如需使用 Google Cloud，用户和工作负载需要一个Google Cloud 可以识别的身份。
本页概述了可用于配置用户身份和工作负载身份的方法。
用户身份
您可以通过多种方式配置用户身份，以便 Google Cloud能够识别这些身份：
- 创建 Cloud Identity 或 Google Workspace 账号：拥有 Cloud Identity 或 Google Workspace 账号的用户可以向 Google Cloud 进行身份验证并获准使用 Google Cloud 资源。Cloud Identity 和 Google Workspace 账号是指由您的组织管理的用户账号。
设置以下联合身份策略之一：
- 使用 Cloud Identity 或 Google Workspace 进行联合：将外部身份与相应的 Cloud Identity 或 Google Workspace 账号同步，以便用户可以使用其外部凭据登录 Google 服务。使用此方法时，用户需要两个账号：一个外部账号和一个 Cloud Identity 或 Google Workspace 账号。您可以使用 Google Cloud Directory Sync (GCDS) 等工具将这些账号保持同步。
- 员工身份联合：使用您的外部身份提供方 (IdP) 让用户登录 Google Cloud 并访问Google Cloud 资源和产品。使用员工身份联合时，用户只需要一个账号：其外部账号。此类用户身份有时也称为“联合身份”。
如需详细了解上述用于设置用户身份的方法，请参阅用户身份概览。
工作负载身份
Google Cloud 为工作负载提供以下类型的身份服务：
工作负载身份联合让您的工作负载可以使用 IdP 提供的身份访问大多数 Google Cloud 服务。使用工作负载身份联合的工作负载可以在 Google Cloud、Google Kubernetes Engine (GKE) 或其他平台（例如 AWS、Azure 和 GitHub）上运行。
Google Cloud 服务账号可充当工作负载的身份。您需要为服务账号授予访问权限，然后让工作负载使用该服务账号作为其身份，而不是直接授予对工作负载的访问权限。
通过托管式工作负载身份（预览版），您可以将经过严格证明的身份绑定到 Compute Engine 工作负载。您可以使用托管式工作负载身份通过双向 TLS (mTLS) 向其他工作负载验证您的工作负载身份，但不能用于向 Google Cloud API 进行身份验证。
您可以使用的方法取决于工作负载运行的位置。
如果您是在 Google Cloud上运行工作负载，则可以使用以下方法配置工作负载身份：
Workload Identity Federation for GKE：向 GKE 集群和 Kubernetes 服务账号授予 IAM 访问权限。这样一来，集群的工作负载便可直接访问大多数 Google Cloud 服务，而无需使用 IAM 服务账号模拟。
关联的服务账号：将服务账号关联到资源，使服务账号充当该资源的默认身份。资源上运行的任何工作负载在访问Google Cloud 服务时都会使用服务账号的身份。
短期有效的服务账号凭据：每当您的资源需要访问Google Cloud 服务时，都生成并使用短期有效的服务账号凭据。最常见的凭据类型是 OAuth 2.0 访问令牌和 OpenID Connect (OIDC) ID 令牌。
如果您是在 Google Cloud之外运行工作负载，则可以使用以下方法来配置工作负载身份：
- 工作负载身份联合：使用来自外部身份提供方的凭据生成短期有效的凭据，工作负载可以使用这些凭据来临时模拟服务账号。然后，工作负载可以使用相应的服务账号作为其身份来访问Google Cloud 资源。
服务账号密钥：使用服务账号公钥/私钥 RSA 密钥对的私钥部分，以服务账号身份进行身份验证。
如需详细了解用于设置工作负载身份的这些方法，请参阅工作负载身份概览。