对 HTTP 目标使用身份验证

如果您设置了具有适当凭据的关联服务账号，则 Cloud Scheduler 可以调用需要身份验证的 HTTP 目标。

设置服务账号

服务账号通常由应用或计算工作负载使用，由其（专属的）电子邮件地址标识。

应用可以使用服务账号来执行已获授权的 API 调用（以服务账号本身的身份进行身份验证，并访问该服务账号有权访问的所有资源）。

若要让应用使用服务账号证明其身份，最常见的方法是将服务账号附加到运行该应用的资源。然后，您可以向服务账号授予 Identity and Access Management (IAM) 角色，让该服务账号可以访问相应的 Google Cloud 资源。

  1. 如果您还没有要用于具有 HTTP 目标的 Cloud Scheduler 作业的服务账号，请创建新的服务账号。请注意以下几点：

    • 该服务账号必须属于创建 Cloud Scheduler 作业的项目。

    • 请勿使用 Cloud Scheduler 服务代理 (service-PROJECT_NUMBER@gcp-sa-cloudscheduler.iam.gserviceaccount.com)，因为它不能用于此目的。

    • 请勿从项目的 Cloud Scheduler 服务代理中撤消 Cloud Scheduler Service Agent 角色 (roles/cloudscheduler.serviceAgent)。这样做会导致 403 响应发送到需要身份验证的端点，即使作业的服务账号具有适当的角色也是如此。

  2. 如果您的目标位于 Google Cloud内，请向您的服务账号授予必要的 IAM 角色。 Google Cloud 中的每项服务都需要特定角色，并且接收服务会自动验证生成的令牌。例如，对于 Cloud Run 和第二代 Cloud Run 函数，您必须授予 Cloud Run Invoker 角色。

    如需获得将服务账号关联到资源所需的权限，请让您的管理员为您授予服务账号的 Service Account User (roles/iam.serviceAccountUser) IAM 角色。此预定义角色包含将服务账号关联到资源所需的 iam.serviceAccounts.actAs 权限。（如果您创建了服务账号，系统会自动为您授予此权限。）

    如果您在上一步中专门创建了服务账号来调用 Cloud Scheduler 作业定位到的服务，则可以遵循最小权限原则，将该账号及其调用方权限绑定到目标服务：

    控制台

    1. 在 Google Cloud 控制台的“项目选择器”页面上，选择一个 Google Cloud 项目。

      转到“项目选择器”

    2. 前往您要调用的资源类型对应的页面。例如，如果您要调用 Cloud Run 服务，请前往列出 Cloud Run 服务的页面。

    3. 选中要调用的服务左侧的复选框。（请勿点击服务本身。）

    4. 点击 权限标签页。

      如果未显示信息窗格，您可能需要点击显示信息面板 > 权限。

    5. 点击 添加主账号。

    6. 在新的主账号字段中，输入您创建的服务账号的电子邮件地址。

    7. 从选择角色列表中，选择要授予的角色。

      请遵循最小权限原则，选择仅包含主账号所需权限的角色。

    8. 点击保存。

    gcloud

    gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member=PRINCIPAL \
    --role=ROLE

    替换以下内容：

    • RESOURCE_TYPE：目标的资源类型。例如，对于 Cloud Run 目标，使用 run。
    • RESOURCE_ID：目标的标识符。例如，Cloud Run 目标的服务名称。
    • PRINCIPAL：您的服务账号的标识符。其格式如下：serviceAccount:SERVICE_ACCOUNT_EMAIL_ADDRESS。例如 serviceAccount:my-service-account@my-project.iam.gserviceaccount.com。
    • ROLE：目标服务调用所需的角色的名称。例如，对于 Cloud Run 或第 2 代 Cloud Run 函数目标，请使用 roles/run.invoker。
    • 如需了解其他可选参数，请参阅 gcloud 命令行参考文档。

    示例：

    • 向 Cloud Run 服务 my-service 上的服务账号 my-service-account@my-project.iam.gserviceaccount.com 授予 Cloud Run Invoker (roles/run.invoker) IAM 角色：

      gcloud run add-iam-policy-binding my-service \
    --member=serviceAccount:my-service-account@my-project.iam.gserviceaccount.com \
    --role=roles/run.invoker

    • 将第二代 Cloud Run 函数所需的 Cloud Run Invoker (roles/run.invoker) IAM 角色授予 Cloud Run 函数 my-gen2-function 的服务账号 my-service-account@my-project.iam.gserviceaccount.com：

      gcloud functions add-iam-policy-binding my-gen2-function \
    --member=serviceAccount:my-service-account@my-project.iam.gserviceaccount.com \
    --role=roles/run.invoker \
    --gen2

  3. 如果您的目标服务位于 Google Cloud之外，则接收服务必须手动验证令牌。

  4. 在您启用 Cloud Scheduler API 时，系统会自动设置默认的 Cloud Scheduler 服务代理，除非您在 2019 年 3 月 19 日之前启用该 API，在这种情况下，您必须授予 Cloud Scheduler 服务代理角色。这样它就可以代表您的服务账号生成标头令牌，以便针对您的目标执行身份验证。

创建使用身份验证的 Cloud Scheduler 作业

为了在 Cloud Scheduler 与 HTTP 目标之间执行身份验证，Cloud Scheduler 会根据您的客户端服务账号（由其电子邮件地址标识）创建一个标头令牌，并使用 HTTPS 将其发送至目标。 您可以使用 ID (OIDC) 令牌或 OAuth（访问）令牌。我们一般会使用 OIDC 令牌，但 *.googleapis.com 上托管的 Google API 除外，因为这些 API 需要使用 OAuth 令牌。

如需创建使用身份验证的 Cloud Scheduler 作业，您必须在创建作业时添加标记客户端服务账号的令牌类型和电子邮件地址：

控制台

  1. 在 Google Cloud Console 中，前往 Cloud Scheduler 页面。

    前往 Cloud Scheduler

  2. 点击 创建作业。

  3. 在名称字段中，为您的作业输入一个在项目中具有唯一性的名称。请注意，即使删除项目关联的作业后，您也不可在其中重新使用作业名称。

  4. 在区域列表中，为您的作业选择一个区域。

  5. 为作业指定频率和时区。您在此处提供的字符串可以是任何与 unix-cron 兼容的字符串。

  6. 点击继续。

  7. 在目标类型列表中，选择 HTTP。

  8. 指定网址和 HTTP 方法。

  9. 在 Auth header 列表中，选择令牌类型。我们一般会使用 OIDC 令牌，但 *.googleapis.com 上托管的 Google API 除外，因为这些 API 需要使用 OAuth 令牌。

  10. 在服务账号列表中，选择您的服务账号电子邮件地址。

  11. 您可以选择指定目标对象，以限制 OIDC 令牌的接收者；通常是指不带任何网址参数的作业目标网址。如果未指定，系统会将整个网址（包括请求参数）用作目标对象。

  12. 配置任何可选设置。

  13. 点击创建。

gcloud

gcloud scheduler jobs create http JOB_ID \
    --schedule="FREQUENCY" \
    --uri=URI \
    --oidc-service-account-email=SERVICE_ACCOUNT_EMAIL

替换以下内容：

  • JOB_ID：作业的名称，应与项目唯一。请注意，即使删除项目关联的作业后，您也不可在其中重新使用作业名称。
  • FREQUENCY：作业的间隔或运行频率；例如 every 3 hours 或 every 10 mins。您在此处提供的字符串可以是任何与 unix-cron 兼容的字符串。
  • URI：端点的完全限定网址。
  • SERVICE_ACCOUNT_EMAIL：服务账号的电子邮件地址。我们一般会使用 OIDC 令牌，但 *.googleapis.com 上托管的 Google API 除外，因为这些 API 需要使用 OAuth 令牌。（请改用 --oauth-service-account-email 标志来定义 OAuth 令牌类型。）
  • 如需了解其他可选参数，请参阅 gcloud 命令行参考文档。

授予 Cloud Scheduler Service Agent 角色

某些 Google Cloud 服务需要访问您的资源才能代表您执行操作。为了满足这一需求， Google Cloud 会创建和管理服务账号（称为服务代理），这些账号会在您启用和使用 Google Cloud服务时自动创建并授予角色。

Cloud Scheduler 服务代理需要 Cloud Scheduler Service Agent (roles/cloudscheduler.serviceAgent) 角色。如果没有此角色，Cloud Scheduler 作业将会失败。您可以手动向 Cloud Scheduler 服务代理授予该角色，该代理的电子邮件地址采用以下格式：

service-PROJECT_NUMBER@gcp-sa-cloudscheduler.iam.gserviceaccount.com

只有在满足以下任一条件时，您才需要手动授予该角色：

  • 您在 2019 年 3 月 19 日之前启用了 Cloud Scheduler API
  • 您从服务代理中移除了 Cloud Scheduler Service Agent 角色

您可以查看项目的当前访问权限，验证 Cloud Scheduler 服务代理是否已在项目中设置，以及是否已向其授予 Cloud Scheduler Service Agent 角色。请注意，如果您使用 Google Cloud 控制台查看项目的访问权限，请务必选中包括 Google 提供的角色授予复选框。

如需了解如何向服务代理授予角色，请参阅创建服务代理并授予角色。

后续步骤

了解如何以编程方式向 Cloud Scheduler 进行身份验证。