Nesta página, descrevemos como usar bibliotecas de cliente para acessar as APIs do Google.
As bibliotecas de cliente facilitam o acesso a Cloud de Confiance by S3NS APIs
usando uma linguagem compatível. É possível usar as Cloud de Confiance by S3NS APIs diretamente fazendo
solicitações brutas ao servidor, mas as bibliotecas de cliente oferecem simplificações
que reduzem significativamente a quantidade de código que você precisa escrever. Isso é
especialmente verdadeiro para a autenticação, porque as bibliotecas de cliente oferecem suporte a
Application Default Credentials (ADC).
Usar o Application Default Credentials com as bibliotecas de clientes
Para usar o Application Default Credentials para autenticar um aplicativo, primeiro configure o ADC para o ambiente em que o aplicativo está em execução. Quando você usa a biblioteca
de cliente para criar um cliente, essa biblioteca verifica e
usa automaticamente as credenciais fornecidas ao ADC para autenticação nas APIs
usadas pelo seu código. Seu aplicativo não precisa autenticar ou gerenciar tokens explicitamente. esses requisitos são gerenciados automaticamente pelas
bibliotecas de autenticação.
As amostras de código a seguir criam um cliente para o serviço do Cloud Storage.
É provável que seu código precise de clientes diferentes. Estas amostras servem apenas para mostrar como criar um cliente e usá-lo sem qualquer código para autenticar explicitamente.
Antes de executar os exemplos a seguir, é preciso concluir as etapas a seguir:
Você só pode usar chaves de API com bibliotecas de cliente para APIs que aceitam chaves de API. Além disso, a chave de API não pode ter uma restrição de API que impeça o uso dela para a API.
Ao usar chaves de API nos seus aplicativos, garanta que elas sejam mantidas em segurança durante o armazenamento e a transmissão. A exposição pública das chaves de API pode
levar a cobranças inesperadas na sua conta. Para mais informações, consulte
Práticas recomendadas para gerenciar chaves de API.
Requisitos de segurança ao usar configurações de credenciais de uma fonte externa
Normalmente, você gera configurações de credenciais usando comandos da CLI gcloud ou o Cloud de Confiance console. Por exemplo, é possível usar a CLI gcloud para gerar um arquivo ADC local ou um arquivo de configuração de login. Da mesma forma, você pode usar o Cloud de Confiance console para criar e fazer o download
de uma chave de conta de serviço.
No entanto, para alguns casos de uso, as configurações de credenciais são fornecidas por uma entidade externa. Essas configurações de credenciais são destinadas à autenticação nas APIs do Google.
Alguns tipos de configurações de credenciais incluem endpoints e caminhos de arquivos, que as bibliotecas de autenticação usam para adquirir um token. Ao aceitar configurações de credenciais de uma fonte externa, valide a configuração antes de usá-la. Se você não validar a configuração, um agente malicioso poderá usar a credencial para comprometer seus sistemas e dados.
Validar configurações de credenciais de fontes externas
A forma como você precisa validar suas credenciais externas depende dos tipos de credenciais que seu aplicativo aceita.
Validar chaves de conta de serviço
Se o aplicativo aceitar apenas chaves de conta de serviço, use um carregador de credenciais específico para chaves de conta de serviço, conforme mostrado nos exemplos a seguir. O carregador de credenciais específico do tipo analisa apenas os campos presentes para chaves de contas de serviço, que não expõem nenhuma vulnerabilidade.
Se você não puder usar um carregador de credenciais específico do tipo, valide a credencial confirmando que o valor do campo type é service_account. Se o valor do campo type for qualquer outro valor, não use a chave da conta de serviço.
A tabela a seguir lista os campos que você precisa validar, se eles estiverem presentes nas suas credenciais. Nem todos esses campos estão presentes em todas as configurações de credenciais.
Campo
Finalidade
Valor esperado
service_account_impersonation_url
As bibliotecas de autenticação usam esse campo para acessar um endpoint e
gerar um token de acesso para a conta de serviço que está sendo representada.
As bibliotecas de autenticação enviam um token externo para esse endpoint para
trocá-lo por um
token de acesso federado.
https://sts.s3nsapis.fr/v1/token
credential_source.file
As bibliotecas de autenticação leem um token externo do arquivo no
local especificado por esse campo e o enviam para o
token_url endpoint.
O caminho para um arquivo que contém um token externo. Você precisa
reconhecer esse caminho.
credential_source.url
Um endpoint que retorna um token externo. As bibliotecas de autenticação
enviam uma solicitação para esse URL e enviam a resposta para o
token_url endpoint.
Um dos seguintes itens:
Um endpoint conhecido fornecido pelo provedor de nuvem.
Um endpoint que você configurou explicitamente para fornecer tokens.
credential_source.executable.command
Se a variável de ambiente GOOGLE_EXTERNAL_ACCOUNT_ALLOW_EXECUTABLES
estiver definida como 1, as bibliotecas de autenticação
executarão esse comando ou arquivo executável.
Um arquivo executável ou comando que retorna um token externo.
Você precisa reconhecer esse comando e validar se ele é seguro.
credential_source.aws.url
As bibliotecas de autenticação emitem uma solicitação para esse URL para recuperar
um token de segurança da AWS.
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Não contém as informações de que eu preciso","missingTheInformationINeed","thumb-down"],["Muito complicado / etapas demais","tooComplicatedTooManySteps","thumb-down"],["Desatualizado","outOfDate","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Problema com as amostras / o código","samplesCodeIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2026-05-16 UTC."],[],[]]