托管运行环境内置服务账号绑定 #

如果容器运行在GCP官方托管服务上，直接通过运行环境的原生绑定功能实现无密钥认证，是最优方案：

• GKE场景：开启Workload Identity功能，将Kubernetes服务账号（KSA）与具有GCS存储桶访问权限的GCP服务账号（GSA）做权限映射，Pod挂载对应KSA即可，容器内的GCP客户端会自动从集群元数据服务获取认证凭证，全程无任何密钥外露
• Cloud Run/Cloud Functions/GCE/Cloud Build场景：在服务配置页直接选择具备存储桶权限的服务账号作为运行时服务账号，容器内无需做任何额外认证配置，SDK会自动读取元数据服务的凭证完成认证

方案2：Workload Identity Federation（工作负载身份联合） #

如果容器运行在GCP外部环境（自有IDC、其他云厂商、第三方CI/CD平台等），可采用工作负载身份联邦方案实现无密钥认证：

• 无需导出任何GCP服务账号密钥，只需在GCP IAM中配置外部身份提供商（企业OIDC服务、AWS IAM、Azure AD等）的信任规则，将外部身份的权限和GCP服务账号的存储桶访问权限做映射
• 容器内只需持有外部身份提供商颁发的合法令牌，即可通过GCP STS服务交换得到短期访问令牌，令牌自动过期，不存在长期密钥泄露风险

方案3：短生命周期访问令牌动态注入 #

如果上述方案均不适用，可采用临时令牌注入方案规避长期密钥风险：

• 禁止在Dockerfile中写入任何密钥内容，也不允许将密钥打包进容器镜像
• 容器部署阶段，通过机密管理工具（K8s Secret、HashiCorp Vault等）将临时生成的GCP访问令牌（最长有效期12小时）注入到容器的环境变量或内存文件系统中
• GCP官方客户端会自动识别GOOGLE_OAUTH_ACCESS_TOKEN环境变量完成认证，令牌到期后由机密管理工具自动轮换注入即可

上述所有方案均满足安全合规要求，从根源上避免了长期服务账号密钥的生成、分发、存储、泄露风险。

内容的提问来源于stack exchange，提问作者SriSiva