Utiliser l'authentification avec des cibles HTTP

Cloud Scheduler peut appeler des cibles HTTP nécessitant une authentification si vous avez configuré un compte de service associé disposant des identifiants appropriés.

Configurer le compte de service

1. Si vous ne disposez pas déjà d'un compte de service que vous souhaitez utiliser pour les tâches Cloud Scheduler avec des cibles HTTP, créez-en un. Veuillez noter les points suivants :

   • Le compte de service doit appartenir au projet dans lequel la tâche Cloud Scheduler est créée.

   • N'utilisez pas l'agent de service Cloud Scheduler (service-YOUR_PROJECT_NUMBER@gcp-sa-cloudscheduler.iam.gserviceaccount.com). Il ne peut pas être utilisé à cette fin.

   • Ne révoquez pas le rôle Agent de service Cloud Scheduler (roles/cloudscheduler.serviceAgent) de l'agent de service Cloud Scheduler de votre projet. Cela entraînera des réponses 403 aux points de terminaison nécessitant une authentification, même si le compte de service de votre tâche dispose du rôle approprié.

2. Si votre cible se trouve dans Google Cloud, attribuez les rôles IAM nécessaires à votre compte de service. Chaque service Google Cloud nécessite un rôle spécifique, et le service destinataire vérifie automatiquement le jeton généré. Par exemple, pour Cloud Run et les fonctions Cloud Run de deuxième génération, vous devez ajouter le rôle Cloud Run Invoker.

   Notez que pour déployer une ressource avec un compte de service géré par l'utilisateur, le déployeur doit disposer de l'autorisation iam.serviceAccounts.actAs pour ce compte de service. Si vous avez créé le compte de service, cette autorisation vous est automatiquement accordée. Dans le cas contraire, une personne disposant des autorisations appropriées doit vous accorder cette autorisation sur le compte de service.

   Bonne pratique:à l'étape précédente, si vous avez créé un compte de service spécifiquement pour appeler le service ciblé par votre tâche Cloud Scheduler, envisagez de suivre le principe du moindre privilège (bonne pratique de sécurité) en associant le compte et son autorisation d'appelant à votre service cible. Pour ce faire, utilisez la console Google Cloud ou gcloud CLI:

   Console

   1. Ouvrez la console Google Cloud.

   Accéder à la console

   2. Sélectionnez votre projet.

   3. Accédez à la page du type de ressource que vous appelez. Par exemple, si vous appelez un service Cloud Run, accédez à la page qui répertorie les services Cloud Run.

   4. Cochez la case située à gauche du service que vous souhaitez appeler. (Ne cliquez pas sur le service lui-même.)

   5. Cliquez sur l'onglet Autorisations. Si le volet d'informations n'est pas visible, vous devrez peut-être cliquer sur Afficher le panneau d'informations, puis sur Autorisations.

   6. Cliquez sur person_addAjouter un compte principal.

   7. Sous Ajouter des comptes principaux, saisissez l'adresse e-mail du compte de service que vous avez créé.

   8. Sous Attribuer des rôles, sélectionnez un rôle à attribuer dans la liste déroulante. Suivez le principe du moindre privilège en choisissant le rôle qui n'inclut que les autorisations dont votre compte principal a besoin.

   9. Cliquez sur Enregistrer.

   gcloud

   Exécutez la commande add-iam-policy-binding :

   gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
   --member=PRINCIPAL --role=ROLE

   Remplacez :

   • RESOURCE_TYPE: type de ressource de votre cible. Par exemple, run pour une cible Cloud Run.
   • RESOURCE_ID: identifiant de votre cible. Par exemple, le nom du service pour une cible Cloud Run.
   • PRINCIPAL: identifiant de votre compte de service. Il se présente sous la forme suivante : serviceAccount:SERVICE_ACCOUNT_EMAIL_ADDRESS. Par exemple, serviceAccount:my-service-account@my-project.iam.gserviceaccount.com.
   • ROLE: nom du rôle requis par votre service cible pour l'appel. Par exemple, roles/run.invoker pour une cible de fonctions Cloud Run ou de fonctions Cloud Run de deuxième génération.

   Exemples :

   • Cible Cloud Run:la commande suivante attribue le rôle Demandeur Cloud Run au compte de service my-service-account@my-project.iam.gserviceaccount.com pour le service Cloud Run my-service:

     gcloud run add-iam-policy-binding my-service \
      --member=serviceAccount:my-service-account@my-project.iam.gserviceaccount.com \
      --role=roles/run.invoker
     

   • Cible des fonctions Cloud Run:la commande suivante attribue le rôle Demandeur Cloud Run requis par les fonctions Cloud Run de deuxième génération au compte de service my-service-account@my-project.iam.gserviceaccount.com pour la fonction de deuxième génération my-gen2-function des fonctions Cloud Run:

     gcloud functions add-iam-policy-binding my-gen2-function \
      --member=serviceAccount:my-service-account@my-project.iam.gserviceaccount.com \
      --role=roles/run.invoker --gen2
     

3. Si votre cible se trouve en dehors de Google Cloud, le service destinataire doit vérifier manuellement le jeton.

4. Le compte de service Cloud Scheduler par défaut est automatiquement configuré lorsque vous activez l'API Cloud Scheduler, sauf si vous l'avez activée avant le 19 mars 2019, auquel cas vous devez ajouter le rôle Cloud Scheduler Service Agent manuellement. Cela lui permet de générer des jetons d'en-tête au nom de votre compte de service client en vue de l'authentification auprès de la cible.

   Vous pouvez vérifier que le compte de service Cloud Scheduler par défaut est configuré dans votre projet et qu'il dispose du rôle Cloud Scheduler Service Agent en consultant l'accès actuel de votre projet. Notez que si vous utilisez la console Google Cloud pour afficher l'accès de votre projet, veillez à cocher la case Inclure les attributions de rôles fournies par Google.

Créer une tâche de planificateur avec authentification

Pour créer une tâche qui utilise l'authentification, vous devez ajouter le type de jeton et l'adresse e-mail qui identifie le compte de service client à votre requête create-job:

gcloud scheduler jobs create http JOB_ID \
  --schedule="FREQUENCY" --uri=URI \
  --oidc-service-account-email=CLIENT_SERVICE_ACCOUNT_EMAIL

Choisir les types de jetons

Pour vous authentifier entre Cloud Scheduler et une cible HTTP, Cloud Scheduler crée un jeton d'en-tête basé sur votre compte de service client, identifié par son adresse e-mail, et l'envoie via HTTPS à la cible. Vous pouvez utiliser un jeton d'ID (OIDC) ou un jeton OAuth (d'accès). OIDC est généralement utilisé, sauf pour les API Google hébergées sur *.googleapis.com, car ces API attendent un jeton OAuth.

Ajouter manuellement le rôle Agent de service Cloud Scheduler à votre compte de service Cloud Scheduler

Cette opération n'est nécessaire que si l'une des conditions suivantes est remplie:

• Vous avez activé l'API Cloud Scheduler avant le 19 mars 2019
• Vous avez supprimé le rôle Agent de service Cloud Scheduler de votre compte de service.

Le compte de service Cloud Scheduler nécessite le rôle Agent de service Cloud Scheduler. Sans ce rôle, les tâches Cloud Scheduler échouent. Vous pouvez ajouter le rôle Agent de service Cloud Scheduler à votre compte de service Cloud Scheduler à partir de la console Google Cloud ou à l'aide de gcloud CLI: