Autentica i carichi di lavoro in altri carichi di lavoro tramite mTLS

Questo documento descrive come configurare il provisioning automatico e il ciclo di vita delle identità dei carichi di lavoro gestiti per Compute Engine. Configura i pool di CA per emettere certificati utilizzando Certificate Authority Service (CA), un servizio Google Cloud scalabile e ad alta disponibilità che semplifica e automatizza il deployment, la gestione e la sicurezza dei servizi CA. Ogni VM viene eseguito il provisioning con le credenziali X.509 del pool di CA configurato. Questi le credenziali possono essere usate per stabilire connessioni mTLS.

Con le identità dei carichi di lavoro gestiti per Compute Engine, puoi implementare le comunicazioni autenticate e crittografate tra due VM di Compute Engine. Le applicazioni per carichi di lavoro in esecuzione sulle VM configurate possono utilizzare X.509 e le credenziali per VM mTLS. Questi certificati mTLS vengono ruotati e gestiti automaticamente dal servizio Certificate Authority.

Prima di iniziare

  • Richiedi l'accesso all'anteprima dell'identità del carico di lavoro gestito.

  • Configura Google Cloud CLI.

    Install the Google Cloud CLI, then initialize it by running the following command: 

    gcloud init

  • Configura Google Cloud CLI in modo da utilizzare il progetto nella lista consentita per la fatturazione quota.

      gcloud config set billing/quota_project PROJECT_ID

    Sostituisci PROJECT_ID con l'ID del progetto che è stato aggiunto alla lista consentita per l'anteprima di Workload Identity gestito.

  • Esamina il Panoramica delle identità dei carichi di lavoro gestiti documentazione.

  • Enable the Compute Engine API: 

    gcloud services enable compute.googleapis.com

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per creare VM che utilizzano certificati di identità per i carichi di lavoro gestiti per l'autenticazione su altri carichi di lavoro, chiedi all'amministratore di concederti seguenti ruoli IAM sul progetto:

Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite la ruoli o altri ruoli predefiniti ruoli.

Panoramica

Per utilizzare le identità dei carichi di lavoro gestiti per le tue applicazioni, devi eseguire le le seguenti attività:

  1. Amministratore della sicurezza:

  2. Amministratore computing:

Configura le identità dei carichi di lavoro gestiti in Identity and Access Management

  • Segui le istruzioni riportate in Configurare l'autenticazione delle identità per i carichi di lavoro gestiti.

    Queste istruzioni spiegano come completare le seguenti operazioni:

    • Crea un pool di identità per i carichi di lavoro.
    • Crea spazi dei nomi nel pool di identità per i carichi di lavoro. Puoi utilizzare gli spazi dei nomi creare confini amministrativi per le identità dei carichi di lavoro gestiti, uno spazio dei nomi per ciascuna delle applicazioni di proprietà dell'organizzazione.
    • Crea un'identità Workload Identity gestita in uno spazio dei nomi in Workload Identity piscina. Ad esempio, puoi creare uno spazio dei nomi per un'applicazione creano identità gestite all'interno dello spazio dei nomi per i microservizi la relativa applicazione.
    • Crea un account di servizio. Le VM di Compute Engine possono essere autorizzate Ricevere un'identità dei carichi di lavoro gestita basata sul servizio Google Cloud collegato alla VM.
    • Crea un criterio di attestazione del carico di lavoro che consenta l'emissione del carico di lavoro e credenziali per l'identità dei carichi di lavoro gestiti. Per emettere le credenziali per l'identità dei carichi di lavoro gestiti, il carico di lavoro deve trovarsi in una a cui è collegato l'account di servizio.
    • Configura Certificate Authority Service per emettere certificati per il carico di lavoro gestito identità:
      • Configura il pool di CA radice
      • Configura le CA subordinate
      • Autorizza le identità per i carichi di lavoro gestite a richiedere certificati dal pool CA

Ottenere il file di configurazione per caricare i metadati del partner

L'amministratore della sicurezza crea un file JSON contenente quanto segue:

Il nome del file deve essere CONFIGS.json. Devi usare questo file per creare per i gruppi di istanze gestite o quando si crea una singola VM.

Il file CONFIGS.json dovrebbe essere simile al seguente:

  {
  "wc.compute.googleapis.com": {
     "entries": {
        "certificate-issuance-config": {
           "primary_certificate_authority_config": {
              "certificate_authority_config": {
                 "ca_pool": "projects/PROJECT_ID/locations/SUBORDINATE_CA_POOL_REGION/caPools/SUBORDINATE_CA_POOL_ID"
              }
           },
           "key_algorithm": "rsa-2048"
        },
        "trust-config": {
           "POOL_ID.global.PROJECT_NUMBER.workload.id.goog": {
               "trust_anchors": [{
                  "ca_pool": "projects/PROJECT_ID/locations/SUBORDINATE_CA_POOL_REGION/caPools/SUBORDINATE_CA_POOL_ID"
                }]
           }
     }
  }
  },
  "iam.googleapis.com": {
     "entries": {
        "workload-identity": "spiffe://POOL_ID.global.PROJECT_NUMBER.workload.id.goog/ns/NAMESPACE_ID/sa/MANAGED_IDENTITY_ID"
     }
  }
  }

Attivare le identità di carico di lavoro gestite per un gruppo di istanze gestite (MIG)

Un gruppo di istanze gestite è un gruppo di istanze di macchine virtuali (VM) che puoi trattare come un'unica entità. Ogni VM in un gruppo di istanze gestite viene creata utilizzando un modello di istanza. Per consentire alle VM nel gruppo di istanze gestite di utilizzare le identità dei carichi di lavoro gestiti, devi specificare la configurazione nel modello di istanza.

Crea un modello di istanza

Crea un modello di istanza con è abilitata la funzionalità delle identità per carichi di lavoro gestiti. Poi utilizza questo modello per creare un gruppo di istanze gestite.

gcloud

Usa il comando gcloud beta compute instance-templates create per creare un nuovo modello di istanza che abilita le identità per i carichi di lavoro gestiti.

gcloud beta compute instance-templates create INSTANCE_TEMPLATE_NAME \
    --service-account SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com \
    --metadata enable-workload-certificate=true \
    --partner-metadata-from-file CONFIGS.json

Puoi aggiungere ulteriori flag durante la creazione del modello di istanza personalizzare le VM che crea, ad esempio specificando il tipo di macchina e l'immagine, anziché utilizzare i valori predefiniti.

Sostituisci quanto segue:

  • INSTANCE_TEMPLATE_NAME: il nome del nuovo modello.
  • SERVICE_ACCOUNT_NAME: il nome dell'account servizio autorizzato a ricevere l'identità gestita.
  • PROJECT_ID: l'ID del progetto in cui è stato creato l'account di servizio.
  • CONFIGS.json: il file di configurazione contenente la configurazione dell'emissione dei certificati, la configurazione della attendibilità e l'identità del carico di lavoro gestito.

Per ulteriori informazioni, vedi Creare modelli di istanza.

Crea un gruppo di istanze gestite dal modello

Crea un gruppo di istanze gestite che utilizza un modello di istanza che abilita le identità dei carichi di lavoro gestiti. Per informazioni dettagliate su come creare il modello di istanza, consulta Creare un modello di istanza.

gcloud

Crea un gruppo di istanze gestite utilizzando il modello di istanza e il comando gcloud compute instance-groups managed create.

gcloud compute instance-groups managed create INSTANCE_GROUP_NAME \
    --size=SIZE \
    --template=INSTANCE_TEMPLATE_NAME \
    --zone=ZONE

Sostituisci quanto segue:

  • INSTANCE_GROUP_NAME: un ID univoco per il gruppo di istanze gestite. Per dettagli sui nomi validi, vedi Assegnare un nome alle risorse.
  • SIZE: la dimensione del gruppo di istanze gestite
  • INSTANCE_TEMPLATE_NAME: il nome del modello di istanza da utilizzare quando creando VM nel gruppo di istanze gestite.
  • ZONE: la zona in cui creare le VM

Per informazioni dettagliate sulla creazione di gruppi di istanze gestite, consulta Scenari di base per la creazione di gruppi di istanze gestite

Attivare le identità di carico di lavoro gestite per le singole VM

Puoi abilitare le identità dei carichi di lavoro gestiti per una VM durante la creazione della VM o aggiornando i metadati del partner per una VM esistente.

Crea VM con le identità dei carichi di lavoro gestiti abilitate

Quando crei una VM, per attivare la funzionalità delle identità per i carichi di lavoro gestite per la VM, devi eseguire i seguenti passaggi:

  • Specifica un account di servizio da utilizzare per la VM
  • Imposta l'attributo dei metadati enable-workload-certificate su true

  • Specifica la configurazione dell'emissione dei certificati e dell'attendibilità le informazioni come metadati del partner.

gcloud

Usa il comando gcloud beta compute instances create per creare una nuova VM. Utilizza il file CONFIGS.json fornito dall'amministratore della sicurezza o creato seguendo le istruzioni riportate in Creare un file di configurazione per caricare i metadati del partner.

  1. Crea una VM con la funzionalità delle identità dei carichi di lavoro gestite abilitata.

    gcloud beta compute instances create INSTANCE_NAME \
   --zone=INSTANCE_ZONE \
   --service-account SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com \
   --metadata enable-workload-certificate=true \
   --partner-metadata-from-file CONFIGS.json

    Puoi aggiungere altre righe al comando per configurare la VM, come il tipo di macchina e l'immagine, anziché utilizzare i valori predefiniti. Per ulteriori informazioni, vedi Crea e avvia un'istanza VM.

    Sostituisci quanto segue:

    • INSTANCE_NAME: un nome univoco per la VM. Per maggiori dettagli su nomi di istanze validi, consulta Nome delle risorse.
    • INSTANCE_ZONE: la zona in cui creare la VM.
    • SERVICE_ACCOUNT_NAME: il nome dell'account di servizio autorizzato a ricevere l'identità gestita.
    • PROJECT_ID: l'ID del progetto in cui si trova l'account di servizio è stata creata.
    • CONFIGS.json: il nome del file di configurazione che contiene la configurazione dell'emissione dei certificati, e la configurazione gestita di Workload Identity.

Abilita le identità dei carichi di lavoro gestiti sulle VM esistenti

Per abilitare le identità dei carichi di lavoro gestiti per una VM esistente, aggiorna la VM in configurare quanto segue:

  • Se la VM non ha già un account di servizio associato, crea e collega un account di servizio alla VM.
  • Imposta l'attributo dei metadati enable-workload-certificate su true.
  • Specifica le informazioni sulla configurazione dell'emissione dei certificati e sulla configurazione della attendibilità come metadati del partner.

  • Riavvia la VM.

gcloud

Questa attività utilizza il file CONFIGS.json fornito dal tuo addetto alla sicurezza amministratore o creato seguendo le istruzioni in Crea un file di configurazione per caricare i metadati del partner.

  1. Se alla VM non è già associato un account di servizio, associa l'account di servizio alla VM.

  2. Aggiorna i metadati per una VM esistente per abilitare delle identità dei carichi di lavoro gestiti.

    gcloud beta compute instances add-metadata VM_NAME \
   --zone=ZONE \
   --metadata enable-workload-certificate=true

    Sostituisci quanto segue:

    • VM_NAME: il nome della VM
    • ZONE: la zona in cui si trova la VM

  3. Aggiorna la configurazione di una VM esistente per aggiungere il file di configurazione.

    gcloud beta compute instances update VM_NAME \
   --zone=ZONE \
   --partner-metadata-from-file CONFIGS.json

    Sostituisci quanto segue:

    • VM_NAME: il nome della VM
    • ZONE: la zona in cui si trova la VM
    • CONFIGS.json: il file di configurazione contenente la configurazione dell'emissione dei certificati, la configurazione della attendibilità e l'identità del carico di lavoro gestito.

  4. Arresta la VM.

    gcloud beta compute instances stop VM_NAME \
   --zone=ZONE

    Sostituisci quanto segue:

    • VM_NAME: il nome della VM
    • ZONE: la zona in cui si trova la VM.

  5. Avvia la VM.

    gcloud beta compute instances start VM_NAME \
   --zone=ZONE

    Sostituisci quanto segue:

    • VM_NAME: il nome della VM
    • ZONE: la zona in cui si trova la VM.

Accedi alle credenziali del carico di lavoro su una VM Linux

Dopo aver configurato correttamente il carico di lavoro per l'autenticazione tramite mTLS, puoi accedere alle credenziali emesse sulla tua VM.

Esistono due modi per accedere alle credenziali dell'identità del carico di lavoro gestito da Compute Engine e al bundle di attendibilità associato:

  • Il file system della VM
  • Il server di metadati di Compute Engine

Accedi alle credenziali del carico di lavoro e al bundle di attendibilità utilizzando il file system sulla VM

Questo metodo inserisce le credenziali X.509 e il bundle di attendibilità in un percorso specifico all'interno del file system della VM. Le applicazioni possono leggere direttamente le credenziali e il bundle di attendibilità dal file system. Per esempi su come recuperare e credenziali, vedi i seguenti esempi su GitHub:

La VM deve eseguire l'agente guest Compute Engine versione 20231103.01 o successiva. Utilizza il comando seguente per verificare la versione del guest Compute Engine sulla tua VM:

gcloud beta compute instances get-serial-port-output INSTANCE_NAME \
   --zone=ZONE | grep "GCE Agent Started"

Se la versione dell'agente guest è precedente alla 20231103.01, puoi aggiornarla seguendo le istruzioni riportate in Aggiornare l'ambiente guest.

Rendi disponibili nel file system le credenziali e il pacchetto di attendibilità del carico di lavoro di una VM, completa questi passaggi:

  1. Installa o aggiorna il Agente ospite Compute Engine alla versione 20231103.01 o successiva. L'agente guest esegue le seguenti operazioni:

    • Recupera automaticamente le credenziali e il bundle di attendibilità dal server di metadati di Compute Engine.
    • Garantisce le scritture atomiche nel file system durante l'aggiornamento del certificato X.509 e della chiave privata corrispondente.
    • Aggiorna automaticamente le credenziali e il trust bundle, ad esempio quando vengono ruotati i certificati mTLS.

  2. Dopo aver installato o aggiornato l'agente guest Compute Engine sul sistema operativo guest, il job di aggiornamento del carico di lavoro crea la directory /var/run/secrets/workload-spiffe-credentials e imposta la directory autorizzazioni per 0755 (rwxr-xr-x).

    La directory contiene i seguenti file creati con autorizzazioni 0644 (rw-r--r--):

    • private_key.pem: una chiave privata in formato PEM
    • certificates.pem: un bundle di certificati X.509 in formato PEM che possono essere presentate ad altre VM come catena di certificati client oppure utilizzate come una catena di certificati server.

    • ca_certificates.pem: un bundle di certificati X.509 in formato PEM per da utilizzare come trust anchor durante la convalida dei certificati dei peer.

      spiffe://POOL_ID.global.PROJECT_NUMBER.workload.id.goog

    • config_status: un file di log contenente messaggi di errore.

  3. Le applicazioni possono leggere i certificati, la chiave privata e il bundle di attendibilità da direttamente il file system per stabilire connessioni mTLS.

Accedere alle credenziali del carico di lavoro e al bundle di attendibilità utilizzando il server metadati

Un'applicazione in esecuzione su una VM di Compute Engine può eseguire una query sugli endpoint del server di metadati e recuperare le credenziali e il pacchetto di attendibilità. La dell'applicazione è responsabile della verifica periodica del server metadati per le nuove credenziali e gli aggiornamenti del bundle di attendibilità.

Il server di metadati di Compute Engine espone tre endpoint HTTP da abilitare l'uso della funzionalità delle identità per carichi di lavoro gestiti da parte delle applicazioni che eseguono all'interno della VM.

  • gce-workload-certificates/config-status: un endpoint contenente eventuali errori nei valori di configurazione forniti tramite i metadati della VM.
  • gce-workload-certificates/workload-identities: un endpoint di identità gestito dal piano di controllo di Compute Engine. Questo endpoint contiene Il certificato X.509 e la chiave privata per il dominio di attendibilità della VM.
  • gce-workload-certificates/trust-anchors: un endpoint contenente un insieme di certificati attendibili per la convalida della catena di certificati X.509 dei peer.

Per saperne di più sull'esecuzione di query sui metadati per un'istanza VM, consulta Informazioni sui metadati della VM.

Per accedere alle credenziali del carico di lavoro e al trust bundle utilizzando il server di metadati, la tua applicazione deve:

  1. Esegui una query sull'endpoint gce-workload-certificates/config-status. Assicurati che il codice di risposta HTTP è 200 e la risposta non contiene partnerMetadataConfigsErrors errori. Se sono presenti errori di questo tipo, aggiorna configurazione appropriata con valori validi seguendo i passaggi descritti in Aggiornare la configurazione dell'emissione dei certificati e dell'attendibilità.

    Per verificare il valore, puoi eseguire il comando seguente sulla VM:

    curl "http://metadata.google.internal/computeMetadata/v1/instance/gce-workload-certificates/config-status" -H "Metadata-Flavor: Google"

    L'endpoint config-status restituisce una risposta JSON con le seguenti informazioni: struttura:

    {
    "partnerMetadataConfigsErrors": {
        "errors": {  // A map of errors keyed by attribute name.
            "ATTRIBUTE_NAME" : "ERROR_DETAILS",
            ...
        }
    }
}

  2. Esegui una query sull'endpoint gce-workload-certificates/workload-identities. Ensure che il codice di risposta HTTP sia 200. L'endpoint restituisce una risposta JSON con la seguente struttura:

    {
 "workloadCredentials": {  // Credentials for the VM's trust domains
   "spiffe://POOL_ID.global.PROJECT_NUMBER.workload.id.goog/ns/NAMESPACE_ID/sa/MANAGED_IDENTITY_ID": {
      "certificatePem" : "X.509 certificate or certificate chain",
      "privateKeyPem" : "Private for X.509 leaf certificate"
   }
 }
}

    Estrai certificatePem e privateKeyPem. È fondamentale che entrambi i valori vengono letti dalla stessa risposta per evitare una mancata corrispondenza tra i valori chiave pubblica e privata nel caso in cui le identità dei carichi di lavoro gestiti siano state aggiornate dell'infrastruttura Compute Engine.

  3. Esegui una query sull'endpoint gce-workload-certificates/trust-anchors. Assicurati che il codice di risposta HTTP sia 200. La risposta conterrà solo gli ancoraggi di attendibilità per il dominio attendibile SPIFFE, se specificato. In caso contrario, la query restituisce un errore. L'endpoint trust-anchors restituisce una risposta JSON con con la seguente struttura:

    {
    "trustAnchors": {  // Trust bundle for the VM's trust domains
        "POOL_ID.global.PROJECT_NUMBER.workload.id.goog": {
            "trustAnchorsPem" : "Trust bundle containing the X.509
            roots certificates"
        }
    }
}

    I contenuti di trustAnchorsPem contengono il bundle di attendibilità che può essere utilizzato per autenticare le credenziali X.509 del peer durante l'instaurazione di una connessione mTLS.

Aggiornamento delle credenziali e del bundle di attendibilità

Il piano di controllo di Compute Engine esegue automaticamente la rotazione periodica delle credenziali di identità del carico di lavoro gestito e delle ancore di attendibilità.

Se le tue applicazioni utilizzano il file system per accedere alle credenziali del carico di lavoro e al bundle di attendibilità, l'agente guest di Compute Engine aggiorna automaticamente le credenziali e il bundle di attendibilità, ad esempio quando vengono ruotati i certificati mTLS.

Se le tue applicazioni interrogano il server metadati, le applicazioni in esecuzione una VM deve eseguire periodicamente query sugli endpoint del server di metadati per ottenere l'ultima serie delle credenziali di identità per i carichi di lavoro gestiti e del bundle di attendibilità. In caso contrario, le applicazioni potrebbero non funzionare a causa della scadenza dei certificati o delle modifiche al trust bundle, il che potrebbe causare il fallimento dell'instaurazione della connessione mTLS. Google consiglia alle applicazioni di eseguire query sul server di metadati per le credenziali dell'identità del carico di lavoro gestito e per il bundle di attendibilità ogni 5 minuti.

Aggiorna la configurazione dell'emissione dei certificati e dell'attendibilità

Puoi modificare la configurazione dell'emissione dei certificati e dell'attendibilità per una VM che utilizza le identità dei carichi di lavoro gestiti.

Aggiorna il modello di istanza per un gruppo di istanze gestite

Per aggiornare la configurazione dell'emissione dei certificati e i valori della configurazione dell'attendibilità in un di istanza, devi creare un nuovo modello con i nuovi valori. Di conseguenza, l'aggiornamento della configurazione dell'emissione dei certificati e dell'attendibilità per i gruppi di istanze gestite esistenti non sono supportati.

Aggiornare singole VM Compute Engine

Per aggiornare la configurazione dell'emissione dei certificati e dell'attendibilità, aggiorna il i contenuti del file CONFIGS.json e usa Comando gcloud beta compute instances update per applicare gli aggiornamenti:

gcloud beta compute instances update INSTANCE_NAME \
    --partner-metadata-from-file FILENAME.json

Sostituisci quanto segue:

  • INSTANCE_NAME: il nome della VM per cui stai aggiornando e configurare i valori di configurazione
  • FILENAME: nome del file di configurazione modificato, ad esempio CONFIGS.json

Risoluzione dei problemi

Per trovare metodi per diagnosticare e risolvere gli errori comuni relativi al recupero delle credenziali del carico di lavoro, consulta la documentazione relativa alla risoluzione dei problemi di autenticazione del carico di lavoro al carico di lavoro.

Passaggi successivi