Für die Verwendung der gcloud CLI authentifizieren

Auf dieser Seite werden verschiedene Möglichkeiten zur Anmeldung bei der gcloud CLI beschrieben. Die Google Cloud CLI ist ein Befehlszeilentool, das Sie für die Google Cloud-Verwaltung verwenden können. Die meisten Dienste unterstützen die gcloud CLI.

Wenn Sie Clientbibliotheken oder Entwicklungstools von Drittanbietern verwenden möchten, die Standardanmeldedaten für Anwendungen (Application Default Credentials, ADC) in einer lokalen Entwicklungsumgebung unterstützen, müssen Sie ADC in Ihrer lokalen Umgebung konfigurieren. Weitere Informationen finden Sie unter Standardanmeldedaten für Anwendungen für eine lokale Entwicklungsumgebung einrichten.

Wie Sie sich bei der gcloud-Befehlszeile authentifizieren und diese verwenden, hängt davon ab, wo Sie das Tool ausführen:

• In einer lokalen Umgebung
• Cloud Shell verwenden
• In Google Cloud-Computing-Ressourcen

Lokale Umgebung

In den meisten Anwendungsfällen können Sie sich mit Ihren Nutzeranmeldedaten bei der gcloud CLI anmelden. Sie können aber auch ein Dienstkonto verwenden.

Wenn Sie sich in einer lokalen Umgebung bei der gcloud CLI anmelden, platziert das Tool Ihre Zugriffs- und Aktualisierungstoken in Ihrem Basisverzeichnis. Jeder Nutzer mit Zugriff auf Ihr Dateisystem kann diese Anmeldedaten verwenden. Weitere Informationen finden Sie unter Schutz vor kompromittierten OAuth-Tokens für die Google Cloud CLI.

In der folgenden Tabelle werden Ihre Optionen für die Anmeldung in der gcloud CLI und die Auswirkungen auf die Anmeldedaten beschrieben, die vom Tool zur Authentifizierung und Autorisierung bei Google APIs verwendet werden.

Art der Qualifikation	Authentifizierungsbefehl	Hinweise	Weitere Informationen
Nutzeranmeldedaten	gcloud init gcloud auth login	Die gcloud CLI verwendet Ihre Nutzeranmeldedaten für die Authentifizierung und Autorisierung für alle Google APIs. Wenn Sie ein Dienstkonto für die Autorisierung bei Google APIs verwenden möchten, verwenden Sie die Identität des Dienstkontos.	Initialisieren Sie die gcloud CLI Identitätsübertragung für ein Dienstkonto verwenden
	gcloud config set auth/login_config_file WORKFORCE_IDENTITY_FEDERATION_LOGIN_CONFIGURATION_FILE gcloud auth login	Mit der Mitarbeiteridentitätsföderation können Nutzer, die von einem anderen Identitätsanbieter als Google verwaltet werden, auf Google Cloud-Ressourcen zugreifen.	Browserbasierte Anmeldung mit der gcloud CLI Mitarbeiteridentitätsföderation
Dienstkonto	gcloud auth login --cred-file=WORKLOAD_IDENTITY_FEDERATION_CREDENTIAL_FILE	Mit der Workload Identity-Föderation können Arbeitslasten, die außerhalb von Google Cloud ausgeführt werden, auf Google Cloud-Ressourcen zugreifen.	Arbeitslast authentifizieren
	gcloud auth login --cred-file=SERVICE_ACCT_KEY	Diese Methode wird nicht empfohlen, da die Verwendung von Dienstkontoschlüsseln das Risiko erhöht. Melden Sie sich mit Ihren Nutzeranmeldedaten bei der gcloud CLI an und verwenden Sie dann die Identität des Dienstkontos.	Best Practices für die Verwaltung von Dienstkontoschlüsseln Identitätsübertragung für ein Dienstkonto verwenden

Cloud Shell

Bei der Verwendung von Cloud Shell müssen Sie sich nicht in der gcloud-CLI anmelden, aber Sie müssen die Verwendung Ihres Kontos autorisieren, bevor Sie Entwicklungs-Tools aus Cloud Shell verwenden. Anschließend verwendet die gcloud CLI Ihre Nutzeranmeldedaten, um auf Google APIs zuzugreifen.

Weitere Informationen finden Sie unter Mit Cloud Shell autorisieren.

Computing-Ressourcen von Google Cloud

Wenn Sie die gcloud CLI in Google Cloud-Computing-Ressourcen wie Compute Engine-VMs verwenden, müssen Sie die gcloud CLI nicht initialisieren oder sich anmelden, da sie die Anmeldedaten und Konfigurationsinformationen aus der gehosteten Compute-Ressource mithilfe des Metadatenservers erhält.

Art der Qualifikation	Authentifizierungsbefehl	Hinweise	Weitere Informationen
Dienstkonto	Nicht zutreffend	Die gcloud-Befehlszeile verwendet das Dienstkonto, das der Compute-Ressource für die Authentifizierung und Autorisierung für alle Google APIs zugeordnet ist.	ADC für eine Ressource mit einem angehängten Dienstkonto einrichten

Authentifizierungskonfiguration der gcloud CLI und ADC-Konfiguration

Wenn Sie sich in der gcloud CLI anmelden, verwenden Sie den Befehl gcloud auth login, um einen Nutzer in der gcloud CLI zu authentifizieren. Die gcloud CLI verwendet dieses Hauptkonto für die Authentifizierung und Autorisierung, um Google Cloud-Ressourcen und ‑Dienste zu verwalten. Das ist die Authentifizierungskonfiguration der gcloud CLI.

Wenn Sie ADC mit der gcloud CLI konfigurieren, verwenden Sie den Befehl gcloud auth application-default login. Mit diesem Befehl wird ADC für Ihre lokale Umgebung mit dem von Ihnen angegebenen Prinzipal konfiguriert. Dies ist Ihre ADC-Konfiguration.

Die Authentifizierungskonfiguration der gcloud CLI unterscheidet sich von der ADC-Konfiguration. Es kann dasselbe oder ein anderes Prinzipal verwendet werden. Die gcloud CLI verwendet nicht ADC, um auf Google Cloud-Ressourcen zuzugreifen.

In der folgenden Tabelle werden die beiden Befehle und ihre Funktion beschrieben:

Befehl	Beschreibung
gcloud auth login	Akzeptiert Anmeldedaten, die zur Authentifizierung bei und Autorisierung des Zugriffs auf Google Cloud-Dienste verwendet werden.
gcloud auth application-default login	Generiert eine lokale ADC-Datei anhand der Anmeldedaten, die Sie dem Befehl übergeben.

Im Allgemeinen verwenden Sie dasselbe Konto, um sich in der gcloud CLI anzumelden und ADC zu konfigurieren. Bei Bedarf können Sie jedoch unterschiedliche Konten verwenden.

Nächste Schritte

• Mehr über die Suche nach Anmeldedaten in ADC erfahren
• Für die Verwendung von Cloud-Clientbibliotheken authentifizieren
• Weitere Informationen zu Authentifizierungsmethoden