為地端部署或其他雲端服務供應商設定 ADC

如果您在 Google Cloud以外的位置執行應用程式，則必須提供 Google Cloud 可辨識的憑證，才能使用 Google Cloud 服務。

Workload Identity 聯盟

如要使用外部 IdP 的憑證進行驗證，建議使用 Google Cloud 工作負載身分聯盟；您需要建立憑證設定檔，並設定 GOOGLE_APPLICATION_CREDENTIALS 環境變數來指向該檔案。相較於建立服務帳戶金鑰，這種做法更安全。

如需設定 ADC 適用的 Workload Identity Federation，請參閱「與其他雲端服務的 Workload Identity Federation」。

服務帳戶金鑰

如果無法設定 Workload Identity Federation，則必須建立服務帳戶、授予應用程式所需的 IAM 角色，並為服務帳戶建立金鑰。

注意： 如未妥善管理服務帳戶金鑰，可能會產生安全性風險，請盡可能 選用比服務帳戶金鑰更安全的替代方案。如必須使用服務帳戶金鑰進行驗證，您有責任保護私密金鑰的安全，並執行 管理服務帳戶金鑰的最佳做法一文所述的其他作業。如果無法建立服務帳戶金鑰，可能是因為貴機構已停用這項功能。詳情請參閱「 管理預設安全機構資源」。

如果您是從外部來源取得服務帳戶金鑰，必須先驗證金鑰，才能使用。詳情請參閱「 外部來源憑證的安全規定」。

如要建立服務帳戶金鑰並提供給 ADC 使用，請按照下列步驟操作：

1. 按照「建立服務帳戶金鑰」一文中的說明，建立具有應用程式所需角色的服務帳戶，以及該服務帳戶的金鑰。

2. Set the environment variable GOOGLE_APPLICATION_CREDENTIALS to the path of the JSON file that contains your credentials. This variable applies only to your current shell session, so if you open a new session, set the variable again.

   Example: Linux or macOS

   export GOOGLE_APPLICATION_CREDENTIALS="KEY_PATH"

   Replace KEY_PATH with the path of the JSON file that contains your credentials.

   For example:

   export GOOGLE_APPLICATION_CREDENTIALS="/home/user/Downloads/service-account-file.json"

   Example: Windows

   For PowerShell:

   $env:GOOGLE_APPLICATION_CREDENTIALS="KEY_PATH"

   Replace KEY_PATH with the path of the JSON file that contains your credentials.

   For example:

   $env:GOOGLE_APPLICATION_CREDENTIALS="C:\Users\username\Downloads\service-account-file.json"

   For command prompt:

   set GOOGLE_APPLICATION_CREDENTIALS=KEY_PATH

   Replace KEY_PATH with the path of the JSON file that contains your credentials.

注意：設定 GOOGLE_APPLICATION_CREDENTIALS 環境變數後，ADC 會先檢查這個位置，只有在必要時才會檢查其他位置。

後續步驟

• 瞭解 Workload Identity Federation。
• 瞭解使用服務帳戶金鑰的最佳做法。
• 進一步瞭解 ADC 如何尋找憑證。
• 瞭解驗證方法。