Einige oder alle Informationen auf dieser Seite gelten möglicherweise nicht für Cloud de Confiance von S3NS. Weitere Informationen finden Sie unter Unterschiede zu Google Cloud.
Google uses AI technology to translate content into your preferred language. AI translations can contain errors.
Auf dieser Seite wird beschrieben, wie Sie mit Clientbibliotheken auf Google APIs zugreifen können.
Clientbibliotheken erleichtern den Zugriff auf Cloud de Confiance by S3NS APIs
mit einer unterstützten Sprache. Sie können Cloud de Confiance by S3NS APIs direkt verwenden, indem Sie
Roh-Anfragen an den Server senden. Clientbibliotheken bieten jedoch Vereinfachungen,
die den zu schreibenden Code erheblich reduzieren. Dies gilt
insbesondere für die Authentifizierung, da die Clientbibliotheken
Standardanmeldedaten für Anwendungen (Application Default Credentials, ADC)unterstützen.
Standardanmeldedaten für Anwendungen mit Clientbibliotheken verwenden
Wenn Sie Ihre Anwendung mit den Standardanmeldedaten für Anwendungen authentifizieren möchten, müssen Sie zuerst Standardanmeldedaten für Anwendungen für die Umgebung einrichten, in der Ihre Anwendung ausgeführt wird. Wenn Sie die Clientbibliothek zum Erstellen eines Clients verwenden, prüft die Clientbibliothek automatisch die Anmeldedaten, die Sie für ADC bereitgestellt haben, und verwendet sie, um die von Ihrem Code verwendeten APIs zu authentifizieren. Ihre Anwendung muss Tokens nicht explizit authentifizieren oder verwalten. Diese Anforderungen werden automatisch von den Authentifizierungsbibliotheken verwaltet.
In den folgenden Codebeispielen wird ein Client für den Cloud Storage-Dienst erstellt.
Ihr Code benötigt wahrscheinlich andere Clients. Diese Beispiele sollen nur zeigen, wie Sie einen Client erstellen und ihn ohne Code zur expliziten Authentifizierung verwenden können.
Bevor Sie die folgenden Beispiele ausführen können, müssen Sie die folgenden Schritte ausführen:
Sie können API-Schlüssel nur mit Clientbibliotheken für APIs verwenden, die API-Schlüssel akzeptieren. Außerdem darf der API-Schlüssel keine API-Einschränkung haben, die seine Verwendung für die API verhindert.
Wenn Sie API-Schlüssel in Ihren Anwendungen verwenden, achten Sie darauf, dass sie sowohl beim Speichern als auch bei der Übertragung sicher sind. Wenn Sie Ihre API-Schlüssel öffentlich freigeben, kann dies zu unerwarteten Kosten in Ihrem Konto führen. Weitere Informationen finden Sie unter
Best Practices für die Verwaltung von API-Schlüsseln.
Sicherheitsanforderungen für die Verwendung von Anmeldedatenkonfigurationen aus externen Quellen
In der Regel generieren Sie Anmeldedatenkonfigurationen mit gcloud CLI Befehlen oder über die Cloud de Confiance Console. Mit der gcloud CLI können Sie beispielsweise eine lokale ADC-Datei oder eine Anmeldekonfigurationsdatei generieren. Ebenso können Sie über die Cloud de Confiance Console einen Dienstkontoschlüssel erstellen und herunterladen.
In einigen Anwendungsfällen werden Ihnen jedoch Anmeldedatenkonfigurationen von einer externen Entität zur Verfügung gestellt. Diese Anmeldedatenkonfigurationen sollen zur Authentifizierung bei Google APIs verwendet werden.
Einige Arten von Anmeldedatenkonfigurationen enthalten Endpunkte und Dateipfade, die von den Authentifizierungsbibliotheken zum Abrufen eines Tokens verwendet werden. Wenn Sie Anmeldedatenkonfigurationen von einer externen Quelle akzeptieren, müssen Sie die Konfiguration validieren, bevor Sie sie verwenden. Wenn Sie die Konfiguration nicht validieren, kann ein böswilliger Akteur die Anmeldedaten verwenden, um Ihre Systeme und Daten zu kompromittieren.
Anmeldedatenkonfigurationen aus externen Quellen validieren
Wie Sie Ihre externen Anmeldedaten validieren müssen, hängt davon ab, welche Arten von Anmeldedaten Ihre Anwendung akzeptiert.
Dienstkontoschlüssel validieren
Wenn Ihre Anwendung nur Dienstkontoschlüssel akzeptiert, verwenden Sie einen Anmeldedaten-Loader, der speziell für Dienstkontoschlüssel entwickelt wurde, wie in den folgenden Beispielen gezeigt. Der typspezifische Anmeldedaten-Loader parst nur die Felder, die für Dienstkontoschlüssel vorhanden sind, und deckt keine Sicherheitslücken auf.
Wenn Sie keinen typspezifischen Anmeldedaten-Loader verwenden können, validieren Sie die Anmeldedaten, indem Sie bestätigen, dass der Wert für das Feld typeservice_account ist. Wenn der Wert für das Feld type ein anderer Wert ist, verwenden Sie den Dienstkontoschlüssel nicht.
In der folgenden Tabelle sind die Felder aufgeführt, die Sie validieren müssen, wenn sie in Ihren Anmeldedaten vorhanden sind. Nicht alle diese Felder sind für alle Anmeldedatenkonfigurationen vorhanden.
Feld
Zweck
Erwarteter Wert
service_account_impersonation_url
Die Authentifizierungsbibliotheken verwenden dieses Feld, um auf einen Endpunkt zuzugreifen, um
ein Zugriffstoken für das Dienstkonto zu generieren, dessen Identität übernommen wird.
Die Authentifizierungsbibliotheken senden ein externes Token an diesen Endpunkt, um es gegen ein föderiertes Zugriffstoken auszutauschen.
https://sts.s3nsapis.fr/v1/token
credential_source.file
Die Authentifizierungsbibliotheken lesen ein externes Token aus der Datei am
Speicherort, der durch dieses Feld angegeben wird, und senden es an den
token_url Endpunkt.
Der Pfad zu einer Datei, die ein externes Token enthält. Sie sollten
diesen Pfad kennen.
credential_source.url
Ein Endpunkt, der ein externes Token zurückgibt. Die Authentifizierungsbibliotheken
senden eine Anfrage an diese URL und senden die Antwort an den
token_url Endpunkt.
Einer der folgenden Werte:
Ein bekannter Endpunkt, der von Ihrem Cloud-Anbieter bereitgestellt wird.
Ein Endpunkt, den Sie explizit für die Bereitstellung von Tokens eingerichtet haben.
credential_source.executable.command
Wenn die GOOGLE_EXTERNAL_ACCOUNT_ALLOW_EXECUTABLES
Umgebungsvariable auf 1 gesetzt ist, führen die Authentifizierungs
Bibliotheken diesen Befehl oder diese ausführbare Datei aus.
Eine ausführbare Datei oder ein Befehl, der ein externes Token zurückgibt.
Sie sollten diesen Befehl kennen und prüfen, ob er sicher ist.
credential_source.aws.url
Die Authentifizierungsbibliotheken senden eine Anfrage an diese URL, um
ein AWS-Sicherheitstoken abzurufen.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Benötigte Informationen nicht gefunden","missingTheInformationINeed","thumb-down"],["Zu umständlich/zu viele Schritte","tooComplicatedTooManySteps","thumb-down"],["Nicht mehr aktuell","outOfDate","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Problem mit Beispielen/Code","samplesCodeIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2026-05-16 (UTC)."],[],[]]