授权后端服务器对firestore进行读写的最佳方式是什么？

Question

我有一个带有 postgresql 数据库的后端服务器。当触发其中一个突变时，我需要写入我的 Firestore 数据库。

我的后端服务器将被 Docker 化并在 Google Cloud 上运行。

阅读文档后，我最初的计划是使用 env GOOGLE_APPLICATION_CREDENTIALS 来授权我的后端服务器。但在进一步阅读 Google Cloud Run 的文档时，我遇到了这个警告。

来源：

我想知道在这些类型的设置中授权后端服务器的常用/最佳方法是什么。任何帮助/建议将不胜感激。谢谢！

Answer 1

Google 客户端库使用身份验证机制，它们要么使用

GOOGLE_APPLICATION_CREDENTIALS

中引用的凭据文件，要么向 google 元数据服务发出请求以获取调用资源的服务标识。

因此，您应该能够在与该云运行服务关联的服务帐户上设置适当的权限，例如

datastore.user

。

您可以在云运行页面看到与该服务关联的服务帐号。我不记得默认的服务帐户 - 但我通常建议为每个云运行服务创建一个服务帐户，以保持权限尽可能狭窄和具体。