1. 基本信息
| 项目 | 内容 |
|---|---|
| 名称 | google-cloud-recipe-auth-google-skills |
| 作者/维护者 | Google（google/skills 官方仓库） |
| 来源链接 | https://github.com/google/skills/tree/main/skills/cloud/google-cloud-recipe-auth |
| 许可证 | Apache-2.0（数据来自 GitHub API） |
| GitHub Stars | 19,160（数据来自 GitHub API；为 google/skills 整个合集仓库的星数，不代表本技能自身热度） |
| Forks | 1,546（数据来自 GitHub API，同为合集仓库整体数字） |
| 最新版本 | 未发布正式版本号（仓库未使用 Git tag/Release，滚动更新），技能子目录当前内容最近一次提交 2026-06-24 |
| 安装方式 | npx skills add google/skills，安装时从清单中勾选本技能 |
2. 功能介绍与亮点
这份技能是 Google Cloud 身份认证与授权的一份结构化决策指南，把散落在多篇官方文档里的概念收拢成一条可直接执行的判断路径：
- 先问清楚场景：谁在认证（人/脚本/生产服务）、代码跑在哪（本地/Compute Engine/GKE/Cloud Run/另一云）、目标是什么（Google Cloud API 还是自建应用）、是否用高层客户端库——四个问题问完才给方案，避免张冠李戴。
- 人的认证：控制台登录、
gcloud auth login、Application Default Credentials（ADC）、服务账号模拟（Impersonation）分别讲清各自适用场景与相互区别，并点名“避免下载服务账号密钥、改用模拟”这一容易被忽视的最佳实践。 - 服务间认证：Compute Engine/Cloud Run 附加服务账号取代静态密钥、GKE 场景下的 Workload Identity Federation、跨云（AWS/Azure）场景下的联合身份、私有 Cloud Run 服务间的 OIDC ID Token 调用，均给出具体命令与角色示例。
- 授权（IAM）：预定义角色优先于自定义角色的取舍原则。
- 验证清单：结尾附一份可直接对照执行的检查表（是否在本地用密钥、是否用了默认服务账号、API Key 有没有限制范围等），把“讲道理”落到“能核对”。
主要亮点：单文件内容完整、结构清晰，每个概念都链接官方文档原文；Google 官方出品、Apache-2.0 完全开源；覆盖面横跨本地开发、生产部署、跨云与自建应用调用等几乎所有认证场景，不是只讲某一个狭窄分支。
3. 适用场景
固定分类：安全与合规。
适用于任何需要在 Google Cloud 上正确设置身份认证与访问控制的开发者与运维人员，尤其是：
- 本地开发时不确定该用
gcloud auth login还是gcloud auth application-default login的开发者； - 把应用部署到 Cloud Run/GKE/Compute Engine、需要决定服务账号绑定方式而非硬编码密钥的团队；
- 需要让 AWS/Azure 上的工作负载或 CI 流水线安全访问 Google Cloud 资源、避免长期静态凭据的平台工程师；
- 排查“服务账号有权限但 API 调用仍失败”这类因 OAuth Scope 或角色配置引发的疑难问题的运维人员。
4. 跨 Agent 兼容性
- Claude Code：原生支持——纯参考文档，指导 agent 执行的是标准
gcloud命令，终端默认联网无限制。 - Codex CLI：需适配——技能核心操作（
gcloud auth login、gcloud auth application-default login）需发起 OAuth 网络请求，Codex 默认沙箱（workspace-write模式）关闭出站网络访问，需用户显式开启。 - OpenClaw：需适配——同理，默认沙箱同样默认禁用出站网络访问，需显式开启后才能完成认证流程。
- Hermes Agent：原生支持——默认终端后端在宿主机执行、不隔离出站网络，联网类操作默认可用；但未查到该平台对本技能的专门公开兼容性说明，结论基于其终端执行机制推断。
5. 推荐理由
Google Cloud 的身份认证体系是初中级用户最容易踩坑的角落之一——本地认证和 CLI 认证是两套东西、服务账号密钥该不该下载、GKE 和跨云场景各有专属机制，光靠零散查文档很容易配置出能跑但不安全的方案（比如误用项目默认服务账号、下载密钥文件长期留存）。这份技能把“先弄清场景再给方案”的判断流程和一份可核对的验证清单打包成一份文档，帮用户绕开这些常见误区，尤其对第一次在 Google Cloud 上部署应用、还没形成安全直觉的用户价值明显。
6. 评分
| 维度 | 分数 | 说明 |
|---|---|---|
| 受欢迎程度 | 7 | Google 为该产品线的官方所有者，属第一方出品；技能自身内容通用，未查到针对本技能的独立第三方讨论或采用数据 |
| 可用性 | 9 | 单文件结构完整（澄清问题框架 + 分场景指南 + 可执行命令示例 + 验证清单 + 官方文档链接），无付费依赖，所属仓库整体持续活跃维护（最近一次推送为 2026-09-02 当天） |
| 安全性 | 9 | 纯提示词/参考文档类，无脚本、无代码执行；不索取也不存储任何凭据，仅链接公开官方文档；License 明确 |
安全检查清单：
| 检查项 | 结果 |
|---|---|
| ① Shell 命令与权限范围 | 仅指导用户执行标准 gcloud auth 系列命令，权限范围限于用户自己的 GCP 项目与身份 |
| ② 运行时联网外发 | 认证流程仅与 Google 官方 OAuth/IAM 端点通信，无第三方外发 |
| ③ API Key/凭据 | 技能本身不索取、不存储任何凭据，复用用户本机已有的 gcloud 认证会话 |
| ④ 可疑指令 | 未发现 prompt injection 或与任务无关的夹带内容 |
| ⑤ 作者/组织信誉 | Google 官方仓库，信誉可查证 |
| ⑥ License | Apache-2.0，明确 |
| ⑦ 最近维护 | 仓库整体持续活跃（最近推送 2026-09-02），技能内容最近一次更新 2026-06-24 |
综合评分：8.33（(7+9+9)/3）
7. 跟同类 Skills 相比的优势
| 技能 | 定位 | 与本技能的差异 |
|---|---|---|
| IAM Helper for Policy Simulator | 在正式变更 IAM 策略前，模拟预演该变更是否会误伤现有访问 | 关注“变更影响预演”这一个专项动作，不涉及“该用哪种认证方式”的选型判断 |
| IAM Helper for Privileged Access Management | 聚焦临时提权（PAM）这一种特定授权机制 | 只覆盖 PAM 单一工具，不是认证与授权的全景指南 |
| Google Cloud Recipe Onboarding | 面向新项目的初始搭建（启用 API、设置计费、项目结构等入门步骤） | 解决“项目怎么开起来”，本技能解决的是开起来之后几乎每个任务都会撞上的“身份怎么证明、权限怎么给”这一横切问题 |
本技能的差异化在于覆盖面：它不是某一种认证机制或某一个专项工具的说明书，而是从“该用哪种认证方式”这个决策起点出发，串起本地开发、生产部署、跨云工作负载、私有服务间调用等全部主流场景，并以验证清单收尾。
8. 用户评价
该技能目前在第三方平台（GitHub Issues/PR、Reddit、Hacker News）尚无具名用户评价；部分第三方技能市场聚合页面收录了该技能的基本信息，但标注为社区待审核状态，未见实质用户评价内容。
9. 安装使用方式
- 安装：
npx skills add google/skills，在交互式清单中勾选google-cloud-recipe-auth；也可手动下载SKILL.md放入对应 agent 的技能目录。 - 使用前确保本机已安装并登录
gcloud（gcloud auth login），并已确认目标 GCP 项目可用。 - 触发：向 agent 描述“本地开发怎么认证 Google Cloud”“Cloud Run 怎么安全访问 Cloud SQL”“要不要下载服务账号密钥”等意图即可自动加载本技能；技能会先反问运行环境与调用目标，再给出对应方案与验证清单。
10. 注意事项
- 技能本身只提供指导，不代为执行任何认证操作；实际运行
gcloud auth命令、创建/绑定服务账号等仍需用户在自己的 GCP 项目中操作，并对授予的权限范围自行负责。 - Codex CLI 与 OpenClaw 默认沙箱关闭出站网络，首次执行认证类命令需手动开启网络权限，否则请求会直接失败。
- 内容聚焦 Google Cloud 官方认证机制，第三方身份提供方（如 Okta/Entra ID）仅在联合身份部分简要提及，未展开具体配置步骤。