如需使用 Google Cloud，用户和工作负载需要 Google Cloud 可以识别的身份。
本页面概述了可用于为用户和工作负载配置身份的方法。
用户身份
您可以通过多种方式配置用户身份，以使 Google Cloud 能够识别它们：
- 创建 Cloud Identity 或 Google Workspace 账号：拥有 Cloud Identity 或 Google Workspace 账号的用户可以向 Google Cloud 进行身份验证并有权使用 Google Cloud 资源。Cloud Identity 账号和 Google Workspace 账号是由您的组织管理的用户账号。
- 设置以下联合身份策略之一：
- 使用 Cloud Identity 或 Google Workspace 进行联合：将外部身份与相应的 Cloud Identity 或 Google Workspace 账号同步，以便用户可以使用其外部凭据登录 Google 服务。使用此方法时，用户需要两个账号：一个外部账号和一个 Cloud Identity 或 Google Workspace 账号。您可以使用 Google Cloud Directory Sync (GCDS) 等工具保持这些账号同步。
- 员工身份联合：使用外部身份提供方 (IdP) 对用户进行身份验证和授权，从而允许用户使用其外部凭据登录 Google Cloud 并访问 Google 资源和产品。使用员工身份联合时，用户只需要一个账号：其外部账号。
如需详细了解上述用于设置用户身份的方法，请参阅用户身份概览。
工作负载身份
Google Cloud 提供服务账号来充当工作负载的身份。您需要为服务账号授予访问权限，然后让工作负载使用该服务账号作为其身份，而不是直接授予对工作负载的访问权限。
您可以通过多种方式让工作负载使用服务账号作为其身份。您可以使用的方法取决于工作负载的运行位置。
如果您是在 Google Cloud 上运行工作负载，则可以使用以下方法配置工作负载配置身份：
- 关联的服务账号：将服务账号关联到资源，使服务账号充当该资源的默认身份。资源上运行的任何工作负载在访问 Google Cloud 服务时都会使用服务账号的身份。
- 短期有效的服务账号凭据：每当您的资源需要访问 Google Cloud 服务时，都生成并使用短期有效的服务账号凭据。最常见的凭据类型是 OAuth 2.0 访问令牌和 OpenID Connect (OIDC) ID 令牌。
- Google Kubernetes Engine Workload Identity：允许 GKE 服务账号在访问 Google Cloud 资源时充当 IAM 服务账号。这种类型的身份仅适用于 Google Kubernetes Engine 工作负载。
如果您是在 Google Cloud 之外运行工作负载，则可以使用以下方法配置工作负载身份：
- 工作负载身份联合：使用来自外部身份提供方的凭据生成短期有效的凭据，工作负载可以使用这些凭据来临时模拟服务账号。然后，工作负载可以使用相应的服务账号作为其身份来访问 Google Cloud 资源。
服务账号密钥：使用服务账号公钥/私钥 RSA 密钥对的私钥部分，以服务账号身份进行身份验证。
如需详细了解用于设置工作负载身份的这些方法，请参阅工作负载身份概览。