Autentica i carichi di lavoro nelle API Google Cloud utilizzando gli account di servizio

In questa pagina viene descritto come utilizzare gli account di servizio per abilitare le app in esecuzione le istanze di macchine virtuali (VM) per eseguire l'autenticazione nelle API Google Cloud autorizzare l'accesso alle risorse.

Per utilizzare gli account di servizio per l'autenticazione, devi prima assicurarti che la VM è configurata per utilizzare un account di servizio. Per farlo, completa una delle seguenti operazioni delle procedure:

• Per configurare l'account di servizio durante la creazione della VM, consulta Crea una VM che utilizza un account di servizio gestito dall'utente.
• Per configurare un account di servizio su una VM esistente, consulta Cambia l'account di servizio collegato.

Prima di iniziare

• Esamina il Panoramica degli account di servizio.
• Se non l'hai già fatto, configura l'autenticazione. Autenticazione è Il processo di verifica dell'identità per l'accesso ai servizi e alle API di Google Cloud. Per eseguire codice o esempi da un ambiente di sviluppo locale, puoi eseguire l'autenticazione Compute Engine come segue.
  

  Per utilizzare gli Python esempi in questa pagina in una località dell'ambiente di sviluppo, installare e inizializzare gcloud CLI quindi configura Credenziali predefinite dell'applicazione con le tue credenziali utente.

  1. Install the Google Cloud CLI.

  2. To initialize the gcloud CLI, run the following command:

     gcloud init

  3. Create local authentication credentials for your user account:

     gcloud auth application-default login

  Per ulteriori informazioni, vedi Set up authentication for a local development environment.

Panoramica

Dopo aver configurato un'istanza VM per l'esecuzione utilizzando un account di servizio, in esecuzione sull'istanza VM può utilizzare uno dei seguenti metodi per l'autenticazione:

• Per la maggior parte delle applicazioni, scegli una delle seguenti opzioni:
  • Usa le credenziali predefinite dell'applicazione e una libreria client
  • Utilizzare Google Cloud CLI
• Per le applicazioni che richiedono un token di accesso OAuth2, richiedere e utilizzare i token di accesso direttamente dal server dei metadati

Autenticazione delle applicazioni mediante credenziali dell'account di servizio

Dopo aver configurato un'istanza per l'esecuzione come account di servizio, puoi utilizzare le credenziali dell'account di servizio per autenticare le applicazioni in esecuzione sull'istanza.

Autenticazione delle applicazioni con una libreria client

Le librerie client possono utilizzare Credenziali predefinite dell'applicazione per eseguire l'autenticazione con le API di Google e inviare richieste a queste API. L'impostazione Credenziali predefinite dell'applicazione consente alle applicazioni di ottenere automaticamente da più origini per poter testare l'applicazione localmente e poi eseguirne il deployment in un'istanza Compute Engine senza modificare il codice dell'applicazione.

Per informazioni sulla configurazione delle credenziali predefinite dell'applicazione, vedi Fornisci le credenziali alle Credenziali predefinite dell'applicazione.

Questo esempio utilizza la classe libreria client Python eseguire l'autenticazione ed effettuare una richiesta all'API Cloud Storage per elencare i bucket di un progetto. L'esempio utilizza la seguente procedura:

1. Ottenere le credenziali di autenticazione necessarie per l'API Cloud Storage e inizializza il servizio Cloud Storage con il metodo build() e le credenziali.
2. Elenca i bucket in Cloud Storage.

Puoi eseguire questo esempio su un'istanza che ha accesso alla gestione dei bucket in di archiviazione ideale in Cloud Storage.

import argparse
from typing import List

from google.cloud import storage


def create_client() -> storage.Client:
    """
    Construct a client object for the Storage API using the
    application default credentials.

    Returns:
        Storage API client object.
    """
    # Construct the service object for interacting with the Cloud Storage API -
    # the 'storage' service, at version 'v1'.
    # Authentication is provided by application default credentials.
    # When running locally, these are available after running
    # `gcloud auth application-default login`. When running on Compute
    # Engine, these are available from the environment.
    return storage.Client()


def list_buckets(client: storage.Client, project_id: str) -> List[storage.Bucket]:
    """
    Retrieve bucket list of a project using provided client object.


    Args:
        client: Storage API client object.
        project_id: name of the project to list buckets from.

    Returns:
        List of Buckets found in the project.
    """
    buckets = client.list_buckets()
    return list(buckets)


def main(project_id: str) -> None:
    client = create_client()
    buckets = list_buckets(client, project_id)
    print(buckets)


if __name__ == "__main__":
    parser = argparse.ArgumentParser(
        description=__doc__, formatter_class=argparse.RawDescriptionHelpFormatter
    )
    parser.add_argument("project_id", help="Your Google Cloud Project ID.")

    args = parser.parse_args()

    main(args.project_id)

Autenticazione delle applicazioni direttamente con i token di accesso

Per la maggior parte delle applicazioni, puoi autenticarti utilizzando Credenziali predefinite dell'applicazione, che trova le credenziali e gestisce i token per te. Tuttavia, se la tua applicazione richiede di fornire un token di accesso OAuth2, Compute Engine consente ricevere un token di accesso dal relativo server di metadati da utilizzare nell'applicazione.

Esistono diverse opzioni per ottenere e utilizzare questi di accesso ai token per autenticare le tue applicazioni. Ad esempio, puoi utilizzare curl per creare una richiesta semplice o utilizza un linguaggio di programmazione come Python per una maggiore flessibilità.

import argparse

import requests


METADATA_URL = "http://metadata.google.internal/computeMetadata/v1/"
METADATA_HEADERS = {"Metadata-Flavor": "Google"}
SERVICE_ACCOUNT = "default"


def get_access_token() -> str:
    """
    Retrieves access token from the metadata server.

    Returns:
        The access token.
    """
    url = f"{METADATA_URL}instance/service-accounts/{SERVICE_ACCOUNT}/token"

    # Request an access token from the metadata server.
    r = requests.get(url, headers=METADATA_HEADERS)
    r.raise_for_status()

    # Extract the access token from the response.
    access_token = r.json()["access_token"]

    return access_token


def list_buckets(project_id: str, access_token: str) -> dict:
    """
    Calls Storage API to retrieve a list of buckets.

    Args:
        project_id: name of the project to list buckets from.
        access_token: access token to authenticate with.

    Returns:
        Response from the API.
    """
    url = "https://www.googleapis.com/storage/v1/b"
    params = {"project": project_id}
    headers = {"Authorization": f"Bearer {access_token}"}

    r = requests.get(url, params=params, headers=headers)
    r.raise_for_status()

    return r.json()


def main(project_id: str) -> None:
    """
    Retrieves access token from metadata server and uses it to list
    buckets in a project.

    Args:
        project_id: name of the project to list buckets from.
    """
    access_token = get_access_token()
    buckets = list_buckets(project_id, access_token)
    print(buckets)


if __name__ == "__main__":
    parser = argparse.ArgumentParser(
        description=__doc__, formatter_class=argparse.RawDescriptionHelpFormatter
    )
    parser.add_argument("project_id", help="Your Google Cloud project ID.")

    args = parser.parse_args()

    main(args.project_id)

I token di accesso scadono dopo un breve periodo di tempo. Il server dei metadati memorizza nella cache di accesso ai token finché non hanno a disposizione 5 minuti di tempo rimanenti scadono. Se i token non possono essere memorizzati nella cache, richieste che superano le 50 query al secondo potrebbe essere limitata. Le applicazioni devono disporre di un accesso valido il token di sicurezza per la riuscita delle chiamate API.

Strumenti di autenticazione su un'istanza con un account di servizio

Alcune applicazioni potrebbero utilizzare i comandi di gcloud CLI, incluse per impostazione predefinita nella maggior parte delle immagini Compute Engine. La gcloud CLI riconosce automaticamente l'account di servizio di un'istanza le autorizzazioni pertinenti concesse all'account di servizio. In particolare, se concedi i ruoli corretti per l'account di servizio, puoi utilizzare dalle tue istanze senza dover usare gcloud auth login.

Questo riconoscimento degli account di servizio avviene automaticamente e si applica solo ai con gcloud CLI inclusa nell'istanza. Se crei nuovi strumenti o aggiungere strumenti personalizzati, devi autorizzare la tua applicazione usando una libreria client o tramite utilizzando i token di accesso direttamente nell'applicazione.

Per sfruttare il riconoscimento automatico degli account di servizio, concedere i ruoli IAM appropriati all'account di servizio di collegare l'account di servizio all'istanza. Ad esempio, se concedi a un account di servizio la roles/storage.objectAdmin gcloud CLI può gestire e accedere automaticamente oggetti Cloud Storage.

Allo stesso modo, se abiliti roles/compute.instanceAdmin.v1 per l'account di servizio, lo strumento gcloud compute può gestire automaticamente le istanze.

Passaggi successivi

• Autentica i carichi di lavoro in altri carichi di lavoro tramite mTLS .
• Scopri di più sugli account di servizio.
• Scopri di più su ruoli e autorizzazioni IAM di Compute Engine.
• Scopri di più sulle best practice per l'utilizzo degli account di servizio.