本地通过终端用户模拟服务账号访问Secret Manager是否可行？

该方案完全可行，核心逻辑是给本地终端用户授予「服务账号模拟者」权限，让你可以在本地调用Google Cloud接口模拟目标App Engine服务账号身份，生成对应access token后即可用该token访问Secret Manager，全程不需要导出和存储服务账号密钥文件，符合安全最佳实践。

• 你的本地终端用户账号（即你日常登录gcloud的个人/企业账号）需要拥有对目标App Engine服务账号的roles/iam.serviceAccountTokenCreator角色权限，该权限允许账号模拟服务账号生成短生命周期令牌
• 目标App Engine服务账号本身需要拥有Secret Manager的对应访问权限（比如roles/secretmanager.secretAccessor，如果之前已经用该服务账号能正常访问密钥，这一步已经满足，不需要额外调整）
• 本地已经安装并初始化gcloud CLI，且已经用你的终端用户账号完成gcloud auth login登录

方式1：直接生成access token调用Secret Manager接口 #

1. 执行以下命令模拟App Engine服务账号生成access token，替换<你的App Engine服务账号邮箱>为实际账号（格式通常为[项目ID]@appspot.gserviceaccount.com）：

gcloud auth print-access-token --impersonate-service-account=<你的App Engine服务账号邮箱>

2. 拿到返回的token后，即可在请求Secret Manager接口时放在Authorization头中使用，示例请求如下，替换对应参数即可：

curl "https://secretmanager.googleapis.com/v1/projects/<项目ID>/secrets/<密钥名称>/versions/latest:access" \
  --header "Authorization: Bearer <上一步生成的access_token>"

方式2：配置客户端库自动使用模拟身份 #

不需要手动生成token，直接给客户端库配置模拟服务账号的参数即可，以Go语言为例，其他语言的客户端库逻辑完全一致：

// 初始化客户端时指定要模拟的服务账号
client, err := secretmanager.NewClient(ctx,
  option.WithImpersonatedCredentials(&impersonate.CredentialsConfig{
    TargetPrincipal: "<你的App Engine服务账号邮箱>",
    Scopes:          []string{"https://www.googleapis.com/auth/cloud-platform"},
  }),
)
if err != nil {
  // 处理错误逻辑
}

如果不想改代码，也可以直接设置环境变量让gcloud和客户端库默认使用模拟身份：

export CLOUDSDK_AUTH_IMPERSONATE_SERVICE_ACCOUNT=<你的App Engine服务账号邮箱>

设置完成后，所有gcloud命令和Google Cloud官方客户端库都会自动模拟该服务账号发起请求，不需要额外修改代码逻辑。

• 若提示没有模拟服务账号的权限，请确认你的用户账号已经被授予目标服务账号的roles/iam.serviceAccountTokenCreator角色，权限授予后最多可能有5分钟的延迟生效
• 若提示没有Secret Manager访问权限，请确认目标App Engine服务账号本身拥有对应密钥的访问权限，而非你的个人用户账号拥有该权限

内容的提问来源于stack exchange，提问作者QHFastloop