Per utilizzare Google Cloud, gli utenti e i carichi di lavoro devono avere un'identità che possa essere riconosciuta da Google Cloud.
Questa pagina illustra i metodi che puoi utilizzare per configurare le identità per gli utenti e i carichi di lavoro.
Identità utente
Esistono diversi modi per configurare le identità utente in modo che Google Cloud possa riconoscerle:
- Crea account Cloud Identity o Google Workspace: gli utenti con account Cloud Identity o Google Workspace possono autenticarsi su Google Cloud ed essere autorizzati a utilizzare le risorse Google Cloud. Gli account Cloud Identity e Google Workspace sono account utente gestiti dalla tua organizzazione.
Configura una delle seguenti strategie di identità federata:
- Federazione con Cloud Identity o Google Workspace: sincronizza le identità esterne con gli account Cloud Identity o Google Workspace corrispondenti in modo che gli utenti possano accedere ai servizi Google con le proprie credenziali esterne. Con questo metodo, gli utenti devono avere due account: un account esterno e un account Cloud Identity o Google Workspace. Puoi mantenere sincronizzati questi account utilizzando uno strumento come Google Cloud Directory Sync (GCDS).
- Federazione delle identità della forza lavoro: utilizza il tuo provider di identità (IdP) esterno per far accedere gli utenti a Google Cloud e consentire loro di accedere alle risorse e ai prodotti Google Cloud. Con la federazione delle identità per la forza lavoro, gli utenti hanno bisogno di un solo account: il loro account esterno. Questo tipo di identità utente è a volte definito identità federata.
Per scoprire di più su questi metodi per configurare le identità utente, consulta la Panoramica delle identità utente.
Identità di carico di lavoro
Google Cloud fornisce i seguenti tipi di servizi di identità per i workload:
La federazione delle identità per i carichi di lavoro consente ai carichi di lavoro di accedere alla maggior parte dei servizi Google Cloud utilizzando un'identità fornita da un IdP. I carichi di lavoro che utilizzano la federazione Workload Identity possono essere eseguiti su Google Cloud, Google Kubernetes Engine (GKE) o altre piattaforme, come AWS, Azure e GitHub.
Gli account di servizio Google Cloud possono fungere da identità per i carichi di lavoro. Invece di concedere l'accesso direttamente a un carico di lavoro, concedi l'accesso a un account di servizio e poi lascia che il carico di lavoro utilizzi l'account di servizio come identità.
Le identità di carico di lavoro gestite (anteprima) ti consentono di associare identità fortemente attestate ai carichi di lavoro Compute Engine. Puoi utilizzare le identità di carico di lavoro gestite per autenticare i tuoi carichi di lavoro con altri carichi di lavoro utilizzando TLS reciproca (mTLS), ma non puoi utilizzarle per l'autenticazione alle API Google Cloud.
I metodi che puoi utilizzare dipendono da dove vengono eseguiti i carichi di lavoro.
Se esegui carichi di lavoro su Google Cloud, puoi utilizzare i seguenti metodi per configurare le identità di carico di lavoro:
Federazione delle identità per i carichi di lavoro per GKE: concedi l'accesso IAM ai cluster GKE e agli account di servizio Kubernetes. In questo modo, i carichi di lavoro dei cluster possono accedere direttamente alla maggior parte dei servizi Google Cloud, senza utilizzare la simulazione dell'identità dell'account di servizio IAM.
Account di servizio collegati: collega un account di servizio a una risorsa in modo che funga da identità predefinita della risorsa. Tutti i carichi di lavoro eseguiti sulla risorsa utilizzano l'identità dell'account di servizio per accedere ai servizi Google Cloud.
Credenziali di breve durata per gli account di servizio: genera e utilizza credenziali di breve durata per gli account di servizio ogni volta che le tue risorse devono accedere ai servizi Google Cloud. I tipi di credenziali più comuni sono i token di accesso OAuth 2.0 e i token ID OpenID Connect (OIDC).
Se esegui workload all'esterno di Google Cloud, puoi utilizzare i seguenti metodi per configurare le identità di workload:
- Federazione delle identità per i carichi di lavoro: utilizza le credenziali di fornitori di identità esterni per generare credenziali di breve durata, che i carichi di lavoro possono utilizzare per impersonare temporaneamente gli account di servizio. I workload possono quindi accedere alle risorse Google Cloud utilizzando l'account di servizio come identità.
Chiavi dell'account di servizio: utilizza la parte privata della coppia di chiave RSA pubblica/privata di un account di servizio per autenticarti come account di servizio.
Per scoprire di più su questi metodi per configurare le identità di carico di lavoro, consulta Panoramica delle identità di carico di lavoro.