Für die Verwendung der gcloud CLI authentifizieren

Auf dieser Seite werden verschiedene Möglichkeiten zur Anmeldung bei der gcloud CLI beschrieben. Die Google Cloud CLI ist ein Befehlszeilentool, das Sie für die Google Cloud-Verwaltung verwenden können. Die meisten Dienste unterstützen die gcloud CLI.

Wenn Sie Clientbibliotheken oder Entwicklungstools von Drittanbietern verwenden möchten, die Standardanmeldedaten für Anwendungen (Application Default Credentials, ADC) in einer lokalen Entwicklungsumgebung unterstützen, müssen Sie ADC in Ihrer lokalen Umgebung einrichten. Weitere Informationen finden Sie unter Standardanmeldedaten für Anwendungen für eine lokale Entwicklungsumgebung einrichten.

Wie Sie sich bei der gcloud-Befehlszeile authentifizieren und diese verwenden, hängt davon ab, wo Sie das Tool ausführen:

Lokale Umgebung

In den meisten Anwendungsfällen können Sie sich mit Ihren Nutzeranmeldedaten bei der gcloud CLI anmelden. Sie können aber auch ein Dienstkonto verwenden.

Wenn Sie sich in einer lokalen Umgebung bei der gcloud CLI anmelden, platziert das Tool Ihre Zugriffs- und Aktualisierungstoken in Ihrem Basisverzeichnis. Jeder Nutzer mit Zugriff auf Ihr Dateisystem kann diese Anmeldedaten verwenden. Weitere Informationen finden Sie unter Schutz vor kompromittierten OAuth-Tokens für die Google Cloud CLI.

In der folgenden Tabelle werden Ihre Optionen für die Anmeldung in der gcloud CLI und die Auswirkungen auf die Anmeldedaten beschrieben, die vom Tool zur Authentifizierung und Autorisierung bei Google APIs verwendet werden.

Art der Qualifikation Authentifizierungsbefehl Hinweise Weitere Informationen
Nutzeranmeldedaten

Die gcloud CLI verwendet Ihre Nutzeranmeldedaten für die Authentifizierung und Autorisierung für alle Google APIs.

Wenn Sie ein Dienstkonto für die Autorisierung bei Google APIs verwenden möchten, verwenden Sie die Identität des Dienstkontos.

gcloud auth login --login-file=WORKFORCE_IDENTITY_FEDERATION_LOGIN_CONFIGURATION_FILE Mit der Workforce Identity-Föderation können Nutzer, die von einem anderen Identitätsanbieter verwaltet werden, auf Google Cloud-Ressourcen zugreifen.
Dienstkonto gcloud auth login --cred-file=WORKLOAD_IDENTITY_FEDERATION_CREDENTIAL_FILE Mit der Workload Identity-Föderation können Arbeitslasten, die außerhalb von Google Cloud ausgeführt werden, auf Google Cloud-Ressourcen zugreifen. Arbeitslast authentifizieren
gcloud auth login --cred-file=SERVICE_ACCT_KEY

Diese Methode wird nicht empfohlen, da die Verwendung von Dienstkontoschlüsseln das Risiko erhöht.

Melden Sie sich mit Ihren Nutzeranmeldedaten bei der gcloud CLI an und verwenden Sie dann die Identität des Dienstkontos.

Cloud Shell

Bei der Verwendung von Cloud Shell müssen Sie sich nicht in der gcloud-CLI anmelden, aber Sie müssen die Verwendung Ihres Kontos autorisieren, bevor Sie Google-Tools aus Cloud Shell verwenden. Anschließend verwendet die gcloud CLI Ihre Nutzeranmeldedaten, um auf Google APIs zuzugreifen.

Weitere Informationen finden Sie unter Mit Cloud Shell autorisieren.

Computing-Ressourcen von Google Cloud

Wenn Sie die gcloud CLI in Google Cloud-Computing-Ressourcen wie Compute Engine-VMs verwenden, müssen Sie die gcloud CLI nicht initialisieren oder sich anmelden, da sie die Anmeldedaten und Konfigurationsinformationen aus der gehosteten Compute-Ressource mithilfe des Metadatenservers erhält.

Art der Qualifikation Authentifizierungsbefehl Hinweise Weitere Informationen
Dienstkonto Nicht zutreffend Die gcloud-Befehlszeile verwendet das Dienstkonto, das der Compute-Ressource für die Authentifizierung und Autorisierung für alle Google APIs zugeordnet ist. Google Cloud-Dienste, die das Anhängen eines Dienstkontos unterstützen

Anmeldedaten für die gcloud-Befehlszeile und ADC-Anmeldedaten

Wenn Sie sich in der gcloud CLI anmelden, verwenden Sie den Befehl gcloud auth login, um Ihre Nutzeranmeldedaten bereitzustellen. Diese werden von der gcloud CLI zur Authentifizierung und Autorisierung verwendet, um Google Cloud-Ressourcen und -Dienste zu verwalten. Diese Anmeldedaten sind Ihre Anmeldedaten der gcloud CLI.

Wenn Sie mit der gcloud CLI Anmeldedaten für ADC bereitstellen, verwenden Sie den Befehl gcloud auth application-default login. Mit diesem Befehl werden Ihre Anmeldedaten an einem bekannten Speicherort für die Verwendung durch ADC in Ihrer lokalen Umgebung abgelegt. Dies sind Ihre lokalen ADC-Anmeldedaten.

Ihre lokalen ADC-Anmeldedaten und Ihre gcloud CLI-Anmeldedaten sind zwei verschiedene Anmeldedaten. Die gcloud CLI verwendet nicht ADC, um Anmeldedaten abzurufen.

In der folgenden Tabelle werden die beiden Befehle und ihre Funktion beschrieben:

Befehl Beschreibung
gcloud auth login

Generiert Nutzeranmeldedaten, die zur Authentifizierung und Autorisierung des Zugriffs auf Google Cloud-Dienste verwendet werden.

gcloud auth application-default login

Generiert Nutzeranmeldedaten, die den Standardanmeldedaten für Anwendungen zur Verwendung in einer lokalen Entwicklungsumgebung zur Verfügung gestellt werden.

Normalerweise verwenden Sie dasselbe Konto, um sich in der gcloud CLI anzumelden und Nutzeranmeldedaten für ADC bereitzustellen. Bei Bedarf können Sie jedoch andere Konten verwenden.

Nächste Schritte