אימות עומסי עבודה באמצעות ספריות אימות של Google Cloud

במסמך הזה מוסבר איך להשתמש באיחוד שירותי אימות הזהות של עומסי עבודה עם Google Cloud ספריות אימות, שנקראות ספריות auth, כדי לאמת עומסי עבודה מספקי זהויות של צד שלישי כמו AWS,‏ Microsoft Azure וספקים שתומכים ב-OpenID Connect ‏ (OIDC) או ב-SAML 2.0.

איחוד שירותי אימות הזהות של עומסי עבודה מאפשר לאפליקציות שפועלות מחוץ ל- Google CloudGoogle Cloud Google Cloud לגשת למשאבים בלי להשתמש במפתחות של חשבונות שירות. ספריות האימות של Google מאפשרות זאת על ידי המרה של פרטי כניסה חיצוניים באסימוני גישה לטווח קצר Google Cloud .

כדי לבצע אימות, אפשר להשיג פרטי כניסה חיצוניים באמצעות השיטות הבאות:

• מנגנון סטנדרטי להגדרות נפוצות.
• ספקי אישורים בהתאמה אישית לתהליכי עבודה מורכבים שדורשים כתיבת קוד משלכם.

לפני שמתחילים

1. מפעילים את ממשקי ה-API הנדרשים.

   תפקידים שנדרשים להפעלת ממשקי API

   כדי להפעיל ממשקי API, נדרשת ההרשאה serviceusage.services.enable. אם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד 'בעלים' (roles/owner). אחרת, תוכלו לקבל את ההרשאה הזו דרך התפקיד 'אדמין בממשק 'שימוש בשירות'' (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים

   הפעלת ממשקי ה-API

2. מגדירים את איחוד שירותי אימות הזהות של עומסי עבודה בספק הזהויות.

   • מכונות וירטואליות ב-AWS או ב-Azure
   • ‫OIDC או SAML

אימות באמצעות מנגנון האישורים הרגיל

בספקי זהויות נפוצים מצד שלישי, אפשר להשתמש ביכולות המובנות שלGoogle Cloud ספריית האימות כדי לאמת את עומסי העבודה על ידי יצירת קובץ הגדרות של פרטי כניסה. הקובץ הזה מספק את המידע הדרוש לספריות האימות כדי לאחד זהויות מספקים חיצוניים.

קובץ התצורה של פרטי הכניסה, שבדרך כלל נטען באמצעות משתנה הסביבה GOOGLE_APPLICATION_CREDENTIALS, יכול להנחות את ספריות האימות להשיג את טוקן הנושא של הצד השלישי באחת מהשיטות הבאות:

• מקור הקובץ: הספריות קוראות את אסימון הנושא מקובץ מקומי. תהליך נפרד צריך לוודא שהקובץ הזה מכיל טוקן תקין שלא פג תוקפו.
• מכתובת URL: הספרייה מאחזרת את אסימון הנושא על ידי שליחת בקשה לנקודת קצה (endpoint) של כתובת URL מקומית שצוינה.
• מקור קובץ הפעלה: הספרייה מריצה פקודת קובץ הפעלה מוגדרת. הפלט הרגיל של קובץ ההפעלה אמור להכיל את טוקן הנושא.

1. יוצרים את קובץ התצורה של פרטי הכניסה עבור הספק הספציפי שלכם:

   • AWS
   • Azure

   • ספק זהויות מסוג OIDC או SAML

     בדף הזה מפורטות הוראות לגבי הפעולות הבאות:

     • פרטי כניסה שהתקבלו מקובץ
     • פרטי כניסה שהתקבלו מכתובת URL
     • פרטי כניסה שהתקבלו מקובץ הפעלה

2. משתמשים בקובץ התצורה של פרטי הכניסה כדי לבצע אימות.

   כדי לאפשר לספריות הלקוח Google Cloud לאתר ולהשתמש באופן אוטומטי בקובץ התצורה של פרטי הכניסה, צריך להגדיר את משתנה הסביבה GOOGLE_APPLICATION_CREDENTIALS לנתיב של קובץ ה-JSON שנוצר.

   מייצאים את משתנה הסביבה במעטפת: bash export GOOGLE_APPLICATION_CREDENTIALS=/path/to/your/config.json

   אחרי שמגדירים את משתנה הסביבה, ספריות הלקוח מטפלות בתהליך האימות.

בדוגמת הקוד הבאה אפשר לראות איך מבצעים קריאה מאומתת ל- Google Cloud API:

// Imports the Google Cloud client library.
const {Storage} = require('@google-cloud/storage');

// Instantiates a client. If you don't specify credentials when constructing
// the client, the client library will look for credentials in the
// environment.
const storage = new Storage();
// Makes an authenticated API request.
async function listBuckets() {
  try {
    const results = await storage.getBuckets();

    const [buckets] = results;

    console.log('Buckets:');
    buckets.forEach(bucket => {
      console.log(bucket.name);
    });
  } catch (err) {
    console.error('ERROR:', err);
  }
}
listBuckets();