Identitätsverwaltung für Google Cloud

Um Google Cloudverwenden zu können, benötigen Nutzer und Arbeitslasten eine Identität, dieGoogle Cloud erkennen kann.

Auf dieser Seite werden die Methoden beschrieben, mit denen Sie Identitäten für Nutzer und Arbeitslasten konfigurieren können.

Nutzer-IDs

Es gibt mehrere Möglichkeiten, Nutzeridentitäten zu konfigurieren, damit Google Cloudsie erkennen kann:

• Cloud Identity- oder Google Workspace-Konten erstellen: Nutzer mit Cloud Identity- oder Google Workspace-Konten können sich bei Google Cloud authentifizieren und zur Verwendung von Google Cloud -Ressourcen autorisiert sein. Cloud Identity- und Google Workspace-Konten sind Nutzerkonten, die von Ihrer Organisation verwaltet werden.

Hinweis :Google Workspace-Konten können eine oder mehrere alternative E-Mail-Adressen (E-Mail-Alias) haben. Wenn Sie einer Rolle den E-Mail-Alias eines Hauptkontos zuweisen, wird die Rolle stattdessen der primären E-Mail-Adresse zugewiesen. Es ist nicht möglich, nur dem E-Mail-Alias eine Rolle zuzuweisen.

Warnung: Wenn Sie dem E-Mail-Alias eines Hauptkontos eine Rolle zuweisen, wird die primäre E-Mail-Adresse angezeigt.

• Richten Sie eine der folgenden Strategien für föderierte Identitäten ein:

  • Föderation mit Cloud Identity oder Google Workspace: Synchronisieren Sie externe Identitäten mit entsprechenden Cloud Identity- oder Google Workspace-Konten, damit sich Nutzer mit ihren externen Anmeldedaten bei Google-Diensten anmelden können. Bei dieser Methode benötigen Nutzer zwei Konten: ein externes Konto und ein Cloud Identity- oder Google Workspace-Konto. Sie können diese Konten mithilfe eines Tools wie Google Cloud Directory Sync (GCDS) synchronisieren.
  • Workforce Identity-Föderation: Verwenden Sie Ihren externen Identitätsanbieter (Identity Provider, IdP), um Ihre Nutzer bei Google Cloud anzumelden und ihnen Zugriff aufGoogle Cloud -Ressourcen und ‑Produkte zu gewähren. Bei der Workforce Identity-Föderation benötigen Nutzer nur ein Konto: ihr externes Konto. Diese Art von Nutzeridentität wird manchmal auch als föderierte Identität bezeichnet.

Weitere Informationen zu diesen Methoden zum Einrichten von Nutzeridentitäten finden Sie unter Übersicht über Nutzeridentitäten.

Workload Identitys

Google Cloud bietet die folgenden Identitätsdienste für Arbeitslasten:

• Mit der Workload Identity-Föderation können Ihre Arbeitslasten über eine Identität, die von einem IdP bereitgestellt wird, auf die meisten Google Cloud Dienste zugreifen. Arbeitslasten, die die Workload Identity-Föderation verwenden, können auf Google Cloud, der Google Kubernetes Engine (GKE) oder anderen Plattformen wie AWS, Azure und GitHub ausgeführt werden.

• Google Cloud Dienstkonten können als Identitäten für Arbeitslasten fungieren. Anstatt direkt auf eine Arbeitslast Zugriff zu erteilen, gewähren Sie einen Zugriff auf ein Dienstkonto und lassen die Arbeitslast dann das Dienstkonto als Identität verwenden.

• Mit verwalteten Arbeitslastidentitäten (Vorabversion) können Sie stark attestierte Identitäten an Ihre Compute Engine-Arbeitslasten binden. Sie können verwaltete Arbeitslastidentitäten verwenden, um Ihre Arbeitslasten über gegenseitige TLS-Authentifizierung (mTLS) bei anderen Arbeitslasten zu authentifizieren. Sie können jedoch nicht für die Authentifizierung bei Google Cloud APIs verwendet werden.

Welche Methoden Sie verwenden können, hängt davon ab, wo Ihre Arbeitslasten ausgeführt werden.

Wenn Sie Arbeitslasten auf Google Cloudausführen, können Sie Workload Identitys mit den folgenden Methoden konfigurieren:

• Workload Identity Federation for GKE: Gewähren Sie IAM-Zugriff auf GKE-Cluster und Kubernetes-Dienstkonten. So können die Arbeitslasten der Cluster direkt auf die meisten Google Cloud Dienste zugreifen, ohne die Identität eines IAM-Dienstkontos zu übernehmen.

• Angehängte Dienstkonten: Hängen Sie ein Dienstkonto an eine Ressource an, damit das Dienstkonto als Standardidentität der Ressource fungiert. Alle auf der Ressource ausgeführten Arbeitslasten verwenden beim Zugriff aufGoogle Cloud -Dienste die Identität des Dienstkontos.

• Kurzlebige Anmeldedaten für Dienstkonten: Generieren und verwenden Sie kurzlebige Anmeldedaten für Dienstkonten, wenn Ihre Ressourcen aufGoogle Cloud -Dienste zugreifen müssen. Die gängigsten Arten von Anmeldedaten sind OAuth 2.0-Zugriffstokens und OIDC-ID-Tokens (OpenID Connect).

Wenn Sie Arbeitslasten außerhalb von Google Cloudausführen, können Sie Workload Identitys mit den folgenden Methoden konfigurieren:

• Workload Identity-Föderation: Verwenden Sie Anmeldedaten von externen Identitätsanbietern, um kurzlebige Anmeldedaten zu generieren, mit denen Arbeitslasten vorübergehend die Identität von Dienstkonten übernehmen können. Arbeitslasten können dann über das Dienstkonto als Identität aufGoogle Cloud -Ressourcen zugreifen.

• Dienstkontoschlüssel: Verwenden Sie den privaten Teil des öffentlichen/privaten RSA-Schlüsselpaars eines Dienstkontos, um sich als Dienstkonto zu authentifizieren.

  Wichtig: Dienstkontoschlüssel stellen ein Sicherheitsrisiko dar, wenn sie nicht ordnungsgemäß verwaltet werden. Sie sollten nach Möglichkeit eine sicherere Alternative zu Dienstkontoschlüsseln auswählen. Wenn Sie sich mit einem Dienstkontoschlüssel authentifizieren müssen, sind Sie für die Sicherheit des privaten Schlüssels und für andere Vorgänge verantwortlich, die unter Best Practices für die Verwaltung von Dienstkontoschlüsseln beschrieben werden. Wenn Sie keinen Dienstkontoschlüssel erstellen können, ist das Erstellen von Dienstkontoschlüsseln für Ihre Organisation möglicherweise deaktiviert. Weitere Informationen finden Sie unter Standardmäßig sichere Organisationsressourcen verwalten.

  Wenn Sie den Dienstkontoschlüssel von einer externen Quelle erhalten haben, müssen Sie ihn vor der Verwendung validieren. Weitere Informationen finden Sie unter Sicherheitsanforderungen für extern abgerufene Anmeldedaten.

Weitere Informationen zu diesen Methoden zum Einrichten von Workload Identitys finden Sie unter Workload Identity-Übersicht.