In questa pagina vengono descritte le località in cui le credenziali predefinite dell'applicazione cercano le credenziali. Comprendere come funziona l'ADC può aiutarti a capire quali credenziali utilizza e perché ADC le trova.
ADC (Application Default Credentials) è una strategia utilizzata dalle librerie di autenticazione di Google per trovare automaticamente le credenziali in base all'ambiente dell'applicazione. Le librerie di autenticazione rendono disponibili queste credenziali per le librerie client Cloud e le librerie client delle API di Google. Quando utilizzi ADC, il tuo codice può essere eseguito in un ambiente di sviluppo o di produzione senza modificare la modalità di autenticazione dell'applicazione ai servizi e alle API di Google Cloud.
Per informazioni su come fornire le credenziali ad ADC, consulta Configurare le credenziali predefinite dell'applicazione.
Cerca ordine
ADC cerca le credenziali nelle seguenti località:
- Variabile di ambiente
GOOGLE_APPLICATION_CREDENTIALS - Credenziali utente configurate utilizzando Google Cloud CLI
- L'account di servizio associato, restituito dal server di metadati
L'ordine delle località in cui ADC controlla le credenziali non è correlato al merito relativo di ciascuna località. Per informazioni sul modo migliore per fornire le credenziali ad ADC, consulta Configurare le credenziali predefinite dell'applicazione.
Variabile di ambiente GOOGLE_APPLICATION_CREDENTIALS
Puoi utilizzare la variabile di ambiente GOOGLE_APPLICATION_CREDENTIALS per fornire la posizione di un file JSON delle credenziali. Questo file JSON può essere uno dei seguenti tipi:
Un file di configurazione delle credenziali per la federazione di Workload Identity
La federazione delle identità per i carichi di lavoro consente di utilizzare un provider di identità esterno per accedere alle risorse Google Cloud. Per ulteriori informazioni, consulta la pagina relativa all'autenticazione tramite le librerie client, l'interfaccia a riga di comando gcloud o Terraform nella documentazione di Identity and Access Management (IAM).
Una chiave dell'account di servizio
Le chiavi dell'account di servizio rappresentano un rischio per la sicurezza e non sono consigliate. A differenza degli altri tipi di file delle credenziali, le chiavi dell'account di servizio compromesse possono essere utilizzate da un utente malintenzionato senza ulteriori informazioni. Per saperne di più, consulta Best practice per l'utilizzo e la gestione delle chiavi degli account di servizio.
Credenziali utente fornite con l'interfaccia a riga di comando gcloud
Puoi fornire le credenziali utente ad ADC eseguendo il comando gcloud auth application-default login. Questo comando inserisce un file JSON contenente le credenziali da te fornite (generalmente dal tuo Account Google) in una posizione nota nel tuo file system. La località dipende dal tuo sistema operativo:
- Linux, macOS:
$HOME/.config/gcloud/application_default_credentials.json - Windows:
%APPDATA%\gcloud\application_default_credentials.json
Le credenziali che fornisci ad ADC utilizzando gcloud CLI sono distinte dalle tue credenziali gcloud, le credenziali utilizzate da gcloud CLI per autenticarsi in Google Cloud. Per ulteriori informazioni su questi due insiemi di credenziali, consulta Credenziali ADC e gcloud.
L'account di servizio associato
Molti servizi Google Cloud consentono di collegare un account di servizio utilizzabile per fornire le credenziali per l'accesso alle API Google Cloud. Se ADC non trova le credenziali che può utilizzare nella variabile di ambiente GOOGLE_APPLICATION_CREDENTIALS o nella posizione nota per le credenziali dell'Account Google, utilizza il server di metadati per ottenere le credenziali per il servizio in cui è in esecuzione il codice.
L'utilizzo delle credenziali dell'account di servizio associato è il metodo migliore per trovare le credenziali in un ambiente di produzione su Google Cloud. Per utilizzare l'account di servizio associato:
- Creare un account di servizio gestito dall'utente.
- Concedi a tale account di servizio i ruoli IAM con i privilegi minimi.
- Collega l'account di servizio alla risorsa in cui viene eseguito il codice.
Per assistenza sulla creazione di un account di servizio, consulta Creazione e gestione degli account di servizio. Per informazioni su come collegare un account di servizio, consulta Collegamento di un account di servizio a una risorsa. Per assistenza nella determinazione dei ruoli IAM richiesti per il tuo account di servizio, consulta la sezione Scegliere i ruoli predefiniti.
Passaggi successivi
- Scopri i modi migliori per fornire le credenziali a ADC.
- Autentica utilizzando le librerie client di Cloud.
- Scopri l'autenticazione in Google.
- Scopri di più sulle librerie client di Google.
- Esamina il valore IPIP dell'applicazione.