代表用户使用Google Cloud KMS

我有一个与Google KMS交互的CLI工具。为了使其正常工作，我将用户凭据作为存储在磁盘上的JSON文件获取。现在出现了新的要求。我需要使用此CLI工具制作一个Web应用程序。该网络应用将通过Google Cloud IAP受保护。问题是，如何代表经过身份验证的用户运行CLI工具？

你不知道。更好地使用服务帐户并分配所需的角色。该服务帐户仍然可以具有域范围的权限委派（可以模拟任何已知的用户）。

也可能/应该避免从Web应用程序运行CLI工具。最好将其CLI工具转换为Cloud Function，然后从Web应用程序内部通过HTTP触发器调用它（以便尽可能限制对服务帐户的访问）。

从安全角度考虑，这也可能需要重新考虑：

我以存储在磁盘上的JSON文件的形式获取用户凭据。

即使有必要，也不需要服务帐户。