Elige un método de autenticación de carga de trabajo
Organiza tus páginas con colecciones
Guarda y categoriza el contenido según tus preferencias.
En este documento, se describe cómo autenticar aplicaciones o cargas de trabajo que se ejecutan en un entorno de producción en Compute Engine o se prueban de forma local para su implementación futura en el entorno de producción. Puedes realizar lo siguiente:
Autentica tus cargas de trabajo para usar las APIs de Google
Autentica tus cargas de trabajo en otras cargas de trabajo a través de mTLS
Autentica tus cargas de trabajo para usar las APIs de Google
Usa la siguiente tabla para determinar qué método de autenticación usar para tus cargas de trabajo.
Tarea
Método
Autentica apps o cargas de trabajo que están en producción
Autoriza apps y cargas de trabajo que necesitan acceso a los recursos del usuario final
Si compilas herramientas de desarrollo o administración en las que los usuarios te otorgan acceso a sus Google Cloud recursos, haz que tu aplicación acceda a los recursos del usuario con OAuth 2.0. Si deseas obtener instrucciones detalladas, consulta
Cómo usar OAuth 2.0 para aplicaciones de servidor web.
En la solicitud, especifica un permiso de acceso que limite el acceso solo a los métodos y la información del usuario que requiere la aplicación.
Si deseas obtener una lista completa de servicios y alcances obligatorios en Google Cloud, consulta
Alcances de OAuth 2.0 para las APIs de Google.
Autentica tus cargas de trabajo en otras cargas de trabajo a través de mTLS
Puedes autenticar aplicaciones o cargas de trabajo con identidades de carga de trabajo administradas. Este método de autenticación usa una cuenta de servicio, grupos de autoridades certificadoras (AC) y identidades de cargas de trabajo administradas.
Las identidades de carga de trabajo administradas te permiten vincular identidades certificadas
a tus cargas de trabajo de Compute Engine. Google Cloud aprovisiona credenciales X.509
emitidas desde el Certificate Authority Service que se puede
usar para autenticar de forma confiable tu carga de trabajo con otras cargas de trabajo en la autenticación
TLS mutua (mTLS).
Tu carga de trabajo usa la identidad de carga de trabajo administrada como su identidad cuando se autentica en otras cargas de trabajo a través de TLS mutua (mTLS) y usa la cuenta de servicio como su identidad cuando accede a otros servicios y recursos deGoogle Cloud .
[[["Fácil de comprender","easyToUnderstand","thumb-up"],["Resolvió mi problema","solvedMyProblem","thumb-up"],["Otro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Información o código de muestra incorrectos","incorrectInformationOrSampleCode","thumb-down"],["Faltan la información o los ejemplos que necesito","missingTheInformationSamplesINeed","thumb-down"],["Problema de traducción","translationIssue","thumb-down"],["Otro","otherDown","thumb-down"]],["Última actualización: 2025-09-03 (UTC)"],[[["\u003cp\u003eThis document outlines how to authenticate applications or workloads in production on Compute Engine or during local testing for future deployment.\u003c/p\u003e\n"],["\u003cp\u003eWorkloads running on Google Cloud VMs in production should use the attached service account for authentication to access Google APIs.\u003c/p\u003e\n"],["\u003cp\u003eWorkloads in development can utilize the Google Cloud SDK and Application Default Credentials for authentication, and for access to end-user resources, they can leverage OAuth 2.0.\u003c/p\u003e\n"],["\u003cp\u003eManaged workload identities are available for strongly attesting identities to Compute Engine workloads, using X.509 credentials for mutual TLS (mTLS) authentication between workloads.\u003c/p\u003e\n"],["\u003cp\u003eManaged workload identities can authenticate to other workloads using mTLS, while the service account provides authentication to other Google Cloud services.\u003c/p\u003e\n"]]],[],null,["*** ** * ** ***\n\nThis document describes how you authenticate applications or\nworkloads that are either running in a production environment on\nCompute Engine, or being tested locally for future deployment to the\nproduction environment. You can do the following:\n\n- Authenticate your workloads to use Google APIs\n- Authenticate your workloads to other workloads over mTLS\n\nAuthenticate your workloads to use Google APIs\n\nUse the following table to determine which authentication method to use\nfor your workloads.\n\n| **Task** | **Method** |\n|-----------------------------------------------------------------------|-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|\n| Authenticate apps or workloads that are in production | Use the service account that is attached to the VM. \u003cbr /\u003e This is the most common method for authenticating apps and workloads that are running on virtual machine (VM) instances on Google Cloud. For detailed instructions, see [Authenticate workloads to Google Cloud APIs using service accounts](/compute/docs/access/authenticate-workloads). |\n| Authenticate apps or workloads that are in development | Use Google Cloud SDK and Application Default Credentials. For more information, see [Set up ADC for a local development environment](/docs/authentication/set-up-adc-local-dev-environment). |\n| Authorizing apps and workloads that need access to end-user resources | If you are building development or administration tools where users grant you access to their Google Cloud resources, get your application access to user resources by using OAuth 2.0. For detailed instructions, see [Using OAuth 2.0 for Web Server Applications](https://developers.google.com/identity/protocols/oauth2/web-server). \u003cbr /\u003e In your request, specify an access scope that limits your access to only the methods and user information that your application requires. For a full list of services and required scopes across Google Cloud, see [OAuth 2.0 Scopes for Google APIs](https://developers.google.com/identity/protocols/oauth2/scopes). |\n\nAuthenticate your workloads to other workloads over mTLS\n| **Preview**\n|\n|\n| This feature is subject to the \"Pre-GA Offerings Terms\" in the\n| General Service Terms section of the\n| [Service Specific Terms](/terms/service-terms#1).\n| Pre-GA features are available \"as is\" and might have limited support. For more\n| information, see the\n| [launch stage descriptions](/products#product-launch-stages).\n|\n| For information about access to this release, see the\n| [access request page](https://forms.gle/KC1Lq77gMn3kTtWDA).\n\nYou can authenticate applications or workloads using\n[managed workload identities](/iam/docs/managed-workload-identity). This\nauthentication method uses a service account, certificate authority (CA) pools,\nand managed workload identities.\n\nManaged workload identities let you bind strongly attested identities to\nyour Compute Engine workloads. Google Cloud provisions X.509 credentials\nissued from the [Certificate Authority Service](/certificate-authority-service) that can\nbe used to reliably authenticate your workload with other workloads over\n[mutual TLS (mTLS)](/chrome-enterprise-premium/docs/understand-mtls)\nauthentication.\n\nYour workload uses the managed workload identity as its\nidentity when it authenticates to other workloads using mutual TLS (mTLS),\nand uses the service account as its identity when it accesses other\nGoogle Cloud services and resources.\n\nFor more information, see\n[Authenticate workloads to other workloads over mTLS](/compute/docs/access/authenticate-workloads-over-mtls).\n\nWhat's next\n\n- Learn more about the following concepts:\n - [Authenticate to Compute Engine](/compute/docs/authentication)\n - [Authentication methods at Google](/docs/authentication)\n - [Managed workload identities](/iam/docs/managed-workload-identity)"]]
