Anmeldedatenkonfiguration herunterladen und Zugriff gewähren

Auf dieser Seite wird beschrieben, wie Sie Ihre Arbeitslasten für den Zugriff auf Google Cloud-Ressourcen mithilfe von Workload Identity-Föderation und entweder dem direkten Ressourcenzugriff oder der Identitätsübernahme des Dienstkontos konfigurieren.

Anwendungsfallspezifische End-to-End-Anleitungen finden Sie in den Konfigurationsanleitungen für AWS und Azure, Active Directory, GitHub, GitLab und andere Deployment-Pipelines und Kubernetes.

Externer Arbeitslast den Zugriff auf Google Cloud-Ressourcen erlauben

Damit Ihre Arbeitslast Zugriff auf Google Cloud-Ressourcen erhält, sollten Sie dem Hauptkonto direkten Ressourcenzugriff gewähren. In diesem Fall ist das Hauptkonto der föderierte Nutzer. Einige Google Cloud-Produkte unterliegen Google Cloud API-Einschränkungen. Wenn Ihre Arbeitslast einen API-Endpunkt mit einer Einschränkung aufruft, können Sie stattdessen die Identitätsübernahme des Dienstkontos verwenden. In diesem Fall ist das Hauptkonto das Google Cloud-Dienstkonto, das als Identität fungiert. Sie gewähren dem Dienstkonto Zugriff auf die Ressource.

Direkter Ressourcenzugriff

Sie können einer föderierten Identität direkt Zugriff auf Ressourcen über die Google Cloud Console oder die gcloud CLI gewähren.

Console

Wenn Sie die Google Cloud Console verwenden möchten, um IAM-Rollen direkt für eine Ressource zuzuweisen, müssen Sie die Seite der Ressource aufrufen und dann die Rolle zuweisen. Das folgende Beispiel zeigt, wie Sie die Cloud Storage-Seite aufrufen und einer föderierten Identität die Rolle "Storage-Objekt-Betrachter" (roles/storage.objectViewer) direkt in einem Cloud Storage-Bucket zuweisen.

1. Wechseln Sie in der Cloud Console zur Seite Cloud Storage-Buckets.
   

   Buckets aufrufen

2. Klicken Sie in der Liste der Buckets auf den Namen des Buckets, für den Sie die Rolle zuweisen möchten.

3. Wählen Sie oben auf der Seite den Tab Berechtigungen aus.

4. Klicken Sie auf die Schaltfläche Zugriff gewähren.

   Das Dialogfeld Hauptkonten hinzufügen wird angezeigt.

5. Geben Sie in das Feld Neue Hauptkonten eine oder mehrere Identitäten ein, die Zugriff auf den Bucket erhalten sollen.

   Nach Thema

   principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT
   

   Ersetzen Sie Folgendes:

   • PROJECT_NUMBER: die Projektnummer
   • POOL_ID: die ID des Arbeitslastpools
   • SUBJECT: das einzelne Thema, das Ihrem IdP zugeordnet ist, z. B. [e-mail]

   Nach Gruppe

   principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP
   

   Ersetzen Sie Folgendes:

   • PROJECT_NUMBER: die Projektnummer
   • WORKLOAD_POOL_ID: die ID des Arbeitslastpools
   • GROUP: die von Ihrem IdP zugeordnete Gruppe, z. B. [e-mail]

   Nach Attribut

   principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE
   

   Ersetzen Sie Folgendes:

   • PROJECT_NUMBER: die Projektnummer
   • WORKLOAD_POOL_ID: die ID des Arbeitslastpools
   • ATTRIBUTE_NAME: eines der Attribute, die von Ihrem IdP zugeordnet wurden.
   • ATTRIBUTE_VALUE: der Wert des Attributs

6. Wählen Sie aus dem Drop-down-Menü Rolle auswählen eine oder mehrere Rollen aus. Die ausgewählten Rollen werden in der Ansicht mit einer kurzen Beschreibung ihrer jeweiligen Berechtigungen angezeigt.

7. Klicken Sie auf Speichern.

gcloud

So weisen Sie mit der gcloud CLI IAM-Rollen für eine Ressource in einem Projekt zu:

1. Rufen Sie die Projektnummer des Projekts ab, in dem die Ressource definiert ist.

   gcloud projects describe $(gcloud config get-value core/project) --format=value\(projectNumber\)
   

2. Gewähren Sie Zugriff auf die Ressource.

   Führen Sie den folgenden Befehl aus, um mit der gcloud CLI externen Identitäten, die bestimmte Kriterien erfüllen, die Rolle „Workload Identity-Nutzer“ (roles/iam.workloadIdentityUser) zuzuweisen.

   Nach Thema

   gcloud storage buckets add-iam-policy-binding BUCKET_ID \
       --role=roles/storage.objectViewer \
       --member="principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT"

   Nach Gruppe

   gcloud storage buckets add-iam-policy-binding BUCKET_ID \
       --role=roles/storage.objectViewer \
       --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP"

   Nach Attribut

   gcloud storage buckets add-iam-policy-binding BUCKET_ID \
       --role=roles/storage.objectViewer \
       --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE"

   Ersetzen Sie Folgendes:

   • BUCKET_ID: der Bucket, für den Zugriff gewährt werden soll
   • PROJECT_NUMBER: die Projektnummer des Projekts, das den Workload Identity-Pool enthält
   • POOL_ID: die Pool-ID des Workload Identity-Pools
   • SUBJECT: der erwartete Wert für das Attribut, das Sie google.subject zugeordnet haben
   • GROUP: der erwartete Wert für das Attribut, das Sie google.groups zugeordnet haben
   • ATTRIBUTE_NAME: der Name eines benutzerdefinierten Attributs in Ihrer Attributzuordnung
   • ATTRIBUTE_VALUE: Wert des benutzerdefinierten Attributs in Ihrer Attributzuordnung

   Sie können jeder Google Cloud-Ressource, die IAM-Zulassungsrichtlinien unterstützt, Rollen zuweisen.

   Hinweis: Sie müssen in der Mitglieds-ID die Projektnummer, nicht die Projekt-ID, verwenden.

Identitätsübertragung für ein Dienstkonto

1. So erstellen Sie ein Dienstkonto für die externe Arbeitslast:

   1. Enable the IAM, Security Token Service, and Service Account Credentials APIs.

      Enable the APIs

   2. Erstellen Sie ein Dienstkonto, das die Arbeitslast darstellt. Es empfiehlt sich, für jede Arbeitslast ein dediziertes Dienstkonto zu verwenden.

      Das Dienstkonto muss sich nicht im selben Projekt wie der Workload Identity-Pool befinden.

   3. Gewähren Sie dem Dienstkonto Zugriff auf Ressourcen, auf die externe Identitäten zugreifen können sollen.

   4. Weisen Sie dem Dienstkonto die Nutzerrolle "Workload Identity" (roles/iam.workloadIdentityUser) zu.

   5. Erstellen Sie ein Dienstkonto, das die Arbeitslast darstellt. Wir empfehlen, für jede Arbeitslast ein dediziertes Dienstkonto zu verwenden.

      Das Dienstkonto muss sich nicht im selben Projekt wie der Workload Identity-Pool befinden. Sie müssen sich aber auf das Projekt beziehen, das das Dienstkonto enthält.

2. So gewähren Sie Zugriff auf eine föderierte Identität mithilfe der Identitätsübernahme des Dienstkontos über die Google Cloud Console oder die gcloud CLI:

   Console

   So weisen Sie der Google Cloud Console IAM-Rollen zu, um einer föderierten Identität mit einem Dienstkonto IAM-Rollen zuzuweisen:

   1. Erstellen Sie ein Dienstkonto, das als Identität für die Identitätsübernahme dient. Gehen Sie dazu so vor:

      1. Enable the IAM, Security Token Service, and Service Account Credentials APIs.

         Enable the APIs

      2. Erstellen Sie ein Dienstkonto, das die Identität für die Arbeitslast darstellt. Wir empfehlen, für jede Arbeitslast ein dediziertes Dienstkonto zu verwenden.

         Das Dienstkonto muss sich nicht im selben Projekt wie der Workload Identity-Pool befinden. Wenn Sie jedoch IAM-Zugriff gewähren, müssen Sie auf das Projekt verweisen, das das Dienstkonto enthält.

      3. Gewähren Sie dem Dienstkonto Zugriff auf Ressourcen, auf die externe Identitäten zugreifen können sollen.

   2. So gewähren Sie Zugriff über die Dienstkonto-Identitätsübernahme:

      1. Rufen Sie die Seite Workload Identity-Pools auf.

         Zu Workload Identity-Pools

      2. Wählen Sie Zugriff erlauben aus.

      3. Wählen Sie im Dialogfeld Zugriff auf Dienstkonto gewähren die Option Zugriff mit Identitätsübernahme des Dienstkontos gewähren aus.

      4. Wählen Sie in der Liste Dienstkonten das Dienstkonto aus, das von den externen Identitäten übernommen werden soll. Gehen Sie dann so vor:

      5. Führen Sie eine der folgenden Aktionen aus, um auszuwählen, welche Identitäten im Pool die Identität des Dienstkontos übernehmen können:

         • Damit nur bestimmte Identitäten des Workload Identity-Pools die Identität des Dienstkontos übernehmen können, wählen Sie Nur Identitäten, die dem Filter entsprechen aus.

         • Wählen Sie in der Liste Attributname das Attribut aus, nach dem Sie filtern möchten.

         • Geben Sie im Feld Attributwert den erwarteten Wert des Attributs ein. Wenn Sie beispielsweise eine google.subject=assertion.sub-Attributzuordnung verwenden, legen Sie den Attributnamen auf subject und den Attributwert auf den Wert der -subAnforderung in Tokens fest, die von Ihrem externen Identitätsanbieter ausgestellt wurden.

      6. Klicken Sie zum Speichern der Konfiguration auf Speichern und dann auf Schließen.

   gcloud

   Führen Sie den folgenden Befehl aus, um mit der gcloud CLI externen Identitäten, die bestimmte Kriterien erfüllen, die Rolle „Workload Identity-Nutzer“ (roles/iam.workloadIdentityUser) zuzuweisen.

   Nach Thema

   gcloud storage buckets add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
       --role=roles/storage.objectViewer \
       --member="principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT"

   Nach Gruppe

   gcloud storage buckets add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
       --role=roles/storage.objectViewer \
       --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP"

   Nach Attribut

   gcloud storage buckets add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
       --role=roles/storage.objectViewer \
       --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE"

   Ersetzen Sie Folgendes:

   • SERVICE_ACCOUNT_EMAIL: die E-Mail-Adresse des Dienstkontos.
   • PROJECT_NUMBER: die Projektnummer des Projekts, das den Workload Identity-Pool enthält
   • POOL_ID: die Pool-ID des Workload Identity-Pools
   • SUBJECT: der erwartete Wert für das Attribut, das Sie google.subject zugeordnet haben
   • GROUP: der erwartete Wert für das Attribut, das Sie google.groups zugeordnet haben
   • ATTRIBUTE_NAME: der Name eines benutzerdefinierten Attributs in Ihrer Attributzuordnung
   • ATTRIBUTE_VALUE: Wert des benutzerdefinierten Attributs in Ihrer Attributzuordnung

   Hinweis: Sie müssen in der Mitglieds-ID die Projektnummer, nicht die Projekt-ID, verwenden.

Konfiguration herunterladen

Damit Ihre Arbeitslast auf Clientbibliotheken zugreifen kann, müssen Sie zuerst die Standardanmeldedaten für Anwendungen (Application Default Credentials, ADC) herunterladen und konfigurieren. Gehen Sie dazu so vor:

1. Rufen Sie in der Google Cloud Console die Seite Workload Identity-Pools auf.

   Zu Workload Identity-Pools

2. Wählen Sie in der Tabelle den Pool aus, um die Detailseite des Pools aufzurufen.

3. Klicken Sie auf Zugriff erlauben.

4. Wählen Sie Zugriff mit föderierten Identitäten gewähren (empfohlen) aus.

5. So laden Sie die Standardanmeldedaten für Anwendungen (ADC) herunter, damit Ihre Arbeitslast auf Clientbibliotheken zugreifen kann:

   1. Klicken Sie auf Konfiguration herunterladen.

   2. Führen Sie im Dialogfeld Anwendung konfigurieren die folgenden Schritte aus:

      1. Wählen Sie in der Drop-down-Liste Anbieter Ihren Anbieter aus.

      2. Geben Sie unter OIDC-Tokenpfad oder SAML-Assertion-Pfad den Pfad ein, in dem sich das Token oder die Assertion befindet.

      Wählen Sie in der Drop-down-Liste Formattyp das Format aus.

   3. Klicken Sie auf Konfiguration herunterladen und notieren Sie sich den Pfad, unter dem Sie die Datei gespeichert haben.