DEV Community
·
Google API入门：服务账户（第一部分）
内容提要
使用Google API时，根据API和数据所有者需要三种凭证类型。服务账户是GCP API的主要凭证，适用于管理Google Workspace域，代表非人类用户，具有预设权限，适合访问云项目数据。
关键要点
-
使用Google API需要三种凭证类型，具体取决于API和数据所有者。
-
服务账户是GCP API的主要凭证，适用于管理Google Workspace域。
-
API密钥用于访问公共数据，OAuth客户端ID用于访问人类用户拥有的数据。
-
服务账户用于访问应用或项目拥有的数据，主要用于云应用。
-
服务账户是被赋予预设权限的主体，不需要用户授权。
-
有三种类型的服务账户：用户管理的服务账户、默认服务账户和服务代理。
-
用户管理的服务账户由开发者创建，具有特定权限。
-
默认服务账户由Google创建，具有广泛权限，适用于特定平台。
-
服务代理是Google创建并仅供内部使用的服务账户。
-
服务账户通常用于GCP，但也可用于Google Workspace域管理员进行维护任务。
-
使用服务账户进行域范围委托可以绕过用户同意，方便管理员完成任务。
延伸解读
服务账户的作用与优势
服务账户是用于访问云项目数据的主要凭证，适合于自动化任务和无用户交互的场景。通过预设权限，服务账户可以简化权限管理，避免了每次操作都需要用户授权的繁琐过程，特别适合于企业级应用和大规模管理任务。
服务账户的类型与选择
服务账户分为用户管理的服务账户、默认服务账户和服务代理。用户管理的服务账户由开发者创建，适合特定应用需求；默认服务账户则由Google创建，权限较广，适合快速原型开发。选择合适的服务账户类型可以提高安全性和管理效率。
域范围委托的注意事项
在使用服务账户进行域范围委托时，管理员可以绕过用户同意，直接访问用户数据。这虽然提高了管理效率，但也带来了安全风险。管理员应遵循最佳实践，确保仅授予必要的权限，以防止数据滥用和安全漏洞。
延伸问答
什么是服务账户，它的主要用途是什么？
服务账户是GCP API的主要凭证，适用于管理Google Workspace域，代表非人类用户，具有预设权限，适合访问云项目数据。
使用Google API时需要哪些类型的凭证？
使用Google API时需要三种凭证类型：API密钥、OAuth客户端ID和服务账户，具体取决于API和数据所有者。
服务账户与用户授权有什么不同？
服务账户是被赋予预设权限的主体，不需要用户授权，而用户授权通常涉及OAuth客户端ID，需要用户的同意。
服务账户有哪些类型？
服务账户有三种类型：用户管理的服务账户、默认服务账户和服务代理。
如何使用服务账户进行域范围委托？
通过在Google Cloud控制台创建服务账户，并在Google Admin控制台中委托域范围权限，管理员可以绕过用户同意，完成维护任务。
服务账户的格式是什么样的？
服务账户的格式通常是电子邮件地址，包含域名gserviceaccount.com，例如：svcacct1@google.iam.gserviceaccount.com。
