Configurare la federazione delle identità per i carichi di lavoro con le pipeline di deployment

Azure DevOps

Per consentire a una pipeline Azure DevOps di autenticarsi in Google Cloud, devi prima configurare una connessione di servizio per Azure Resource Manager. Questo collegamento consente alla pipeline di ottenere un token ID, che può poi essere scambiato con le credenziali di Google Cloud.

Per creare una connessione di servizio per Azure Resource Manager:

1. In Azure DevOps, apri il progetto e vai a Impostazioni progetto.
2. Vai a Pipeline > Connessioni ai servizi.
3. Fai clic su Crea collegamento al servizio.
4. Seleziona Azure Resource Manager.
5. Fai clic su Avanti.
6. Seleziona Federazione delle identità per i workload (automatica)
7. Fai clic su Avanti.

8. Configura le seguenti impostazioni:

   • Livello di ambito: seleziona un abbonamento.

     Devi selezionare un abbonamento anche se non prevedi di utilizzare la connessione del servizio per accedere alle risorse Azure.

   • Nome connessione al servizio: inserisci un nome, ad esempio google-cloud.

9. Fai clic su Salva.

In un passaggio successivo, ti serviranno l'emittente e l'identificatore dell'oggetto del collegamento del servizio. Per cercare questi dettagli:

1. Fai clic sulla connessione di servizio che hai appena creato.
2. Fai clic su Gestisci principale servizio.
3. Vai a Certificati e segreti > Credenziali federate.
4. Fai clic sulla credenziale federata.

5. Nella pagina Modifica una credenziale, individua i seguenti identificatori:

   • Issuer (Emittente): identifica in modo univoco la tua organizzazione Azure DevOps
   • Identificatore soggetto: identifica in modo univoco la connessione al servizio

Azure DevOps concede automaticamente l'accesso all'abbonamento selezionato come ambito all'entità servizio associata al nuovo collegamento del servizio. Poiché non prevedi di utilizzare la connessione al servizio per accedere alle risorse di Azure, puoi revocare questo accesso nel seguente modo:

1. Nel portale Azure, apri l'abbonamento selezionato come ambito.
2. Vai a Controllo accesso (IAM) > Assegnazioni dei ruoli.
3. Individua l'assegnazione del ruolo per la connessione al servizio e rimuovila.

GitHub Actions

Non è necessario apportare modifiche di configurazione nel tuo account GitHub.

Dopo aver configurato un pool Workload Identity in modo che attenda il tuo repository GitHub, puoi consentire ai flussi di lavoro in quel repository di utilizzare il loro token OIDC di GitHub per ottenere credenziali Google Cloud di breve durata.

GitLab SaaS

Non è necessario apportare modifiche di configurazione nel tuo account GitLab.

Dopo aver configurato un pool di identità per i carichi di lavoro in modo che attenda il tuo gruppo GitLab, puoi attivare la federazione delle identità per i carichi di lavoro per i singoli job CI/CD.

Terraform Cloud

Non è necessario apportare modifiche alla configurazione nel tuo account Terraform Cloud.

Dopo aver configurato un pool di identità per i carichi di lavoro in modo che attenda Terraform Cloud, puoi attivare la federazione delle identità per i carichi di lavoro per singoli workspace.

Azure DevOps

Il token ID di Azure DevOps include un claim sub che contiene l'identificatore soggetto della connessione del servizio. L'identificatore dell'oggetto utilizza il seguente formato:

sc://ORGANIZATION/PROJECT/CONNECTION

Utilizza la seguente mappatura degli attributi per mappare questo identificatore a google.subject:

google.subject=assertion.sub

GitHub Actions

Le mappature degli attributi possono utilizzare qualsiasi affermazione nel token OIDC di GitHub Actions. Queste chiavi di rivendicazione token e i relativi valori sono controllati da GitHub. Come minimo, devi mappare google.subject a assertion.sub, che corrisponde all'oggetto del token OIDC di GitHub Actions:

google.subject=assertion.sub

Il valore dell'oggetto del token OIDC di GitHub Actions può variare a seconda dell'evento source. Altri attributi della rivendicazione possono includere:

• repository: contiene il nome del proprietario e del repository, ad esempio "google/guava".

• repository_id: contiene l'ID repository univoco, ad esempio "20300177".

• repository_owner: contiene il proprietario, che può essere un nome utente o il nome di un'organizzazione GitHub, ad esempio "google".

• repository_owner_id: contiene l'ID proprietario univoco, ad esempio "1342004".

Questo elenco è un sottoinsieme dei possibili claim. Per un elenco completo, consulta la documentazione di GitHub relativa ai claim di esempio. Assicurati di mappare tutti i claim che prevedi di utilizzare come condizioni degli attributi o come parte di una condizione principalSet futura.

GitLab SaaS

Le mappature degli attributi possono utilizzare i claim incorporati nel token ID di GitLab come attributi di origine, tra cui:

• sub: il nome del progetto e il riferimento Git, ad esempio project_path:groupname/projectname:ref_type:branch:ref:main.
• namespace_id: l'ID gruppo univoco.
• project_id: l'ID progetto univoco.
• user_id: l'ID utente univoco.
• environment: l'ambiente a cui si applica il job.
• ref_path: il riferimento Git, ad esempio refs/heads/main.

La seguente mappatura degli attributi imposta google.subject sull'affermazione sub dell'token ID di GitLab. Poiché la rivendicazione sub contiene sia il nome del progetto sia il riferimento Git, questa mappatura ti consente di controllare l'accesso in base al repository e al ramo:

google.subject=assertion.sub

Il controllo dell'accesso in base a repository e branch può essere utile se determinati branch (ad esempio main) richiedono un accesso alle risorse diverso rispetto ad altri branch (ad esempio i branch di funzionalità).

In alcuni casi, potrebbe essere sufficiente differenziare l'accesso solo in base al progetto o al gruppo. La mappatura seguente include quindi due attributi aggiuntivi che contengono project_id e namespace_id di GitLab:

google.subject=assertion.sub
attribute.project_id=assertion.project_id
attribute.namespace_id=assertion.namespace_id

Terraform Cloud

Le mappature degli attributi possono utilizzare i claim incorporati nel token OIDC di Terraform Cloud, tra cui i seguenti

• terraform_organization_id: contiene l'ID univoco dell'organizzazione, ad esempio org-xxxxxxxxxxxxxxxx.
• terraform_workspace_id: contiene l'ID univoco dello spazio di lavoro, ad esempio ws-xxxxxxxxxxxxxxxx.
• terraform_workspace_name: contiene il nome visualizzato dello spazio di lavoro.
• sub: contiene il nome visualizzato dell'organizzazione, dello spazio di lavoro e della fase, ad esempio organization:example-org:workspace:example-workspace:run_phase:apply.

La seguente mappatura degli attributi imposta google.subject sul claim terraform_workspace_id del token OIDC di Terraform Cloud:

google.subject=assertion.terraform_workspace_id

Questa mappatura ti consente di controllare l'accesso alle risorse Google Cloud in base allo spazio di lavoro.

Azure DevOps

Facoltativamente, utilizza una condizione dell'attributo per limitare l'accesso a determinate connessioni di servizio. Ad esempio, la seguente condizione limita l'accesso alle connessioni in un determinato progetto Azure DevOps:

assertion.sub.startsWith('sc://ORGANIZATION/PROJECT/')

Sostituisci quanto segue:

• ORGANIZATION: il nome della tua organizzazione Azure DevOps.
• PROJECT: il nome del progetto Azure DevOps.

GitHub Actions

Utilizza la seguente condizione dell'attributo per limitare l'accesso ai token emessi dalla tua organizzazione GitHub:

assertion.repository_owner=='ORGANIZATION'

Sostituisci ORGANIZATION con il nome della tua organizzazione GitHub.

Facoltativamente, estendi la condizione dell'attributo per limitare l'accesso a un sottoinsieme di flussi di lavoro o branch. Ad esempio, la seguente condizione limita l'accesso ai flussi di lavoro che utilizzano il ramo Git main:

assertion.repository_owner=='ORGANIZATION' && assertion.ref=='refs/heads/main'

GitLab SaaS

Utilizza la seguente condizione dell'attributo per limitare l'accesso ai token emessi dal tuo gruppo GitLab

assertion.namespace_id=='GROUP_ID'

Sostituisci GROUP_ID con l'ID gruppo visualizzato sulla home page del tuo gruppo GitLab.

Facoltativamente, estendi la condizione dell'attributo per limitare l'accesso a un sottoinsieme di progetti, branch o ambienti. Ad esempio, la seguente condizione limita l'accesso ai job che utilizzano l'ambiente production:

assertion.namespace_id=='GROUP_ID' && assertion.environment=='production'

Terraform Cloud

Utilizza la seguente condizione dell'attributo per limitare l'accesso ai token emessi dalla tua organizzazione Terraform Cloud:

assertion.terraform_organization_id=='ORGANIZATION_ID'

Sostituisci ORGANIZATION_ID con l'ID univoco della tua organizzazione, ad esempio org-xxxxxxxxxxxxxxxx. Facoltativamente, estendi la condizione dell'attributo per limitare l'accesso a un sottoinsieme di flussi di lavoro o branch. Ad esempio, la seguente condizione dell'attributo limita l'accesso a uno spazio di lavoro specifico:

assertion.terraform_organization_id=='ORGANIZATION_ID' && assertion.terraform_workspace_id=='WORKSPACE_ID'

Console

1. Nella console Google Cloud, vai alla pagina Nuovo provider e pool di carichi di lavoro.

   Vai a Nuovo provider e pool di workload

2. In Crea un pool di identità, inserisci quanto segue:

   • Nome: il nome del pool. Il nome viene utilizzato anche come ID pool. Non potrai modificare l'ID pool in un secondo momento.
   • Descrizione: il testo che descrive lo scopo del pool.

3. Fai clic su Continua.

4. Configura le impostazioni del provider:

   Azure DevOps

   • Seleziona un provider: OpenID Connect (OIDC).
   • Nome del provider: il nome del progetto Azure DevOps o un nome personalizzato.
   • ID provider: il nome del progetto Azure DevOps o un ID personalizzato. Non potrai modificare l'ID fornitore in un secondo momento.
   • URL emittente: l'emittente della connessione al servizio che hai cercato in precedenza.

   • Segmenti di pubblico: seleziona Segmenti di pubblico consentiti e incolla il seguente valore

     api://AzureADTokenExchange
     

   GitHub Actions

   • Seleziona un provider: OpenID Connect (OIDC).
   • Nome del provider: il nome del provider.
   • Provider ID: l'ID del fornitore. Non potrai modificare l'ID fornitore in un secondo momento.
   • URL emittente: https://token.actions.githubusercontent.com/
   • Segmenti di pubblico: Pubblico predefinito

   GitLab SaaS

   • Seleziona un provider: OpenID Connect (OIDC).
   • Nome del provider: il nome del provider.
   • Provider ID: l'ID del fornitore. Non potrai modificare l'ID fornitore in un secondo momento.
   • URL emittente: https://gitlab.com
   • Segmenti di pubblico: Pubblico predefinito

   Terraform Cloud

   • Seleziona un provider: OpenID Connect (OIDC).
   • Nome del provider: il nome del provider.
   • Provider ID: l'ID del fornitore. Non potrai modificare l'ID fornitore in un secondo momento.
   • URL emittente: https://app.terraform.io
   • Segmenti di pubblico: Pubblico predefinito

5. Fai clic su Continua.

6. In Configura attributi del provider, aggiungi le mappature degli attributi che hai identificato in precedenza.

7. In Condizioni degli attributi, inserisci la condizione dell'attributo che hai identificato in precedenza.

8. Fai clic su Salva per creare il pool di identità e il provider del workload.

gcloud

1. Crea un nuovo pool di identità del workload:

   gcloud iam workload-identity-pools create POOL_ID \
       --location="global" \
       --description="DESCRIPTION" \
       --display-name="DISPLAY_NAME"
   

   Sostituisci i seguenti valori:

   • POOL_ID: l'ID univoco del pool
   • DISPLAY_NAME: il nome del pool
   • DESCRIPTION: la descrizione del pool. Questa descrizione viene visualizzata quando si concede l'accesso alle identità dei pool.

2. Aggiungi un provider del pool di identità del workload:

   Azure DevOps

   gcloud iam workload-identity-pools providers create-oidc PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="POOL_ID" \
       --issuer-uri="ISSUER" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
   

   Sostituisci i seguenti valori:

   • PROVIDER_ID: il nome del progetto Azure DevOps o un ID personalizzato per il provider.
   • POOL_ID: l'ID del pool
   • ISSUER: l'emittente della connessione di servizio che hai cercato in precedenza.
   • MAPPINGS: un elenco separato da virgola di mappature degli attributi che hai identificato in precedenza
   • CONDITIONS: la condizione dell'attributo identificata in precedenza

   GitHub Actions

   gcloud iam workload-identity-pools providers create-oidc PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="POOL_ID" \
       --issuer-uri="https://token.actions.githubusercontent.com/" \
       --allowed-audiences="api://AzureADTokenExchange" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
   

   Sostituisci i seguenti valori:

   • PROVIDER_ID: l'ID univoco del fornitore
   • POOL_ID: l'ID del pool
   • MAPPINGS: un elenco separato da virgola di mappature degli attributi che hai identificato in precedenza
   • CONDITIONS: la condizione dell'attributo identificata in precedenza

   GitLab SaaS

   gcloud iam workload-identity-pools providers create-oidc PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="POOL_ID" \
       --issuer-uri="https://gitlab.com" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
   

   Sostituisci i seguenti valori:

   • PROVIDER_ID: l'ID univoco del fornitore
   • POOL_ID: l'ID del pool
   • MAPPINGS: un elenco separato da virgola di mappature degli attributi che hai identificato in precedenza
   • CONDITIONS: la condizione dell'attributo identificata in precedenza

   Terraform Cloud

   gcloud iam workload-identity-pools providers create-oidc PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="POOL_ID" \
       --issuer-uri="https://app.terraform.io" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
   

   Sostituisci i seguenti valori:

   • PROVIDER_ID: l'ID univoco del fornitore.
   • POOL_ID: l'ID del pool.
   • MAPPINGS: un elenco separato da virgola di mappature degli attributi che hai identificato in precedenza.
   • CONDITIONS: la condizione dell'attributo che hai identificato in precedenza.

Console

1. Nella console Google Cloud, vai alla pagina Pool di identità di carico di lavoro.

   Vai a Pool Workload Identity

2. Individua il pool di identità del workload contenente il fornitore, quindi fai clic sull'icona arrow_right Espandi nodo per il pool.

3. Individua il fornitore del pool di identità del workload che vuoi modificare e fai clic su edit Modifica.

4. In Condizioni attributi, inserisci la condizione dell'attributo che hai identificato in precedenza.

5. Per aggiornare il pool di identità del workload e il provider, fai clic su Salva.

gcloud

Per aggiornare il provider del pool di identità di lavoro, esegui il seguente comando:

gcloud iam workload-identity-pools providers update-oidc PROVIDER_ID \
    --location="global" \
    --workload-identity-pool="POOL_ID" \
    --attribute-condition="CONDITIONS"

Sostituisci i seguenti valori:

• PROVIDER_ID: l'ID univoco del fornitore
• POOL_ID: l'ID del pool
• CONDITIONS: la condizione dell'attributo che hai identificato in precedenza

Accesso diretto alle risorse

Puoi concedere l'accesso a un'identità federata direttamente sulle risorse utilizzando la console Google Cloud o gcloud CLI.

Rappresentazione dell'identità dell'account di servizio

1. Per creare un account di servizio per il carico di lavoro esterno:

   1. Enable the IAM, Security Token Service, and Service Account Credentials APIs.

      Enable the APIs

   2. Crea un account di servizio che rappresenti il carico di lavoro. Ti consigliamo di utilizzare un account di servizio dedicato per ogni carico di lavoro. L'account di servizio non deve trovarsi nello stesso progetto del pool di identità del carico di lavoro, ma devi fare riferimento al progetto che contiene l'account di servizio.

   3. Concedi all'account di servizio l'accesso alle risorse a cui vuoi che accedano le identità esterne.

   4. Concedi il ruolo Utente Workload Identity (roles/iam.workloadIdentityUser) all'account di servizio.

2. Per concedere l'accesso a un'identità federata utilizzando la simulazione dell'identità degli account di servizio tramite la console Google Cloud o gcloud CLI:

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE"

Azure DevOps

Modifica il file azure-pipelines.yml e aggiungi quanto segue alla configurazione del job:

variables:
- name: Azure.WorkloadIdentity.Connection
  value: CONNECTION
- name: GoogleCloud.WorkloadIdentity.ProjectNumber
  value: PROJECT_NUMBER
- name: GoogleCloud.WorkloadIdentity.Pool
  value: POOL_ID
- name: GoogleCloud.WorkloadIdentity.Provider
  value: PROVIDER_ID
- name: GoogleCloud.WorkloadIdentity.ServiceAccount
  value: SERVICE_ACCOUNT_EMAIL
- name: GOOGLE_APPLICATION_CREDENTIALS
  value: $(Pipeline.Workspace)/.workload_identity.wlconfig

steps:
  - task: AzureCLI@2
    inputs:
      connectedServiceNameARM: $(Azure.WorkloadIdentity.Connection)
      addSpnToEnvironment: true
      scriptType: 'bash'
      scriptLocation: 'inlineScript'
      inlineScript: |
        echo $idToken > $(Pipeline.Workspace)/.workload_identity.jwt
        cat << EOF > $GOOGLE_APPLICATION_CREDENTIALS
        {
          "type": "external_account",
          "audience": "//iam.googleapis.com/projects/$(GoogleCloud.WorkloadIdentity.ProjectNumber)/locations/global/workloadIdentityPools/$(GoogleCloud.WorkloadIdentity.Pool)/providers/$(GoogleCloud.WorkloadIdentity.Provider)",
          "subject_token_type": "urn:ietf:params:oauth:token-type:jwt",
          "token_url": "https://sts.googleapis.com/v1/token",
          "credential_source": {
            "file": "$(Pipeline.Workspace)/.workload_identity.jwt"
          },
          "service_account_impersonation_url": "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/$(GoogleCloud.WorkloadIdentity.ServiceAccount):generateAccessToken"
        }
        EOF

Sostituisci i seguenti valori:

• CONNECTION: il nome della connessione al servizio
• PROJECT_NUMBER: il numero del progetto che contiene il pool di identità del workload
• POOL_ID: l'ID del pool di identità del workload
• PROVIDER_ID: l'ID del provider del pool di identità del workload
• SERVICE_ACCOUNT_EMAIL: l'indirizzo email dell'account per il servizio

La configurazione esegue le seguenti operazioni:

1. Utilizza l'attività AzureCLI per ottenere un token ID per la connessione del servizio e lo rende disponibile in una variabile denominata idToken.
2. Salva il token di abilitazione in un file temporaneo denominato .workload_identity.jwt.
3. Crea un file di configurazione delle credenziali che indica alle librerie client di leggere il token ID da .workload_identity.jwt e lo utilizza per rubare l'identità di un account di servizio.
4. Imposta la variabile di ambiente GOOGLE_APPLICATION_CREDENTIALS in modo che indichi il file di configurazione delle credenziali.

GitHub Actions

L'azione google-github-actions/auth consente di generare automaticamente un file di configurazione delle credenziali durante l'esecuzione del workflow. Le librerie client e gli strumenti come terraform possono quindi utilizzare questo file di configurazione delle credenziali per ottenere automaticamente le credenziali di Google.

Modifica il file YAML di GitHub Actions e aggiungi quanto segue:

• Consenti al job di recuperare un token ID GitHub aggiungendo la seguente configurazione:

  permissions:
    id-token: write
    contents: read
  

• Aggiungi un passaggio per creare un file di configurazione delle credenziali:

  - id: 'auth'
    name: 'Authenticate to Google Cloud'
    uses: 'google-github-actions/auth@v1'
    with:
      create_credentials_file: true
      workload_identity_provider: 'projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/PROVIDER_ID'
      service_account: 'SERVICE_ACCOUNT_EMAIL'
  

Sostituisci i seguenti valori:

• PROJECT_NUMBER: il numero del progetto che contiene il pool di identità del workload.
• POOL_ID: l'ID del pool di identità del workload.
• PROVIDER_ID: l'ID del fornitore del pool di identità del workload.
• SERVICE_ACCOUNT_EMAIL: sostituisci con l'indirizzo email dell'account di servizio.

L'esempio seguente configura l'azione GitHub:

jobs:
  build:
    # Allow the job to fetch a GitHub ID token
    permissions:
      id-token: write
      contents: read

    runs-on: ubuntu-latest

    steps:
      - uses: actions/checkout@v3

      - id: 'auth'
        name: 'Authenticate to Google Cloud'
        uses: 'google-github-actions/auth@v1'
        with:
          create_credentials_file: true
          workload_identity_provider: 'projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/PROVIDER_ID'
          service_account: 'SERVICE_ACCOUNT_EMAIL'

Per ulteriori dettagli sull'utilizzo dell'azione google-github-actions/auth, consulta la sezione Configurare la federazione di Workload Identity.

GitLab SaaS

Modifica il file .gitlab-ci.yml e aggiungi quanto segue alla configurazione del job:

job:
  variables:
    WORKLOAD_IDENTITY_PROJECT_NUMBER: PROJECT_NUMBER
    WORKLOAD_IDENTITY_POOL: POOL_ID
    WORKLOAD_IDENTITY_PROVIDER: PROVIDER_ID
    SERVICE_ACCOUNT: SERVICE_ACCOUNT_EMAIL
    GOOGLE_APPLICATION_CREDENTIALS: $CI_BUILDS_DIR/.workload_identity.wlconfig

  id_tokens:
    WORKLOAD_IDENTITY_TOKEN:
      aud: https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/PROVIDER_ID

  script:
    - |-
      echo $WORKLOAD_IDENTITY_TOKEN > $CI_BUILDS_DIR/.workload_identity.jwt
      cat << EOF > $GOOGLE_APPLICATION_CREDENTIALS
      {
        "type": "external_account",
        "audience": "//iam.googleapis.com/projects/$WORKLOAD_IDENTITY_PROJECT_NUMBER/locations/global/workloadIdentityPools/$WORKLOAD_IDENTITY_POOL/providers/$WORKLOAD_IDENTITY_PROVIDER",
        "subject_token_type": "urn:ietf:params:oauth:token-type:jwt",
        "token_url": "https://sts.googleapis.com/v1/token",
        "credential_source": {
          "file": "$CI_BUILDS_DIR/.workload_identity.jwt"
        },
        "service_account_impersonation_url": "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/$SERVICE_ACCOUNT:generateAccessToken"
      }
      EOF

Sostituisci i seguenti valori:

• PROJECT_NUMBER: il numero del progetto che contiene il pool di identità del workload
• POOL_ID: l'ID del pool di identità del workload
• PROVIDER_ID: l'ID del fornitore del pool di identità del workload
• SERVICE_ACCOUNT_EMAIL: l'indirizzo email dell'account di servizio

La configurazione esegue le seguenti operazioni:

1. Indica a GitLab di emettere un token di identità e lo rende disponibile nella variabile di ambiente denominata WORKLOAD_IDENTITY_TOKEN. Il token ID utilizza il tuo provider del pool di identità del workload come pubblico.
2. Salva il token di abilitazione in un file temporaneo denominato .workload_identity.jwt.
3. Crea un file di configurazione delle credenziali che indica alle librerie client di leggere il token ID da .workload_identity.jwt e lo utilizza per rubare l'identità di un account di servizio.
4. Imposta la variabile di ambiente GOOGLE_APPLICATION_CREDENTIALS in modo che indichi il file di configurazione delle credenziali.

Terraform Cloud

Configura lo spazio di lavoro Terraform Cloud in modo che utilizzi la federazione delle identità di carico di lavoro per autenticarsi in Google Cloud utilizzando l'usurpazione di identità dell'account di servizio:

1. In Terraform Cloud, apri la tua area di lavoro e vai a Variabili.

2. Aggiungi le seguenti variabili:

   Categoria di variabili	Chiave	Valore
   Variabile di ambiente	TFC_GCP_PROVIDER_AUTH	true
   Variabile di ambiente	TFC_GCP_RUN_SERVICE_ACCOUNT_EMAIL	L'indirizzo email dell'account di servizio, ad esempio terraform@my-project-123.iam.gserviceaccount.com
   Variabile di ambiente	TFC_GCP_PROJECT_NUMBER	Il numero del progetto contenente il pool di identità di workload
   Variabile di ambiente	TFC_GCP_WORKLOAD_POOL_ID	L'ID del pool di identità del workload
   Variabile di ambiente	TFC_GCP_WORKLOAD_PROVIDER_ID	L'ID del provider del pool di identità per i carichi di lavoro

   Se vuoi, puoi aggiungere altre variabili di ambiente per consentire a Terraform Cloud di utilizzare account di servizio diversi per le fasi plan e apply. Per maggiori informazioni, consulta la sezione Variabili di ambiente facoltative.

3. Nell'elenco delle variabili, verifica che Categoria sia impostato su env per le cinque variabili aggiunte nel passaggio precedente.

4. Verifica che la configurazione di Terraform utilizzi la versione 4.48.0 o successiva del provider Google Cloud e, se necessario, aggiornala come segue:

   terraform {
     required_providers {
       google = {
         source  = "hashicorp/google"
         version = "~> 4.48.0"
       }
     }
   }
   

5. Invia le modifiche al repository del codice sorgente.