Identitätsverwaltung für Google Cloud

Um Google Cloud verwenden zu können, benötigen Nutzer und Arbeitslasten eine Identität, die Google Cloud erkennen kann.

Auf dieser Seite werden die Methoden beschrieben, mit denen Sie Identitäten für Nutzer und Arbeitslasten konfigurieren können.

Nutzer-IDs

Es gibt mehrere Möglichkeiten, Nutzeridentitäten zu konfigurieren, damit Google Cloud sie erkennen kann:

• Cloud Identity- oder Google Workspace-Konten erstellen: Nutzer mit Cloud Identity- oder Google Workspace-Konten können sich bei Google Cloud authentifizieren und zur Verwendung von Google Cloud-Ressourcen autorisiert sein. Cloud Identity- und Google Workspace-Konten sind Nutzerkonten, die von Ihrer Organisation verwaltet werden.

Hinweis :Google Workspace-Konten können eine oder mehrere alternative E-Mail-Adressen (E-Mail-Alias) haben. Wenn Sie einer Rolle den E-Mail-Alias eines Hauptkontos zuweisen, wird die Rolle stattdessen der primären E-Mail-Adresse zugewiesen. Es ist nicht möglich, nur dem E-Mail-Alias eine Rolle zuzuweisen.

Warnung: Wenn Sie dem E-Mail-Alias eines Hauptkontos eine Rolle zuweisen, wird die primäre E-Mail-Adresse angezeigt.

• Richten Sie eine der folgenden Strategien für föderierte Identitäten ein:

  • Föderation mit Cloud Identity oder Google Workspace: Synchronisieren Sie externe Identitäten mit entsprechenden Cloud Identity- oder Google Workspace-Konten, damit sich Nutzer mit ihren externen Anmeldedaten bei Google-Diensten anmelden können. Bei dieser Methode benötigen Nutzer zwei Konten: ein externes Konto und ein Cloud Identity- oder Google Workspace-Konto. Sie können diese Konten mithilfe eines Tools wie Google Cloud Directory Sync (GCDS) synchronisieren.
  • Workforce Identity-Föderation: Verwenden Sie Ihren externen Identitätsanbieter (Identity Provider, IdP), um Ihre Nutzer in Google Cloud anzumelden und ihnen den Zugriff auf Google Cloud-Ressourcen und ‑Produkte zu ermöglichen. Bei der Workforce Identity-Föderation benötigen Nutzer nur ein Konto: ihr externes Konto. Diese Art von Nutzeridentität wird manchmal auch als föderierte Identität bezeichnet.

Weitere Informationen zu diesen Methoden zum Einrichten von Nutzeridentitäten finden Sie unter Übersicht über Nutzeridentitäten.

Workload Identitys

Google Cloud bietet die folgenden Identitätsdienste für Arbeitslasten:

• Mit der Workload Identity-Föderation können Ihre Arbeitslasten über eine Identität, die von einem Identitätsanbieter bereitgestellt wird, auf die meisten Google Cloud-Dienste zugreifen. Arbeitslasten, die Workload Identity-Föderation verwenden, können in Google Cloud, der Google Kubernetes Engine (GKE) oder auf anderen Plattformen wie AWS, Azure und GitHub ausgeführt werden.

• Google Cloud-Dienstkonten können als Identitäten für Arbeitslasten fungieren. Anstatt direkt auf eine Arbeitslast Zugriff zu erteilen, gewähren Sie einen Zugriff auf ein Dienstkonto und lassen die Arbeitslast dann das Dienstkonto als Identität verwenden.

• Mit verwalteten Arbeitslastidentitäten (Vorabversion) können Sie stark attestierte Identitäten an Ihre Compute Engine-Arbeitslasten binden. Sie können verwaltete Arbeitslastidentitäten verwenden, um Ihre Arbeitslasten über gegenseitiges TLS (mTLS) bei anderen Arbeitslasten zu authentifizieren. Sie können sie jedoch nicht für die Authentifizierung bei Google Cloud APIs verwenden.

Welche Methoden Sie verwenden können, hängt davon ab, wo Ihre Arbeitslasten ausgeführt werden.

Wenn Sie Arbeitslasten in Google Cloud ausführen, können Sie Workload Identitys mit den folgenden Methoden konfigurieren:

• Workload Identity Federation for GKE: Gewähren Sie IAM-Zugriff auf GKE-Cluster und Kubernetes-Dienstkonten. So können die Arbeitslasten der Cluster direkt auf die meisten Google Cloud-Dienste zugreifen, ohne die Identität eines IAM-Dienstkontos zu übernehmen.

• Angehängte Dienstkonten: Hängen Sie ein Dienstkonto an eine Ressource an, damit das Dienstkonto als Standardidentität der Ressource fungiert. Alle auf der Ressource ausgeführten Arbeitslasten verwenden beim Zugriff auf Google Cloud-Dienste die Identität des Dienstkontos.

• Kurzlebige Anmeldedaten für Dienstkonten: Generieren und verwenden Sie kurzlebige Anmeldedaten für Dienstkonten, wenn Ihre Ressourcen auf Google Cloud-Dienste zugreifen müssen. Die gängigsten Arten von Anmeldedaten sind OAuth 2.0-Zugriffstokens und OIDC-ID-Tokens (OpenID Connect).

Wenn Sie Arbeitslasten außerhalb von Google Cloud ausführen, können Sie Workload Identitys mit den folgenden Methoden konfigurieren:

• Workload Identity-Föderation: Verwenden Sie Anmeldedaten von externen Identitätsanbietern, um kurzlebige Anmeldedaten zu generieren, mit denen Arbeitslasten vorübergehend die Identität von Dienstkonten übernehmen können. Arbeitslasten können dann über das Dienstkonto als Identität auf Google Cloud-Ressourcen zugreifen.

• Dienstkontoschlüssel: Verwenden Sie den privaten Teil des öffentlichen/privaten RSA-Schlüsselpaars eines Dienstkontos, um sich als Dienstkonto zu authentifizieren.

  Wichtig: Dienstkontoschlüssel stellen ein Sicherheitsrisiko dar, wenn sie nicht ordnungsgemäß verwaltet werden. Sie sollten nach Möglichkeit eine sicherere Alternative zu Dienstkontoschlüsseln auswählen. Wenn Sie sich mit einem Dienstkontoschlüssel authentifizieren müssen, sind Sie für die Sicherheit des privaten Schlüssels und für andere Vorgänge verantwortlich, die unter Best Practices für die Verwaltung von Dienstkontoschlüsseln beschrieben werden. Wenn Sie keinen Dienstkontoschlüssel erstellen können, ist das Erstellen von Dienstkontoschlüsseln für Ihre Organisation möglicherweise deaktiviert. Weitere Informationen finden Sie unter Standardmäßig sichere Organisationsressourcen verwalten.

Weitere Informationen zu diesen Methoden zum Einrichten von Workload Identitys finden Sie unter Workload Identity-Übersicht.