创建机密资源并授予对其的访问权限

直接资源访问权限

直接资源访问方法涉及设置 WIP 和提供方，然后根据特定的工作负载容器映像摘要设置 IAM 角色。

设置 WIP 和提供方

如需设置 WIP 和提供方，请完成以下说明：

1. 创建 WIP：

   gcloud iam workload-identity-pools create DATA_COLLABORATOR_POOL_NAME \
       --location=global
   

2. 在 WIP 中创建 OIDC 提供方：

   gcloud iam workload-identity-pools providers create-oidc attestation-verifier \
       --location=global \
       --workload-identity-pool=DATA_COLLABORATOR_POOL_NAME \
       --issuer-uri="https://confidentialcomputing.googleapis.com/" \
       --allowed-audiences="https://sts.googleapis.com" \
       --attribute-mapping="google.subject=\"gcpcs::\"+assertion.submods.container.image_digest+\"::\"+assertion.submods.gce.project_number+\"::\"+assertion.submods.gce.instance_id,attribute.image_digest=assertion.submods.container.image_digest" \
       --attribute-condition="assertion.swname == 'CONFIDENTIAL_SPACE' \
           && 'STABLE' in assertion.submods.confidential_space.support_attributes"
   

   此示例使用以下值：

   • issuer-uri 的 https://confidentialcomputing.googleapis.com/，表示使用 Google Cloud 证明作为证明服务。

   • https://sts.googleapis.com 的 allowed-audiences。这是 Google 的 Security Token Service，用于将凭据交换为访问令牌。

   • 值为 google.subject 的 attribute-mapping，具有以下值：

     \"gcpcs::\"+assertion.submods.container.image_digest+\"::\"+assertion.submods.gce.project_number+\"::\"+assertion.submods.gce.instance_id,attribute.image_digest=assertion.submods.container.image_digest
     

     此值是使用通用表达式语言 (CEL) 构建的。以下值会分配给 gcpcs 属性，并在工作负载访问资源时显示在 Cloud Logging 中：

     • assertion.submods.container.image_digest：工作负载容器映像摘要。

     • assertion.submods.gce.project_number：虚拟机实例的项目编号。

     • assertion.submods.gce.instance_id：虚拟机实例的 ID。

     此外，attribute.image_digest 设置为 assertion.submods.container.image_digest，即工作负载容器映像摘要。此属性经过映射，因此您可以根据特定映像摘要向联合身份授予 IAM 角色。

     您可以映射任何可用的工作负载断言，只要 google.subject 值的总长度小于 127 字节即可。

   • 以下 attribute-conditions 构成证明政策。如果这些条件与工作负载的断言相符，则允许工作负载以联合身份访问机密资源：

     • assertion.swname == 'CONFIDENTIAL_SPACE'：验证 Confidential Space 是否是虚拟机上运行的软件，并具有所有内置安全保证。

     • 'STABLE' in assertion.submods.confidential_space.support_attributes： 验证是否使用了生产 Confidential Space 映像，以及该映像是否具有 STABLE 支持属性。

     如需了解可使用的更多属性条件，请参阅创建证明政策。

向联合身份授予 IAM 角色

创建 WIP 提供方后，您可以根据联合身份的工作负载映像容器摘要是否与预期值匹配，向该身份授予 IAM 角色。

以下示例演示了如何向联合身份授予解密特定 Cloud Key Management Service 密钥的权限：

gcloud kms keys add-iam-policy-binding \
    projects/DATA_COLLABORATOR_PROJECT_ID/locations/global/keyRings/DATA_COLLABORATOR_KEYRING_NAME/cryptoKeys/DATA_COLLABORATOR_KEY_NAME \
    --member="principalSet://iam.googleapis.com/projects/DATA_COLLABORATOR_PROJECT_NUMBER/locations/global/workloadIdentityPools/DATA_COLLABORATOR_POOL_NAME/attribute.image_digest/WORKLOAD_CONTAINER_IMAGE_DIGEST" \
    --role=roles/cloudkms.cryptoKeyDecrypter

服务账号模拟

服务账号模拟方法涉及以下步骤：

1. 在每个数据协作者项目中创建服务账号，并授予这些服务账号解密保密数据的权限。

2. 在每个数据协作方项目中创建 WIP，然后将刚刚创建的每个项目的服务账号附加到其 WIP。

3. 在每个 WIP 中创建 WIP 提供程序，将工作负载服务账号指定为允许模拟数据协作者服务账号的账号。

设置服务账号以解密机密数据

1. 在数据协作者项目中创建服务账号：

   gcloud iam service-accounts create DATA_COLLABORATOR_SERVICE_ACCOUNT_NAME
   

   向服务账号授予解密机密数据所需的权限。例如，您可以使用 Cloud KMS 对 Cloud Storage 中的机密文件进行加密，因此需要向服务账号授予解密相应数据的权限：

   gcloud kms keys add-iam-policy-binding \
       projects/DATA_COLLABORATOR_PROJECT_ID/locations/global/keyRings/DATA_COLLABORATOR_KEYRING_NAME/cryptoKeys/DATA_COLLABORATOR_KEY_NAME \
       --member=serviceAccount:DATA_COLLABORATOR_SERVICE_ACCOUNT_NAME@DATA_COLLABORATOR_PROJECT_ID.iam.gserviceaccount.com \
       --role=roles/cloudkms.cryptoKeyDecrypter
   

设置 WIP 和提供方

如需设置 WIP 和提供方，请在每个数据协作方项目中完成以下说明：

1. 创建 WIP：

   gcloud iam workload-identity-pools create DATA_COLLABORATOR_POOL_NAME \
       --location=global
   

2. 将要冒充的服务账号附加到 WIP，并授予 roles/iam.workloadIdentityUser 角色：

   gcloud iam service-accounts add-iam-policy-binding \
       DATA_COLLABORATOR_SERVICE_ACCOUNT_NAME@DATA_COLLABORATOR_PROJECT_ID.iam.gserviceaccount.com \
       --member="principalSet://iam.googleapis.com/projects/DATA_COLLABORATOR_PROJECT_NUMBER/locations/global/workloadIdentityPools/DATA_COLLABORATOR_POOL_NAME/*" \
       --role=roles/iam.workloadIdentityUser
   

3. 在 WIP 中创建 OIDC 提供方，并在其中定义工作负载服务账号，以便该账号可以模拟数据协作者服务账号：

   gcloud iam workload-identity-pools providers create-oidc attestation-verifier \
       --location=global \
       --workload-identity-pool=DATA_COLLABORATOR_POOL_NAME \
       --issuer-uri="https://confidentialcomputing.googleapis.com/" \
       --allowed-audiences="https://sts.googleapis.com" \
       --attribute-mapping="google.subject=assertion.sub" \
       --attribute-condition="assertion.submods.container.image_digest == 'WORKLOAD_CONTAINER_IMAGE_DIGEST' \
   && 'WORKLOAD_SERVICE_ACCOUNT_NAME@WORKLOAD_OPERATOR_PROJECT_ID.iam.gserviceaccount.com' in assertion.google_service_accounts \
   && assertion.swname == 'CONFIDENTIAL_SPACE' \
   && 'STABLE' in assertion.submods.confidential_space.support_attributes"
   

   此示例使用以下值：

   • issuer-uri 的 https://confidentialcomputing.googleapis.com/，表示使用 Google Cloud 证明作为证明服务。

   • https://sts.googleapis.com 的 allowed-audiences。这是 Google 的 Security Token Service，用于将凭据交换为访问令牌。

   • 值为 assertion.sub 的 google.subject attribute-mapping。这是虚拟机实例的 selfLink，如证明令牌中的 sub 声明所定义。

     每当工作负载访问资源时，Cloud Logging 中都会显示虚拟机实例 selfLink。

   • 以下 attribute-conditions 构成证明政策。如果这些条件与工作负载的断言相符，则允许工作负载以联合身份访问资源：

     • assertion.submods.container.image_digest == 'WORKLOAD_CONTAINER_IMAGE_DIGEST'：验证工作负载容器映像摘要是否与预期值一致。

     • 'WORKLOAD_SERVICE_ACCOUNT_NAME@WORKLOAD_PROJECT_ID.iam.gserviceaccount.com' in assertion.google_service_accounts：验证附加到工作负载的服务账号是否与预期服务账号匹配，然后使用该服务账号模拟数据协作者服务账号。

     • assertion.swname == 'CONFIDENTIAL_SPACE'：验证 Confidential Space 是否是虚拟机上运行的软件，并具有所有内置安全保证。

     • 'STABLE' in assertion.submods.confidential_space.support_attributes： 验证是否使用了生产 Confidential Space 映像，以及该映像是否具有 STABLE 支持属性。

     如需了解可使用的更多属性条件，请参阅创建证明政策。