다른 ID 공급업체와의 워크로드 아이덴티티 제휴 구성

OIDC

• 이 IdP는 OpenID Connect 1.0을 지원합니다.

• IdP에 발급자 URI가 포함됩니다.

• IdP의 OIDC 메타데이터는 다음 방법 중 하나로 제공됩니다.

  • SSL 및 TLS로 보호되는 JWKS 엔드포인트. 엔드포인트 URL은 https://로 시작해야 합니다. 인터넷을 통해 엔드포인트에 공개적으로 액세스할 수 있습니다.

    Google Cloud는 이러한 엔드포인트를 사용해서 IdP의 키 집합을 다운로드하고 이 키를 사용해서 토큰을 검증합니다.

    자체 서명된 인증서로 보호되는 엔드포인트는 Google Cloud에서 보호되지 않습니다. 특히 x5c 및 x5t 필드는 지원되지 않으며 OIDC JWK에서 삭제해야 합니다.

  • Google Cloud에 업로드된 OIDC JWKS 파일. 이 메서드를 사용하면 엔드포인트를 공개로 설정할 필요가 없습니다.

SAML

• 이 IdP는 SAML 2.0을 지원합니다.

• 이 IdP에서는 SAML 서비스 공급업체 구성을 설명하고 IdP의 서명 인증서를 포함하는 SAML SP 메타데이터 문서를 제공합니다.

  Google Cloud는 이 인증서를 사용해서 SAML 어설션 및 응답을 검증합니다.

OIDC

워크로드가 다음 기준을 충족하는 ID 토큰을 가져올 수 있도록 IdP를 구성합니다.

• 토큰은 RS256 또는 ES256 알고리즘을 사용하여 서명됩니다.

• 토큰에는 다음 값을 갖는 aud 클레임이 포함됩니다.

  https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/PROVIDER_ID
  

  다음을 바꿉니다.

  • PROJECT_NUMBER: 워크로드 아이덴티티 풀을 만들기 위해 사용하는 Google Cloud 프로젝트의 프로젝트 번호
  • POOL_ID: 워크로드 아이덴티티 풀을 식별하는 사용자가 선택한 ID. 나중에 워크로드 아이덴티티 풀을 만들 때 동일한 ID를 사용해야 합니다.
  • PROVIDER_ID: 워크로드 아이덴티티 풀 공급업체를 식별하는 사용자가 선택한 ID. 나중에 워크로드 아이덴티티 풀 공급업체를 만들 때 동일한 ID를 사용해야 합니다.

  또는 커스텀 잠재고객을 예상하도록 워크로드 아이덴티티 풀 공급업체를 구성할 수 있습니다.

• 토큰에는 미래의 exp 클레임과 과거의 iat 클레임이 포함됩니다.

  exp 값은 iat 값보다 커야 하며 최대 24시간입니다.

ID 토큰에 사용자 ID가 반영되기 때문에 일반적으로 토큰 교환을 수행할 때 ID 토큰을 사용하는 것이 가장 좋습니다. 액세스 토큰을 대신 사용하기로 결정한 경우 액세스 토큰이 다음 추가 요구사항을 충족하는지 확인합니다.

• 액세스 토큰이 JSON 웹 토큰 형식입니다.

• ISSUER/.well-known/openid-configuration URL이 IdP의 OIDC 메타데이터 엔드포인트를 가리키도록 액세스 토큰에 ISSUER 클레임이 포함되어 있습니다.

• 로컬 JWK 키를 업로드하려면 OIDC JWK 관리를 참조하세요.

SAML

SAML 어설션에 다음 기준을 충족하는 요소가 포함되도록 IdP를 구성합니다.

• 워크로드 아이덴티티 풀 공급업체에 구성된 항목 ID로 설정된 Issuer 요소. 발급자 형식은 생략하거나 urn:oasis:names:tc:SAML:2.0:nameid-format:entity로 설정해야 합니다.
• 다음이 포함된 Subject 요소:
  • NameID 요소.
  • Method가 urn:oasis:names:tc:SAML:2.0:cm:bearer로 설정된 정확히 하나의 SubjectConfirmation 요소.
  • NotOnOrAfter가 미래에 발생하는 타임스탬프로 설정되어 있고 NotBefore 값이 아닌 SubjectConfirmationData 요소

• 다음이 포함된 Conditions 요소:

  • NotBefore가 생략되었거나 과거임.
  • NotOnOrAfter가 생략되었거나 미래임.

  • 형식이 다음과 같이 지정된 Audience:

    https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/PROVIDER_ID
    

    다음을 바꿉니다.

    • PROJECT_NUMBER: 워크로드 아이덴티티 풀을 만들기 위해 사용하는 Google Cloud 프로젝트의 프로젝트 번호
    • POOL_ID: 워크로드 아이덴티티 풀을 식별하는 사용자가 선택한 ID. 나중에 워크로드 아이덴티티 풀을 만들 때 동일한 ID를 사용해야 합니다.
    • PROVIDER_ID: 워크로드 아이덴티티 풀 공급업체를 식별하는 사용자가 선택한 ID. 나중에 워크로드 아이덴티티 풀 공급업체를 만들 때 동일한 ID를 사용해야 합니다.

• 하나 이상의 AuthnStatement 요소.

• 미래에 발생하는 타임스탬프가 있는 SessionNotOnOrAfter 요소. 또는 이 요소를 생략합니다.

SAML 응답에 묶인 SAML 어설션의 경우 SAML 응답에 다음이 포함되어야 합니다.

• 이 섹션의 앞부분에서 설명한 SAML 어설션 기준을 충족하는 정확히 1개의 어설션.
• 과거의 1시간 내 값이 있는 IssueInstant 속성.
• urn:oasis:names:tc:SAML:2.0:status:Success 상태 코드.

SAML 어설션, 응답 또는 둘 다 서명해야 합니다.

OIDC

속성 매핑은 외부 IdP에서 발급된 ID 토큰 또는 액세스 토큰에 포함된 클레임을 사용할 수 있습니다.

사용자를 고유하게 식별하려면 이러한 클레임 중 하나를 google.subject에 매핑해야 합니다. 스푸핑 위협을 방지하려면 변경될 수 없는 고유 값을 갖는 클레임을 선택합니다.

많은 IdP가 sub 클레임에 고유하고 변경할 수 없는 ID를 채웁니다. 이러한 IdP의 경우 sub 클레임을 google.subject로 매핑하는 것을 고려하세요.

google.subject=assertion.sub

이 용도로 email 같은 클레임을 사용하지 마세요. 이메일 주소는 일반적으로 재할당되거나 변경될 수 있으므로 사용자를 영구적으로 고유하게 식별하지 않습니다.

SAML

속성 매핑은 외부 IdP에서 발급된 어설션에 포함된 <Subject> 및 <Attribute> 요소를 사용할 수 있습니다. SAML 속성은 다음 키워드를 사용하여 참조될 수 있습니다.

• assertion.subject: <Subject> 요소에 있는 인증된 사용자의 NameID가 포함됩니다.
• assertion.attributes['ATTRIBUTE_NAME']: 이름이 비슷한 <Attribute>의 값 목록이 포함됩니다.

사용자를 고유하게 식별하려면 이러한 클레임 중 하나를 google.subject에 매핑해야 합니다. 스푸핑 위협을 방지하려면 변경될 수 없는 고유 값을 갖는 클레임을 선택합니다.

많은 IdP가 NameId에 고유하고 변경할 수 없는 ID를 채웁니다. 이러한 IdP의 경우 NameId 속성을 google.subject로 매핑하는 것을 고려하세요.

google.subject=assertion.subject

이 용도로 http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress 같은 속성을 사용하지 마세요. 이메일 주소는 일반적으로 재할당되거나 변경될 수 있으므로 사용자를 영구적으로 고유하게 식별하지 않습니다.

OIDC

속성 조건을 사용하면 워크로드 아이덴티티 제휴를 사용하여 단기 Google Cloud 토큰을 가져올 수 있는 사용자를 제한할 수 있습니다.

예를 들어 다음 조건은 값이 true인 커스텀 service_account 클레임을 포함하는 토큰으로 액세스를 제한합니다.

assertion.service_account==true

SAML

속성 조건을 사용하면 워크로드 아이덴티티 제휴를 사용하여 단기 Google Cloud 토큰을 가져올 수 있는 사용자를 제한할 수 있습니다.

예를 들어 다음 조건은 true 값의 커스텀 https://example.com/SAML/Attributes/AllowGcpFederation 속성을 포함하는 어설션으로 액세스를 제한합니다.

assertion.attributes['https://example.com/SAML/Attributes/AllowGcpFederation'][0]=='true'

콘솔

1. Google Cloud 콘솔에서 새 워크로드 공급업체 및 풀 페이지로 이동합니다.

   새 워크로드 공급업체 및 풀로 이동

2. ID 풀 만들기에서 다음을 입력합니다.

   • 이름: 풀의 이름입니다. 이 이름은 풀 ID로도 사용됩니다. 풀 ID는 나중에 변경할 수 없습니다.
   • 설명: 풀의 목적을 설명하는 텍스트입니다.

3. 계속을 클릭합니다.

4. 다음과 같이 공급업체 설정을 구성합니다.

   OIDC

   • 공급업체 선택에서 OpenID Connect(OIDC)를 선택합니다.
   • 공급업체 이름에 공급업체의 이름을 입력합니다. 이 이름은 공급업체 ID로도 사용됩니다. 공급업체가 생성된 후에는 공급업체 ID를 변경할 수 없습니다.
   • Issuer URL에 IdP의 발급기관 URL을 입력합니다. URL은 https://로 시작해야 합니다.
   • (선택사항) JWK 파일(JSON)에서 업로드할 JWK 파일을 선택합니다. 이 필드를 제공하지 않으면 Google Cloud는 발급기관에서 JWK를 가져오려고 시도합니다.
   • 허용된 잠재고객: ID 토큰의 예상 잠재고객입니다.

   SAML

   • 공급업체 선택에서 SAML을 선택합니다.
   • 공급업체 이름에 공급업체의 이름을 입력합니다. 이 이름은 공급업체 ID로도 사용됩니다. 공급업체가 생성된 후에는 공급업체 ID를 변경할 수 없습니다.
   • IDP 메타데이터 파일(XML)에 ID 공급업체에서 제공한 SAML 메타데이터 XML 문서를 업로드합니다.

5. 계속을 클릭합니다.

6. 공급업체 속성 구성에서 이 가이드의 앞부분에서 식별한 속성 매핑을 추가합니다.

7. 속성 조건에 이 가이드 앞부분에서 확인한 속성 조건을 입력합니다. 속성 조건이 없으면 필드를 비워둡니다.

8. 워크로드 아이덴티티 풀 및 공급업체를 만들려면 저장을 클릭합니다.

gcloud

1. 새 워크로드 아이덴티티 풀을 만들려면 다음 명령어를 실행합니다.

   gcloud iam workload-identity-pools create POOL_ID \
       --location="global" \
       --description="DESCRIPTION" \
       --display-name="DISPLAY_NAME"
   

   다음을 바꿉니다.

   • POOL_ID: 풀의 고유 ID
   • DISPLAY_NAME: 풀의 이름
   • DESCRIPTION: 선택한 풀에 대한 설명 (이 설명은 풀 ID에 액세스 권한을 부여할 때 표시됩니다.)

2. 워크로드 아이덴티티 풀 공급업체를 추가하려면 다음을 수행합니다.

   OIDC

   OIDC 워크로드 아이덴티티 풀 공급업체를 추가하려면 다음 명령어를 실행합니다.

   gcloud iam workload-identity-pools providers create-oidc PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="POOL_ID" \
       --issuer-uri="ISSUER" \
       --allowed-audiences="AUDIENCE" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
       --jwk-json-path="JWK_JSON_PATH"
   

   다음을 바꿉니다.

   • PROVIDER_ID: 선택한 고유 워크로드 아이덴티티 풀 공급업체 ID
   • POOL_ID: 앞에서 만든 워크로드 아이덴티티 풀 ID
   • ISSUER: OIDC 메타데이터에 정의된 발급기관 URI
   • AUDIENCE: ID 토큰의 예상 대상. 예상 대상이 클라이언트 ID와 일치하는 공급업체가 많습니다.
   • MAPPINGS: 이 가이드 앞부분에서 만든 쉼표로 구분된 속성 매핑의 목록
   • CONDITIONS: 이 가이드 앞부분에서 만든 속성 조건(선택사항). 속성 조건이 없는 경우 매개변수를 삭제하세요.
   • JWK_JSON_PATH: 로컬로 업로드된 OIDC JWK의 선택적 경로. 이 매개변수를 제공하지 않으면 Google Cloud에서 대신 IdP의 /.well-known/openid-configuration 경로를 사용해서 공개 키가 포함된 JWK를 소싱합니다.

   SAML

   SAML 워크로드 아이덴티티 풀 공급업체를 추가하려면 다음 명령어를 실행합니다.

   gcloud iam workload-identity-pools providers create-saml PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="POOL_ID" \
       --idp-metadata-path="IDP_METADATA_PATH" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
   

   다음을 바꿉니다.

   • POOL_ID: 풀의 ID
   • IDP_METADATA_PATH: SAML IdP 메타데이터 문서의 로컬 경로
   • MAPPINGS: 이 가이드의 앞부분에서 만든 쉼표로 구분된 속성 매핑의 목록
   • CONDITIONS: 선택사항: 이 가이드의 앞부분에서 만든 속성 조건

   gcp- 프리픽스는 예약되어 있으며 풀 또는 공급업체 ID에 사용될 수 없습니다.

   선택사항: IdP에서 암호화된 SAML 어설션 허용

   SAML 2.0 IdP에서 워크로드 아이덴티티 제휴에서 허용할 수 있는 암호화된 SAML 어설션을 생성하도록 하려면 다음을 수행합니다.

   • 워크로드 아이덴티티 제휴에서 다음을 수행합니다.
   • 워크로드 아이덴티티 풀 공급업체의 비대칭 키 쌍을 만듭니다.
   • 공개 키가 포함된 인증서 파일을 다운로드합니다.
   • 공개 키를 사용하여 발급되는 SAML 어설션을 암호화하도록 SAML IdP를 구성합니다.
   • IdP에서 다음을 수행합니다.
   • 토큰 암호화라고도 하는 어설션 암호화를 사용 설정합니다.
   • 워크로드 아이덴티티 제휴에서 만든 공개 키를 업로드합니다.
   • IdP가 암호화된 SAML 어설션을 생성하는지 확인합니다.

   SAML 암호화 공급업체 키가 구성되어 있더라도 워크로드 아이덴티티 제휴는 일반 텍스트 어설션을 처리할 수 있습니다.

   워크로드 아이덴티티 제휴 SAML 어설션 암호화 키 만들기

   이 섹션에서는 워크로드 아이덴티티 제휴가 암호화된 SAML 어설션을 허용할 수 있도록 하는 비대칭 키 쌍을 만드는 방법을 설명합니다.

   Google Cloud는 비공개 키를 사용하여 IdP에서 발급하는 SAML 어설션을 복호화합니다. SAML 암호화에 사용할 비대칭 키 쌍을 만들려면 다음 명령어를 실행합니다. 자세한 내용은 지원되는 SAML 암호화 알고리즘을 참조하세요.

   gcloud iam workload-identity-pools providers keys create KEY_ID \
       --workload-identity-pool WORKLOAD_POOL_ID \
       --provider PROVIDER_ID \
       --location global \
       --use encryption \
       --spec KEY_SPECIFICATION

   다음을 바꿉니다.

   • KEY_ID: 선택한 키 이름
   • WORKLOAD_POOL_ID: 풀 ID
   • PROVIDER_ID: 공급업체 ID
   • KEY_SPECIFICATION: 키 사양(rsa-2048, rsa-3072, rsa-4096 중 하나일 수 있음)

   키 쌍이 생성된 후 공개 키를 인증서 파일로 다운로드하려면 다음 명령어를 실행합니다. 워크로드 아이덴티티 제휴만 비공개 키에 액세스할 수 있습니다.

   gcloud iam workload-identity-pools providers keys describe KEY_ID \
       --workload-identity-pool WORKLOAD_POOL_ID \
       --provider PROVIDER_ID \
       --location global \
       --format "value(keyData.key)" \
       > CERTIFICATE_PATH

   다음을 바꿉니다.

   • KEY_ID: 키 이름
   • WORKLOAD_POOL_ID: 풀 ID
   • PROVIDER_ID: 공급업체 ID
   • CERTIFICATE_PATH: 인증서를 작성할 경로(예: saml-certificate.cer 또는 saml-certificate.pem)

   암호화된 SAML 어설션을 발급하도록 SAML 2.0 호환 IdP 구성

   마지막 단계에서 다운로드한 공개 인증서를 사용하여 발급되는 SAML 어설션을 암호화하도록 SAML IdP를 구성합니다. 구체적인 안내는 IdP팀에 문의하세요.

   SAML 어설션을 암호화하도록 IdP를 구성한 후에는 생성되는 어설션이 실제로 암호화되는지 확인하는 것이 좋습니다. SAML 어설션 암호화가 구성되어 있더라도 워크로드 아이덴티티 제휴는 일반 텍스트 어설션을 처리할 수 있습니다.

   워크로드 아이덴티티 제휴 암호화 키 삭제

   SAML 암호화 키를 삭제하려면 다음 명령어를 실행합니다.

     gcloud iam workload-identity-pools providers keys delete KEY_ID \
         --workload-identity-pool WORKLOAD_POOL_ID \
         --provider PROVIDER_ID \
         --location global

   다음을 바꿉니다.

   • KEY_ID: 키 이름
   • WORKLOAD_POOL_ID: 풀 ID
   • PROVIDER_ID: 공급업체 ID

   지원되는 SAML 암호화 알고리즘

   워크로드 아이덴티티 제휴는 다음과 같은 주요 전송 알고리즘을 지원합니다.

   • http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p
   • http://www.w3.org/2009/xmlenc11#rsa-oaep"
   • http://www.w3.org/2001/04/xmlenc#rsa-1_5"

   워크로드 아이덴티티 제휴는 다음과 같은 블록 암호화 알고리즘을 지원합니다.

   • http://www.w3.org/2001/04/xmlenc#aes128-cbc
   • http://www.w3.org/2001/04/xmlenc#aes192-cbc
   • http://www.w3.org/2001/04/xmlenc#aes256-cbc
   • http://www.w3.org/2009/xmlenc11#aes128-gcm
   • http://www.w3.org/2009/xmlenc11#aes256-gcm

직접 리소스 액세스

Google Cloud 콘솔 또는 gcloud CLI를 사용하면 제휴 ID에 직접 리소스에 대한 액세스 권한을 부여할 수 있습니다.

서비스 계정 가장

1. 외부 워크로드의 서비스 계정을 만들려면 다음을 수행합니다.

   1. Enable the IAM, Security Token Service, and Service Account Credentials APIs.

      Enable the APIs

   2. 워크로드를 나타내는 서비스 계정을 만듭니다. 워크로드마다 전용 서비스 계정을 사용하는 것이 좋습니다. 서비스 계정이 워크로드 아이덴티티 풀과 동일한 프로젝트에 있을 필요는 없지만 서비스 계정이 포함된 프로젝트를 참조해야 합니다.

   3. 외부 ID가 액세스할 리소스에 대한 액세스 권한을 서비스 계정에 부여합니다.

   4. 서비스 계정에 워크로드 아이덴티티 사용자 역할(roles/iam.workloadIdentityUser)을 부여합니다.

2. Google Cloud 콘솔 또는 gcloud CLI를 사용해서 서비스 계정 가장으로 제휴 ID에 액세스 권한을 부여하려면 다음 안내를 따르세요.

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE"

실행 파일 소스 사용자 인증 정보

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/PROVIDER_ID \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --service-account-token-lifetime-seconds=SERVICE_ACCOUNT_TOKEN_LIFETIME \
    --output-file=FILEPATH.json \
    --executable-command=EXECUTABLE_COMMAND \
    --executable-timeout-millis=EXECUTABLE_TIMEOUT \
    --executable-output-file=EXECUTABLE_OUTPUT_FILE

다음을 바꿉니다.

• PROJECT_NUMBER: 워크로드 아이덴티티 풀이 포함된 프로젝트의 프로젝트 번호
• POOL_ID: 워크로드 아이덴티티 풀의 ID
• PROVIDER_ID: 워크로드 아이덴티티 풀 공급업체의 ID
• SERVICE_ACCOUNT_EMAIL: 서비스 계정 가장을 사용하는 경우 서비스 계정의 이메일 주소. 서비스 계정 가장을 사용하지 않으면 이 플래그를 생략합니다.
• SERVICE_ACCOUNT_TOKEN_LIFETIME: 서비스 계정 가장을 사용하는 경우 서비스 계정 액세스 토큰의 수명 기간(단위: 초). 제공되지 않은 경우 기본값은 1시간입니다. 서비스 계정 가장을 사용하지 않으면 이 플래그를 생략합니다. 1시간보다 긴 수명 기간을 지정하려면 constraints/iam.allowServiceAccountCredentialLifetimeExtension 조직 정책 제약조건을 구성해야 합니다.
• FILEPATH: 구성을 저장할 파일
• EXECUTABLE_COMMAND: OIDC ID 토큰을 검색하기 위해 실행할 인수를 포함한 전체 명령어(예: --executable-command="/path/to/command --foo=bar")
• EXECUTABLE_TIMEOUT: 실행 파일이 실행될 때까지 대기하는 선택적 기간(단위: 밀리초, 기본값: 30초)
• EXECUTABLE_OUTPUT_FILE: 실행 파일이 생성한 3PI 사용자 인증 정보를 가리키는 경로. 사용자 인증 정보를 캐싱하는 데 유용합니다. 이 경로를 지정하면 인증 라이브러리가 실행 파일을 실행하기 전에 먼저 파일이 있는지 확인합니다.

파일 소스 사용자 인증 정보

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/PROVIDER_ID \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --service-account-token-lifetime-seconds=SERVICE_ACCOUNT_TOKEN_LIFETIME \
    --output-file=FILEPATH.json \
    --credential-source-file=TOKEN_FILEPATH \
    --credential-source-type=SOURCE_TYPE \
    --credential-source-field-name=FIELD_NAME

다음을 바꿉니다.

• PROJECT_NUMBER: 워크로드 아이덴티티 풀이 포함된 프로젝트의 프로젝트 번호
• POOL_ID: 워크로드 아이덴티티 풀의 ID
• PROVIDER_ID: 워크로드 아이덴티티 풀 공급업체의 ID
• SERVICE_ACCOUNT_EMAIL: 서비스 계정 가장을 사용하는 경우 서비스 계정의 이메일 주소. 서비스 계정 가장을 사용하지 않으면 이 플래그를 생략합니다.
• SERVICE_ACCOUNT_TOKEN_LIFETIME: 서비스 계정 가장을 사용하는 경우 서비스 계정 액세스 토큰의 수명 기간(단위: 초). 제공되지 않은 경우 기본값은 1시간입니다. 서비스 계정 가장을 사용하지 않으면 이 플래그를 생략합니다. 1시간보다 긴 수명 기간을 지정하려면 constraints/iam.allowServiceAccountCredentialLifetimeExtension 조직 정책 제약조건을 구성해야 합니다.
• FILEPATH: 구성을 저장할 파일
• TOKEN_FILEPATH: OIDC ID 토큰이 저장되는 경로
• SOURCE_TYPE: OIDC ID 토큰 파일 형식(text(기본값) 또는 json으로 설정)
• FIELD_NAME: 토큰이 포함된 텍스트 파일의 필드(SOURCE_TYPE이 json인 경우)

URL 소스 사용자 인증 정보

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/PROVIDER_ID \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --service-account-token-lifetime-seconds=SERVICE_ACCOUNT_TOKEN_LIFETIME \
    --output-file=FILEPATH.json \
    --credential-source-url="TOKEN_URL" \
    --credential-source-headers="KEY_1=VALUE_1,KEY_2=VALUE_2" \
    --credential-source-type=SOURCE_TYPE \
    --credential-source-field-name=FIELD_NAME

다음을 바꿉니다.

• PROJECT_NUMBER: 워크로드 아이덴티티 풀이 포함된 프로젝트의 프로젝트 번호
• POOL_ID: 워크로드 아이덴티티 풀의 ID
• PROVIDER_ID: 워크로드 아이덴티티 풀 공급업체의 ID
• SERVICE_ACCOUNT_EMAIL: 서비스 계정 가장을 사용하는 경우 서비스 계정의 이메일 주소. 서비스 계정 가장을 사용하지 않으면 이 플래그를 생략합니다.
• SERVICE_ACCOUNT_TOKEN_LIFETIME: 서비스 계정 가장을 사용하는 경우 서비스 계정 액세스 토큰의 수명 기간(단위: 초). 제공되지 않은 경우 기본값은 1시간입니다. 서비스 계정 가장을 사용하지 않으면 이 플래그를 생략합니다. 1시간보다 긴 수명 기간을 지정하려면 constraints/iam.allowServiceAccountCredentialLifetimeExtension 조직 정책 제약조건을 구성해야 합니다.
• FILEPATH: 구성을 저장할 파일
• TOKEN_URL: OIDC ID 토큰을 검색할 URL
• KEY_n, VALUE_n: TOKEN_URL에 대한 HTTP 요청에 포함할 커스텀 헤더
• SOURCE_TYPE: OIDC ID 토큰 파일 형식(text(기본값) 또는 json으로 설정)
• FIELD_NAME: 토큰이 포함된 텍스트 파일의 필드(SOURCE_TYPE가 json인 경우)