Codex 如何安全连接 Google Cloud
我想让 Codex 调用 Google Cloud 的 API，但不想把服务账号密钥直接放进代码库或聊天内容里，有哪些更安全的做法？
使用短期凭证和受控身份授权
更安全的方式是避免使用长期静态密钥，改用服务账号、Workload Identity、OAuth 短期令牌或受托身份绑定。将权限授予最小范围，只开放 Codex 需要的项目、API 和资源。密钥应放在 Secret Manager、CI/CD 密钥库或本地受保护的凭证管理器中，不要写入仓库、日志或提示词。若运行环境支持，可优先让 Codex 通过云端身份直接获取临时访问令牌，这样即使凭证被截获，风险也会小很多。
在团队协作场景里，我该给 Codex 配个人 Google 账号，还是单独创建一个服务账号更合适？
优先使用专用服务账号
建议为 Codex 单独创建服务账号，而不是复用个人账号。个人账号和开发者权限绑定过深，离职、换岗或权限变更时不容易管理。服务账号便于审计、撤销和权限隔离，也更适合自动化任务。若需要人工确认操作，可让人类账号负责审批，Codex 只持有执行所需的有限权限，这样职责分离更清晰。
如果 Codex 只需要读写某个存储桶或调用少数几个接口，我该怎么配置，才能避免它接触到整个云项目？
用最小权限和资源级控制
可以通过 IAM 角色精确限制权限，只分配对应服务所需的角色，例如只读、对象存储读写或特定数据库访问权限。资源层面也要做边界控制，比如限定到某个项目、某个存储桶、某个服务账号或某个 VPC。若 API 支持条件访问，可增加时间、来源 IP、设备状态等限制。这样即使 Codex 出现误操作，也不会扩散到不相关的云资源。
我在不同环境里都想让 Codex 使用 Google Cloud 能力，但担心本地、流水线和云端的认证方式不一致，怎样设计更安全？
按环境拆分身份与凭证管理
不同环境应使用不同身份和凭证策略。本地开发可用 gcloud 登录配合受限账号，CI/CD 建议使用专用流水线服务账号或 OIDC 联邦身份，云函数、Cloud Run、GKE 等运行环境可启用工作负载身份。每个环境单独分配权限，避免共用一套密钥。配合 Secret Manager、审计日志和告警规则，可以更容易发现异常调用，也方便在某个环境出现风险时单独回收权限。