在客户端应用中启用基于证书的访问权限

本页面介绍了如何在客户端中启用基于证书的访问权限 (CBA)。 使用兼容的应用调用 Google API， 库或工具。

要启用 CBA 并允许 Google API 识别设备，调用方客户端 必须与 Google API 建立 mTLS 连接，然后 设备上的 TLS 证书。此过程如下图所示 图表：

客户端连接流程

兼容 CBA 的客户端

您可以将 CBA 与以下客户端搭配使用：

  • Google Cloud 控制台 (Chrome)
  • Google Cloud CLI 264.0.0 或更高版本
  • Terraform CLI 1.3.6 或更高版本
  • Google API 客户端库
    • Python
    • Go 语言

为 gcloud CLI 启用 CBA

  1. 拥有您的用户 安装或更新 gcloud CLI，以确保其拥有适用于 CBA 的版本 264.0.0 或更高版本。

    已安装 Google Cloud CLI 的用户可以确认他们已安装版本 264.0.0 或更高版本：

    gcloud --version

    如果需要，用户可以使用以下命令更新其 Google Cloud CLI 版本 命令：

    gcloud components

  2. 如需开始使用 CBA，用户必须运行以下命令：

    gcloud config set context_aware/use_client_certificate true

为 Terraform CLI 和 Google API 客户端库启用 CBA

  1. 如需为 Terraform CLI 和 Google API 客户端库启用 CBA，请执行以下操作： 用户必须设置以下环境变量：

    export GOOGLE_API_USE_CLIENT_CERTIFICATE=1

为 IAP 桌面启用 CBA

如需在 IAP 桌面中启用基于证书的访问权限，请执行以下操作：

  1. 在该应用中，选择工具 >选项。
  2. 选择使用基于证书的访问权限保护与 Google Cloud 的连接。
  3. 点击 OK（确定）。
  4. 关闭 IAP 桌面，然后重新启动。

如果您使用的是 Active Directory，还可以配置组策略对象 来自动为用户启用基于证书的访问权限。