Autenticazione per Terraform

Questo documento descrive come autenticarsi in Google Cloud quando si utilizza Terraform.

Le credenziali predefinite dell'applicazione (ADC) sono il metodo consigliato per l'autenticazione in Google Cloud quando si utilizza Terraform. L'ADC è una strategia usata librerie di autenticazione per trovare automaticamente le credenziali in base dell'ambiente applicativo. Quando utilizzi ADC, Terraform può essere eseguito di sviluppo o produzione senza cambiare le modalità di autenticazione API e servizi Google Cloud. Per informazioni su dove ADC cerca le credenziali e in quale ordine, vedi Come funzionano le credenziali predefinite dell'applicazione.

Eseguire l'autenticazione quando si utilizza Terraform in un ambiente di sviluppo locale

Quando utilizzi Terraform in un ambiente di sviluppo locale, ad esempio un di sviluppo, puoi eseguire l'autenticazione usando le credenziali associate con il tuo account utente o servizio .

Esegui l'autenticazione utilizzando un Account Google

Per configurare ADC con un Account Google, utilizza Google Cloud CLI:

1. Install the Google Cloud CLI, then initialize it by running the following command:

   gcloud init

2. If you're using a local shell, then create local authentication credentials for your user account:

   gcloud auth application-default login

   You don't need to do this if you're using Cloud Shell.

   Viene visualizzata una schermata di accesso. Dopo aver eseguito l'accesso, le tue credenziali vengono memorizzate nella delle credenziali locali utilizzato da ADC.

Esegui l'autenticazione utilizzando un account esterno

Per configurare l'ADC per un account utente gestito da un provider di identità esterno:

1. Configura la federazione delle identità della forza lavoro.

2. Configura gcloud CLI per utilizzare Federazione delle identità per la forza lavoro.

3. Configura l'ADC eseguendo il seguente comando:

   gcloud auth application-default login

   Viene visualizzata una schermata di accesso. Dopo l'accesso, le credenziali vengono memorizzate nel file delle credenziali locali utilizzato da ADC.

Autenticazione con l'impersonificazione dell'account di servizio

Puoi utilizzare la rappresentazione dell'account di servizio per configurare un file ADC locale. Terraform utilizza automaticamente queste credenziali.

1. Assicurati di disporre del Creatore token account di servizio (roles/iam.serviceAccountTokenCreator) ruolo IAM nella account di servizio che stai impersonando. Per ulteriori informazioni, consulta la sezione Obbligatori ruoli.

2. Utilizza l'usurpazione dell'identità dell'account di servizio per creare un file ADC locale eseguendo il seguente comando:

   gcloud auth application-default login --impersonate-service-account SERVICE_ACCT_EMAIL
   

Se vuoi consentire agli utenti di utilizzare un'origine di autenticazione principale condivisa e un account di servizio variabile per ambiente, imposta impersonate_service_account nel file di configurazione di Terraform:

provider "google" {
  impersonate_service_account = "SERVICE_ACCT_EMAIL"
}

Esegui l'autenticazione durante l'esecuzione di Terraform su Google Cloud

Quando esegui Terraform in un ambiente di sviluppo basato su cloud Google Cloud come Cloud Shell, lo strumento utilizza le credenziali che hai fornito quando hai eseguito l'accesso per l'autenticazione.

Quando utilizzi Terraform con servizi Google Cloud come Compute Engine, App Engine e Cloud Run, puoi collegare un account di servizio gestito dall'utente alle risorse. In genere, il collegamento di un account di servizio è supportato quando è possibile eseguire le risorse di quel servizio o includere il codice dell'applicazione. Quando colleghi un account di servizio a una risorsa, il codice in esecuzione sulla risorsa può utilizzare l'account di servizio come identità.

L'attacco di un account di servizio gestito dall'utente è il modo migliore per fornire le credenziali all'ADC per il codice di produzione in esecuzione su Google Cloud.

Nota: molti di questi servizi Google Cloud forniscono anche un servizio predefinito . L'utilizzo dell'account di servizio predefinito non è consigliato, in quanto per impostazione predefinita l'account di servizio predefinito è ad alto privilegio, il che viola il principio del privilegio minimo.

Per aiutarti a determinare i ruoli che devi fornire al tuo account di servizio, consulta la sezione Scegliere i ruoli predefiniti.

Per informazioni sulle risorse a cui puoi collegare un account di servizio e assistenza per il collegamento dell'account di servizio alla risorsa, consulta la documentazione di IAM sull'attacco di un account di servizio.

Set up authentication:

1. Create the service account:

   gcloud iam service-accounts create SERVICE_ACCOUNT_NAME

   Replace SERVICE_ACCOUNT_NAME with a name for the service account.

2. To provide access to your project and your resources, grant a role to the service account:

   gcloud projects add-iam-policy-binding PROJECT_ID --member="serviceAccount:SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com" --role=ROLE

   Replace the following:

   • SERVICE_ACCOUNT_NAME: the name of the service account
   • PROJECT_ID: the project ID where you created the service account
   • ROLE: the role to grant
   Note: The --role flag affects which resources the service account can access in your project. You can revoke these roles or grant additional roles later. In production environments, do not grant the Owner, Editor, or Viewer roles. Instead, grant a predefined role or custom role that meets your needs.
3. To grant another role to the service account, run the command as you did in the previous step.

4. Grant the required role to the principal that will attach the service account to other resources.

   gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com --member="user:USER_EMAIL" --role=roles/iam.serviceAccountUser

   Replace the following:

   • SERVICE_ACCOUNT_NAME: the name of the service account
   • PROJECT_ID: the project ID where you created the service account
   • USER_EMAIL: the email address for a Google Account

Esegui l'autenticazione durante l'esecuzione di Terraform on-premise o su un cloud provider diverso

Se esegui l'applicazione al di fuori di Google Cloud, devi fornire le credenziali riconosciute da Google Cloud per utilizzare i servizi Google Cloud.

Eseguire l'autenticazione utilizzando la federazione delle identità per i carichi di lavoro

Il modo migliore per autenticarsi in Google Cloud utilizzando le credenziali di un IdP esterno è utilizzare la Federazione delle identità per i carichi di lavoro. Puoi creare un file di configurazione delle credenziali e impostare la variabile di ambiente GOOGLE_APPLICATION_CREDENTIALS in modo che rimandi al file. Questo approccio è più sicuro della creazione di una chiave dell'account di servizio. Per istruzioni sulla configurazione della federazione delle identità per i carichi di lavoro per ADC, consulta Federazione delle identità per i carichi di lavoro con altri cloud.

Eseguire l'autenticazione utilizzando le chiavi dell'account di servizio

Quando esegui Terraform in un ambiente di sviluppo locale, on-premise un altro cloud provider, puoi creare un account di servizio, i ruoli IAM richiesti dalla tua applicazione e crea una chiave l'account di servizio.

Nota: Se non vengono gestite correttamente, le chiavi degli account di servizio comportano un rischio per la sicurezza. Dovresti Scegliere un'alternativa più sicura alle chiavi degli account di servizio ove possibile. Se devi effettuare l'autenticazione con una chiave dell'account di servizio, sei responsabile della sicurezza della chiave privata e di altre operazioni descritte dalle best practice per la gestione delle chiavi degli account di servizio. Se non è possibile creare una chiave dell'account di servizio, è possibile disattivato per la tua organizzazione. Per ulteriori informazioni, consulta Gestione delle risorse dell'organizzazione sicure per impostazione predefinita.

Per creare una chiave dell'account di servizio e renderla disponibile per ADC:

1. Crea un account di servizio con i ruoli necessari all'applicazione e una chiave per quell'account di servizio, seguendo le istruzioni in Creazione di della chiave dell'account di servizio.

   Set the environment variable GOOGLE_APPLICATION_CREDENTIALS to the path of the JSON file that contains your credentials. This variable applies only to your current shell session, so if you open a new session, set the variable again.

   Example: Linux or macOS

   export GOOGLE_APPLICATION_CREDENTIALS="KEY_PATH"

   Replace KEY_PATH with the path of the JSON file that contains your credentials.

   For example:

   export GOOGLE_APPLICATION_CREDENTIALS="/home/user/Downloads/service-account-file.json"

   Example: Windows

   For PowerShell:

   $env:GOOGLE_APPLICATION_CREDENTIALS="KEY_PATH"

   Replace KEY_PATH with the path of the JSON file that contains your credentials.

   For example:

   $env:GOOGLE_APPLICATION_CREDENTIALS="C:\Users\username\Downloads\service-account-file.json"

   For command prompt:

   set GOOGLE_APPLICATION_CREDENTIALS=KEY_PATH

   Replace KEY_PATH with the path of the JSON file that contains your credentials.

Eseguire l'autenticazione ai backend Cloud Storage

Terraform consente di configurare Cloud Storage come backend per archiviare Terraform file di stato. Per eseguire l'autenticazione su un backend Cloud Storage, utilizzare uno dei metodi descritti in questa pagina. Per informazioni su variabili di configurazione correlate all'autenticazione per Cloud Storage di backend, consulta Pagina dei backend Terraform per Cloud Storage.

Passaggi successivi

• Segui la guida rapida di Terraform per Google Cloud
• Scopri di più sui comandi di base di Terraform.