- Autenticación: determinar la identidad del usuario
- Autorización: determinar los permisos que un usuario autenticado tiene sobre unos determinados recursos
Cuenta de servicio
$ gcloud iam service-accounts create SERVICIO_A
$ gcloud projects add-iam-policy-binding PROYECTO_A --member "serviceAccount:SERVICIO_A@PROYECTO_A.iam.gserviceaccount.com" --role "roles/owner"
$ gcloud iam service-accounts keys create CLAVE.json --iam-account SERVICIO_A@PROYECTO_A.iam.gserviceaccount.com
La mejor forma para especificar las cuenta de servicio que se quiere utilizar, es mediante la variable de entorno GOOGLE_APPLICATION_CREDENTIALS porque no precisa modificar el código de la aplicación, aunque también se puede hacer especificándolo en el código. Para establecer esta variable de entorno se puede hacer de la siguiente forma especificando el fichero JSON con las credenciales de esa cuenta de servicio:
$ export GOOGLE_APPLICATION_CREDENTIALS="/home/user/Downloads/[FILE_NAME].json"
Cuenta de usuario
Cuando se utilizan cuentas de usuario, una aplicación accede a recursos en nombre de ese usuario. Para poder realizar esta acción, la aplicación solicita el permiso correspondiente para poder realizar esa tarea, y una vez que el cliente acepta este consentimiento la aplicación obtiene las credenciales desde un servidor de autorizaciones. Con esas credenciales, la aplicación accede a los recursos correspondientes. Este proceso está basado en el protocolo OAuth 2.0.
Las acciones que la aplicación puede realizar en nombre del usuario está limitado por un alcance definido manualmente de forma previa.
Cuando se accede a recursos de un proyecto, el usuario debe tener permisos correspondientes para acceder a ese recurso, y eso se define en base al rol de ese usuario sobre el recurso correspondiente.
API Keys
Una API Key es simplemente un conjunto de caracteres cifrados, que identifican a un determinado proyecto para temas de facturación y cuotas, y que se utiliza cuando no es necesita acceder a datos privados y/o cuando no existe un servidor de backend para realizar operaciones de autenticación. En general, siempre se debería utilizar una cuenta de servicio en lugar de un API Key, hay pocos casos en lo que puede ser preferible esta última opción.
Si se utiliza una API Key, se deben añadir restricciones (HTTP/HTTPS, Android apps, …) a su uso para evitar usos no adecuados de la misma.