Ottenere token di breve durata per la federazione delle identità per la forza lavoro

OIDC

Puoi recuperare le credenziali utilizzate per configurare il file di configurazione dalle seguenti origini:

• Credenziali ricavate da file
• Credenziali ricavate da URL
• Credenziali non interattive provenienti da file eseguibili
• Credenziali interattive con origine file eseguibile

Credenziali basate su file

Quando utilizzi le credenziali basate su file, i token vengono caricati da un file. Un'altra procedura deve aggiornare questo file con un nuovo token OIDC prima della scadenza del vecchio token. Ad esempio, se il token ha una durata di un'ora, devi aggiornare il file prima che siano trascorse un'ora.

Per generare il file di configurazione con una credenziale basata su file, esegui il comando seguente:

gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --subject-token-type=urn:ietf:params:oauth:token-type:id_token \
    --credential-source-file=PATH_TO_OIDC_ID_TOKEN \
    --workforce-pool-user-project=WORKFORCE_POOL_USER_PROJECT \
    --output-file=config.json

Sostituisci quanto segue:

• WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro
• WORKFORCE_PROVIDER_ID: l'ID fornitore del pool di identità della forza lavoro
• PATH_TO_OIDC_TOKEN: il percorso del file delle credenziali dell'identità OIDC
• WORKFORCE_POOL_USER_PROJECT: il numero o l'ID progetto associato al progetto utente dei pool di personale.

L'entità deve disporre dell'autorizzazione serviceusage.services.use per questo progetto.

L'esecuzione del comando genera un file di configurazione dell'identità provider OIDC simile al seguente:

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "subject_token_type": "urn:ietf:params:oauth:token-type:id_token",
  "token_url": "https://sts.googleapis.com/v1/token",
  "workforce_pool_user_project": "WORKFORCE_POOL_USER_PROJECT",
  "credential_source": {
    "file": "PATH_TO_OIDC_CREDENTIALS_FILE"
  }
}

Credenziali basate su URL

Quando utilizzi le credenziali ricavate da URL, i token vengono caricati da un server locale con un endpoint che risponde alle richieste HTTP GET. La risposta deve essere un token ID OIDC, in testo normale o in formato JSON.

Per generare un file di configurazione con una credenziale basata su URL, esegui il comando seguente:

gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --subject-token-type=urn:ietf:params:oauth:token-type:id_token \
    --credential-source-url=URL_TO_RETURN_OIDC_ID_TOKEN \
    --workforce-pool-user-project=WORKFORCE_POOL_USER_PROJECT \
    --output-file=config.json

Sostituisci quanto segue:

• WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro.
• WORKFORCE_PROVIDER_ID: l'ID fornitore del pool di identità della forza lavoro.
• URL_TO_RETURN_OIDC_ID_TOKEN: l'URL da chiamare per recuperare le credenziali OIDC, ad esempio un token ID OIDC, ad esempio:http://localhost:5000/token.
• WORKFORCE_POOL_USER_PROJECT: il numero del progetto utilizzato per la quota e la fatturazione. L'entità deve avere serviceusage.services.use permission in questo progetto.

L'esecuzione del comando genera un file di configurazione dell'identità provider OIDC simile al seguente:

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "subject_token_type": "urn:ietf:params:oauth:token-type:id_token",
  "token_url": "https://sts.googleapis.com/v1/token",
  "workforce_pool_user_project": "WORKFORCE_POOL_USER_PROJECT",
  "credential_source": {
    "url": "URL_TO_RETURN_OIDC_ID_TOKEN"
  }
}

Credenziali non interattive con origine file eseguibile

Quando utilizzi credenziali basate su file eseguibili non interattivi, i token vengono caricati da un file eseguibile locale. L'eseguibile deve fornire un token ID OIDC valido e non scaduto in formato JSON a stdout:

{
  "version": 1,
  "success": true,
  "token_type": "urn:ietf:params:oauth:token-type:id_token",
  "id_token": "HEADER.PAYLOAD.SIGNATURE",
  "expiration_time": 1620499962
}

Questi campi sono obbligatori per una risposta positiva, ad eccezione di expiration_time. Il campo expiration_time è obbligatorio solo se nella configurazione delle credenziali è stato specificato un file di output.

L'eseguibile deve segnalare eventuali errori a stdout nel seguente formato JSON:

{
  "version": 1,
  "success": false,
  "code": "401",
  "message": "Caller not authorized."
}

Questi campi sono tutti obbligatori per una risposta di errore. I campi codice e messaggio vengono utilizzati dalle librerie client quando viene sollevato l'errore appropriato.

Il comando può restituire i seguenti campi:

• version: la versione dell'output JSON. È supportata solo la versione 1.

• success: lo stato della risposta. Quando lo stato è true, l'eseguibile deve uscire con il codice di uscita 0 e la risposta deve contenere i seguenti campi:

  • token_type: id_token
  • Campo expiration_time, se nella configurazione delle credenziali è specificato un file di output

  Quando lo stato è false, l'eseguibile deve uscire con un valore diverso da zero e la risposta deve contenere i seguenti campi:

  • code
  • message

• token_type: il tipo di token soggetto di terze parti, che deve essere urn:ietf:params:oauth:token-type:id_token

• id_token: il token OIDC di terze parti

• expiration_time: la scadenza del token OIDC di terze parti in secondi (tempo Unix epoch)

• code: la stringa del codice di errore

• message: il messaggio di errore

Le librerie client impostano le seguenti variabili di ambiente quando viene eseguito il programma eseguibile:

• GOOGLE_EXTERNAL_ACCOUNT_AUDIENCE: il campo del segmento di pubblico dalla configurazione delle credenziali. Questa variabile è sempre impostata.
• GOOGLE_EXTERNAL_ACCOUNT_TOKEN_TYPE: il tipo di token soggetto previsto. Questa variabile è sempre impostata.
• GOOGLE_EXTERNAL_ACCOUNT_OUTPUT_FILE: la posizione del file di output dalla configurazione delle credenziali. Questa variabile è presente solo se specificata nella configurazione delle credenziali.

Queste variabili di ambiente possono essere utilizzate dall'eseguibile per evitare di codificare rigidamente questi valori.

Per attivare questo metodo di recupero delle credenziali con le librerie client, la variabile di ambiente GOOGLE_EXTERNAL_ACCOUNT_ALLOW_EXECUTABLES deve essere impostata su 1.

Per generare il file di configurazione con una credenziale di origine eseguibile, esegui il seguente comando:

gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --subject-token-type=urn:ietf:params:oauth:token-type:id_token  \
    --executable-command=EXECUTABLE_COMMAND \
    --executable-timeout-millis=EXECUTABLE_TIMEOUT \
    --executable-output-file=EXECUTABLE_OUTPUT_FILE \
    --workforce-pool-user-project=WORKFORCE_POOL_USER_PROJECT \
    --output-file /path/to/generated/config.json

Sostituisci quanto segue:

• WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro.
• WORKFORCE_PROVIDER_ID: l'ID fornitore del pool di identità della forza lavoro.
• EXECUTABLE_COMMAND: il comando completo, inclusi gli argomenti, da eseguire per recuperare il token soggetto, ad esempio un token ID OIDC, nel seguente formato:--executable-command="/path/to/command --foo=bar".
• EXECUTABLE_TIMEOUT: facoltativo. Una durata in millisecondi per attendere l'esecuzione dell'eseguibile (il valore predefinito è 30 secondi).
• EXECUTABLE_OUTPUT_FILE: facoltativo. Un percorso per accedere alle credenziali di terze parti generate dall'eseguibile. Questo è utile per memorizzare nella cache le credenziali. Le librerie Auth controllano prima questo percorso prima di eseguire l'eseguibile.
• WORKFORCE_POOL_USER_PROJECT: il numero o l'ID progetto utilizzato per la quota e la fatturazione. L'entità deve avere l'autorizzazione serviceusage.services.use impostata su questo progetto.

L'esecuzione del comando genera un file di configurazione dell'identità provider OIDC simile al seguente:

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "subject_token_type": "urn:ietf:params:oauth:token-type:id_token",
  "token_url": "https://sts.googleapis.com/v1/token",
  "workforce_pool_user_project": "WORKFORCE_POOL_USER_PROJECT",
  "credential_source": {
    "executable": {
      "command": "EXECUTABLE_COMMAND",
      "timeout_millis": "EXECUTABLE_TIMEOUT",
      "output_file": "EXECUTABLE_OUTPUT_FILE"
    }
  }
}

Credenziali interattive con origine file eseguibile

Quando utilizzi le credenziali con origine file eseguibile interattive, puoi fornire un file eseguibile che interagisce con l'utente tramite stdin e stdout. Se l'utente accede correttamente, l'eseguibile scrive una credenziale valida e non scaduta nel file specificato.

Per utilizzare questa modalità, sono necessari i seguenti flag:

• --executable-output-file: il file in cui l'eseguibile scrive le informazioni sulle credenziali
• --exeutable-interactive-timeout-millis: un valore diverso da zero che indica la modalità interattiva e imposta il timeout, ad esempio 6000 per un timeout di 60 secondi

I seguenti campi sono obbligatori per una risposta corretta, con l'eccezione di expiration_time:

{
  "version": 1,
  "success": true,
  "token_type": "urn:ietf:params:oauth:token-type:id_token",
  "id_token": "HEADER.PAYLOAD.SIGNATURE",
  "expiration_time": 1620499962
}

L'eseguibile deve scrivere eventuali errori nel file specificato in --executable-output-file nel seguente formato JSON. I seguenti campi sono tutti obbligatori quando viene restituita una risposta di errore.

{
  "version": 1,
  "success": false,
  "code": "401",
  "message": "Caller not authorized."
}

I campi code e message devono indicare l'errore appropriato. Questi campi vengono utilizzati dalle librerie client quando viene generato l'errore.

Al termine dell'esecuzione, il comando restituisce gli stessi campi per le credenziali basate su file eseguibili interattive e non interattive.

Le variabili di ambiente sono le stesse anche per le credenziali con origine file eseguibile interattive e non interattive.

Per generare una credenziale interattiva basata su file eseguibili, aggiungi il parametro --executable-interactive-timeout-millis e il parametro --executable-output-file.

gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --subject-token-type=urn:ietf:params:oauth:token-type:id_token  \
    --executable-command=EXECUTABLE_COMMAND \
    --executable-interactive-timeout-millis=EXECUTABLE_INTERACTIVE_TIMEOUT \
    --executable-output-file=EXECUTABLE_OUTPUT_FILE \
    --workforce-pool-user-project=WORKFORCE_POOL_USER_PROJECT \
    --output-file /path/to/generated/config.json

Sostituisci quanto segue:

• WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro.
• WORKFORCE_PROVIDER_ID: l'ID fornitore del pool di identità della forza lavoro.
• EXECUTABLE_COMMAND: il comando completo, inclusi gli argomenti, da eseguire per recuperare il token soggetto, nel seguente formato: --executable-command="/path/to/command --arg1=val1 --arg2=val2"
• EXECUTABLE_INTERACTIVE_TIMEOUT: una durata in millisecondi da attendere per l'esecuzione dell'eseguibile.
• EXECUTABLE_OUTPUT_FILE: un percorso alle credenziali di terze parti generate dall'eseguibile. Questo percorso è utile per memorizzare nella cache le credenziali. Le librerie di autenticazione verificano prima questo percorso prima di eseguire l'eseguibile.
• WORKFORCE_POOL_USER_PROJECT: il numero o l'ID progetto utilizzato per la quota e la fatturazione. Il principale deve disporre dell'autorizzazione serviceusage.services.use per questo progetto.

L'esecuzione del comando genera un file di configurazione dell'identità provider OIDC simile al seguente:

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "subject_token_type": "urn:ietf:params:oauth:token-type:id_token",
  "token_url": "https://sts.googleapis.com/v1/token",
  "workforce_pool_user_project": "WORKFORCE_POOL_USER_PROJECT",
  "credential_source": {
    "executable": {
      "command": "EXECUTABLE_COMMAND",
      "interactive_timeout_millis": "EXECUTABLE_INTERACTIVE_TIMEOUT",
      "timeout_millis": "EXECUTABLE_TIMEOUT",
      "output_file": "EXECUTABLE_OUTPUT_FILE",
    }
  }
}

Il campo timeout_millis viene restituito perché, in alcuni casi, un file eseguibile interattivo può essere eseguito anche in modalità non interattiva. In modalità interattiva, il comando restituisce un timeout predefinito.

SAML

Puoi recuperare le credenziali utilizzate per configurare il file di configurazione dalle seguenti origini:

• Credenziali ricavate da file
• Credenziali ricavate da URL
• Credenziali provenienti da file eseguibili
• Credenziali provenienti da file eseguibili per la modalità interattiva di gcloud

Credenziali basate su file

Le asserzioni vengono caricate da un file. Un altro processo deve aggiornare questo file con una nuova asserzione SAML codificata in base64 prima della scadenza della vecchia asserzione. Ad esempio, se l'affermazione ha una durata di un'ora, devi aggiornare il file prima che siano trascorse un'ora.

gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=federation_config.json \
    --credential-source-file=CREDENTIAL_FILE \
    --subject-token-type=urn:ietf:params:oauth:token-type:saml2 \
    --workforce-pool-user-project=WORKFORCE_POOL_USER_PROJECT

Sostituisci quanto segue:

• WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro.
• WORKFORCE_PROVIDER_ID: l'ID fornitore del pool di identità della forza lavoro.
• CREDENTIAL_FILE: il percorso del file delle credenziali generato dall'IdP.
• WORKFORCE_POOL_USER_PROJECT: il numero o l'ID progetto utilizzato per la quota e la fatturazione. L'entità deve avere serviceusage.services.use permission in questo progetto.

Credenziali basate su URL

Credenziali provenienti da file eseguibili

Le verifiche vengono caricate da un file eseguibile locale. L'eseguibile deve fornire a stdout un'affermazione SAML valida e non scaduta in formato JSON.

{
  "version": 1,
  "success": true,
  "token_type": "urn:ietf:params:oauth:token-type:saml2",
  "saml_response": "...",
  "expiration_time": 1620499962
}

Questi campi sono obbligatori per una risposta positiva, ad eccezione di expiration_time. Il campo expiration_time è obbligatorio solo quando nella configurazione delle credenziali è specificato un file di output.

Se si verifica un errore, l'eseguibile deve mostrarlo nell'output standard nel seguente formato JSON:

{
  "version": 1,
  "success": false,
  "code": "401",
  "message": "Caller not authorized."
}

Questi campi sono tutti obbligatori per una risposta di errore. I campi codice e messaggio vengono utilizzati dalle librerie client quando viene sollevato l'errore appropriato.

Il comando può restituire i seguenti campi:

• version: la versione dell'output JSON. È supportata solo la versione 1.

• success: lo stato della risposta. Quando lo stato è true, l'eseguibile deve uscire con il codice di uscita 0 e la risposta deve contenere i seguenti campi:

  • token_type: saml_response
  • Campo expiration_time, se nella configurazione delle credenziali è specificato un file di output

  Quando lo stato è false, l'eseguibile deve uscire con un valore diverso da zero e la risposta deve contenere i seguenti campi: + code + message

• token_type: il tipo di token soggetto di terze parti, che deve essere urn:ietf:params:oauth:token-type:saml2

• saml_response: la risposta SAML di terze parti

• expiration_time: la scadenza della risposta SAML di terze parti in secondi (tempo Unix epoch)

• code: la stringa del codice di errore

• message: il messaggio di errore

Le librerie client impostano le seguenti variabili di ambiente quando viene eseguito il programma eseguibile:

• GOOGLE_EXTERNAL_ACCOUNT_AUDIENCE: il campo del segmento di pubblico dalla configurazione delle credenziali. Questa variabile è sempre impostata.
• GOOGLE_EXTERNAL_ACCOUNT_TOKEN_TYPE: il tipo di token soggetto previsto. Questa variabile è sempre impostata.
• GOOGLE_EXTERNAL_ACCOUNT_OUTPUT_FILE: la posizione del file di output dalla configurazione delle credenziali. Questa variabile è presente solo se specificata nella configurazione delle credenziali.

Per attivare questo metodo di recupero delle credenziali con le librerie client, imposta la variabile di ambiente GOOGLE_EXTERNAL_ACCOUNT_ALLOW_EXECUTABLES su 1.

Per generare il file di configurazione con una credenziale di origine eseguibile, esegui il seguente comando:

gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --subject-token-type=urn:ietf:params:oauth:token-type:saml2  \
    --executable-command=EXECUTABLE_COMMAND \
    --executable-timeout-millis=EXECUTABLE_TIMEOUT \
    --executable-output-file=EXECUTABLE_OUTPUT_FILE \
    --workforce-pool-user-project=WORKFORCE_POOL_USER_PROJECT \
    --output-file /path/to/generated/config.json

Sostituisci quanto segue:

• WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro.
• WORKFORCE_PROVIDER_ID: l'ID fornitore del pool di identità della forza lavoro.
• EXECUTABLE_COMMAND: il comando completo, inclusi gli argomenti, da eseguire per recuperare il token soggetto nel seguente formato:--executable-command="/path/to/command --foo=bar".
• EXECUTABLE_TIMEOUT: facoltativo. La durata in millisecondi da attendere per l'esecuzione dell'eseguibile (il valore predefinito è 30 secondi).
• EXECUTABLE_OUTPUT_FILE: facoltativo. Il percorso delle credenziali dell'identità di terze parti (3PI) generate dall'eseguibile. Ciò è utile per memorizzare le credenziali nella cache. Le librerie di autorizzazione ne verificano l'esistenza prima di eseguire l'eseguibile.
• WORKFORCE_POOL_USER_PROJECT: il numero del progetto utilizzato per la quota e la fatturazione. Il principale deve disporre dell'autorizzazione serviceusage.services.use per questo progetto.

L'esecuzione del comando genera un file di configurazione dell'IdP SAML simile al seguente:

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "subject_token_type": "urn:ietf:params:oauth:token-type:saml2",
  "token_url": "https://sts.googleapis.com/v1/token",
  "workforce_pool_user_project": "WORKFORCE_POOL_USER_PROJECT",
  "credential_source": {
    "executable": {
      "command": "EXECUTABLE_COMMAND",
      "timeout_millis": "EXECUTABLE_TIMEOUT",
      "output_file": "EXECUTABLE_OUTPUT_FILE"
    }
  }
}

Credenziali provenienti da file eseguibili per la modalità interattiva di gcloud

Quando utilizzi le credenziali provenienti da file eseguibili per la modalità interattiva di gcloud, un file eseguibile interagisce con l'utente tramite l'interfaccia a riga di comando.

Nel comando precedente, sostituisci quanto segue:

• EXECUTABLE_OUTPUT_FILE: obbligatorio. Il percorso del file che fornisce le credenziali generate dall'eseguibile.
• EXECUTABLE_TIMEOUT: obbligatorio. Un valore di timeout diverso da zero indica inoltre al comando di utilizzare la modalità interattiva.

    {
      "version": 1,
      "success": true,
      "token_type": "urn:ietf:params:oauth:token-type:saml2",
      "saml_response": "...",
      "expiration_time": 1620499962
    }

Questi campi sono obbligatori per una risposta positiva, ad eccezione di expiration_time. Se expiration_time viene omesso, l'eseguibile viene comunque eseguito.

L'eseguibile deve segnalare eventuali errori a executable-output-file nel seguente formato JSON. Quando l'eseguibile segnala un errore, tutti questi campi sono obbligatori. I campi codice e messaggio vengono utilizzati dalle librerie client quando viene generato l'errore appropriato.

{
  "version": 1,
  "success": false,
  "code": "401",
  "message": "Caller not authorized."
}

L'esecuzione corretta del comando restituisce gli stessi campi delle credenziali non interattive con origine file eseguibile.

Le variabili di ambiente sono uguali anche alle credenziali non interattive con origine file eseguibile.

Per generare una credenziale interattiva basata su file eseguibili, aggiungi il parametro--executable-interactive-timeout-millis.

gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --subject-token-type=urn:ietf:params:oauth:token-type:saml2  \
    --executable-command=EXECUTABLE_COMMAND \
    --executable-interactive-timeout-millis=EXECUTABLE_INTERACTIVE_TIMEOUT \
    --executable-output-file=EXECUTABLE_OUTPUT_FILE \
    --workforce-pool-user-project=WORKFORCE_POOL_USER_PROJECT \
    --output-file /path/to/generated/config.json

Sostituisci quanto segue:

• WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro.
• WORKFORCE_PROVIDER_ID: l'ID fornitore del pool di identità della forza lavoro.
• EXECUTABLE_COMMAND: il comando completo, inclusi gli argomenti, da eseguire per recuperare il token soggetto, formattato come segue:--executable-command="/path/to/command --foo=bar").
• EXECUTABLE_INTERACTIVE_TIMEOUT: una durata in millisecondi da attendere per l'esecuzione dell'eseguibile.
• EXECUTABLE_OUTPUT_FILE: un percorso alle credenziali di terze parti generate dall'eseguibile. Questo è utile per memorizzare nella cache le credenziali. Le librerie di autenticazione controllano prima questo percorso prima di eseguire l'eseguibile.
• WORKFORCE_POOL_USER_PROJECT: il numero o l'ID progetto utilizzato per la quota e la fatturazione. Il principale deve disporre dell'autorizzazione serviceusage.services.use per questo progetto.

L'esecuzione del comando genera un file di configurazione dell'IdP SAML simile al seguente:

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/<var>WORKFORCE_POOL_ID<var>/providers/<var>WORKFORCE_PROVIDER_ID</var>",
  "subject_token_type": "urn:ietf:params:oauth:token-type:saml2",
  "token_url": "https://sts.googleapis.com/v1/token",
  "workforce_pool_user_project": "<var>WORKFORCE_POOL_USER_PROJECT</var>",
  "credential_source": {
    "executable": {
      "command": "<var>EXECUTABLE_COMMAND</var>",
      "interactive_timeout_millis": "<var>EXECUTABLE_INTERACTIVE_TIMEOUT</var>",
      "timeout_millis": "<var>EXECUTABLE_TIMEOUT</var>",
      "output_file": "<var>EXECUTABLE_OUTPUT_FILE</var>",
    }
  }
}

Strumento bq

Per autenticarti utilizzando la federazione delle identità della forza lavoro, utilizza il comando gcloud auth login:

gcloud auth login --cred-file=FILEPATH.json

dove FILEPATH è il percorso del file di configurazione delle credenziali.

Il supporto della federazione delle identità per la forza lavoro nello strumento bq è disponibile nella versione 390.0.0 e successive di Google Cloud CLI.

C++

La maggior parte delle librerie client di Google Cloud per C++ supporta la federazione delle identità per la forza lavoro utilizzando un oggetto ChannelCredentials, creato chiamando grpc::GoogleDefaultCredentials(). Per inizializzare questa credenziale, devi compilare le librerie client con la versione 1.42.0 o superiore di gRPC.

Le librerie client Cloud Storage per C++ utilizzano l'API REST, non gRPC, pertanto non supportano la federazione delle identità per il personale.

auto creds = grpc::GoogleDefaultCredentials();

// Create a channel, stub and make RPC calls (same as in the previous example)
auto channel = grpc::CreateChannel("greeter.googleapis.com", creds);
std::unique_ptr<Greeter::Stub> stub(Greeter::NewStub(channel));
grpc::Status s = stub->sayHello(&context, *request, response);

gcloud

Per autenticarti utilizzando la federazione delle identità della forza lavoro, utilizza il comando gcloud auth login:

gcloud auth login --cred-file=FILEPATH.json

Sostituisci FILEPATH con il percorso del file di configurazione delle credenziali.

Il supporto della federazione delle identità per la forza lavoro in gcloud CLI è disponibile nella versione 392.0.0 e successive di Google Cloud CLI.

Vai

Le librerie client Cloud per Go supportano la federazione delle identità della forza lavoro quando utilizzi la versione v0.0.0-20211005180243-6b3c2da341f1 o successive del modulo golang.org/x/oauth2.

import (
  "context"
  "fmt"
  "log"

  "cloud.google.com/go/storage"
  "google.golang.org/api/iterator"
  "google.golang.org/api/option"
  "io/ioutil"
)
ctx := context.Background()
client, err := storage.NewClient(ctx)
# Explicit initialization can also be used.
# var jsonPath = "/path/to/3p-credentials.json"
# client, err := storage.NewClient(ctx, option.WithCredentialsFile(jsonPath))
if err != nil {
  log.Fatal(err)
}
fmt.Println("Buckets:")
it := client.Buckets(ctx, projectID)
for {
  battrs, err := it.Next()
  if err == iterator.Done {
    break
  }
  if err != nil {
    log.Fatal(err)
  }
  fmt.Println(battrs.Name)
}

Java

Le librerie client di Cloud per Java supportano la federazione delle identità della forza lavoro quando utilizzi la versione 1.2.0 o successive dell'elemento com.google.auth:google-auth-library-oauth2-http.

import com.google.auth.oauth2.GoogleCredentials;
import com.google.cloud.storage.Storage;
import com.google.cloud.storage.StorageOptions;

GoogleCredentials credentials = GoogleCredentials.getApplicationDefault();
GoogleCredentials sourceCredentials = credentials
    .createScoped(Arrays.asList("https://www.googleapis.com/auth/devstorage.read_only"));

Storage storageService = StorageOptions.newBuilder().setProjectId("project-id")
    .setCredentials(sourceCredentials).build().getService();

Node.js

Le librerie client Cloud per Node.js supportano la federazione delle identità della forza lavoro quando utilizzi la versione 7.10.0 o successive del pacchetto google-auth-library.

A differenza dei pool di identità del carico di lavoro, i pool di identità della forza lavoro sono associati a un'organizzazione e non a un progetto Google Cloud. Quando crei un oggetto GoogleAuth, devi specificare un ID progetto. Per ulteriori informazioni, consulta il file README del pacchetto google-auth-library.

const auth = new GoogleAuth({
  scopes: 'https://www.googleapis.com/auth/cloud-platform',
  // Specify a project ID.
  projectId: 'CLOUD_RESOURCE_PROJECT_ID',
});

# API request using Auth library.
const client = await auth.getClient();
const url =
    `https://storage.googleapis.com/storage/v1/b?projects=${projectId}`;
const res = await client.request({url});
console.log(res.data);

Python

Le librerie client di Cloud per Python supportano la federazione delle identità della forza lavoro quando utilizzi la versione 2.3.0 o successive del pacchetto google-auth.

from google.cloud import storage
import google.auth

credentials, project = google.auth.default(
    scopes=['https://www.googleapis.com/auth/devstorage.read_only'])

client = storage.Client(
    project="project-id", credentials=credentials)

Nel codice di esempio, il valore project può essere None se la libreria non è in grado di rilevare automaticamente l'ID progetto. Puoi passare l'ID progetto esplicitamente quando utilizzi un'istanza di servizio, come nell'esempio del client di archiviazione, o impostare l'ID progetto tramite la variabile di ambiente GOOGLE_CLOUD_PROJECT.

Per maggiori dettagli, consulta la guida dell'utente per il pacchetto google-auth.