Autentique-se no Cloud Scheduler

Este documento descreve como fazer a autenticação no Cloud Scheduler por programação. A forma de autenticação no Cloud Scheduler depende da interface que usa para aceder à API e do ambiente onde o seu código está a ser executado.

Para mais informações sobre a Google Cloud autenticação, consulte os métodos de autenticação.

Acesso de API

O Cloud Scheduler suporta o acesso programático. Pode aceder à API das seguintes formas:

• Bibliotecas cliente
• CLI do Google Cloud
• REST

Bibliotecas cliente

As bibliotecas cliente do Cloud Scheduler oferecem suporte de linguagem de alto nível para autenticação no Cloud Scheduler de forma programática. Para autenticar chamadas para Google Cloud APIs, as bibliotecas cliente suportam Credenciais padrão da aplicação (ADC); as bibliotecas procuram credenciais num conjunto de localizações definidas e usam essas credenciais para autenticar pedidos para a API. Com o ADC, pode disponibilizar credenciais à sua aplicação numa variedade de ambientes, como desenvolvimento local ou produção, sem ter de modificar o código da aplicação.

CLI do Google Cloud

Quando usa a CLI gcloud para aceder ao Cloud Scheduler, inicia sessão na CLI gcloud com uma conta de utilizador, que fornece as credenciais usadas pelos comandos da CLI gcloud.

Se as políticas de segurança da sua organização impedirem que as contas de utilizador tenham as autorizações necessárias, pode usar a representação de contas de serviço.

Para mais informações, consulte o artigo Autentique-se para usar a CLI gcloud. Para mais informações sobre a utilização da CLI gcloud com o Cloud Scheduler, consulte as páginas de referência da CLI gcloud.

REST

Pode autenticar-se na API Cloud Scheduler usando as suas credenciais da CLI gcloud ou usando as Credenciais padrão da aplicação. Para mais informações sobre a autenticação de pedidos REST, consulte o artigo Autentique-se para usar REST. Para informações sobre os tipos de credenciais, consulte o artigo Credenciais da CLI gcloud e credenciais do ADC.

Configure a autenticação para o Cloud Scheduler

A forma como configura a autenticação depende do ambiente onde o seu código está a ser executado.

As seguintes opções de configuração da autenticação são as mais usadas. Para mais opções e informações sobre a autenticação, consulte Métodos de autenticação.

Antes de concluir estas instruções, tem de concluir a configuração básica do Cloud Scheduler, conforme descrito no artigo Configurar o seu ambiente.

Para um ambiente de desenvolvimento local

Pode configurar credenciais para um ambiente de desenvolvimento local das seguintes formas:

• Credenciais do utilizador para bibliotecas cliente ou ferramentas de terceiros
• Credenciais do utilizador para pedidos REST a partir da linha de comandos
• Roubo de identidade de contas de serviço

Bibliotecas de cliente ou ferramentas de terceiros

Configure as Credenciais padrão da aplicação (ADC) no seu ambiente local:

1. Install the Google Cloud CLI. After installation, initialize the Google Cloud CLI by running the following command:

   gcloud init

   If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

2. If you're using a local shell, then create local authentication credentials for your user account:

   gcloud auth application-default login

   You don't need to do this if you're using Cloud Shell.

   If an authentication error is returned, and you are using an external identity provider (IdP), confirm that you have signed in to the gcloud CLI with your federated identity.

   É apresentado um ecrã de início de sessão. Depois de iniciar sessão, as suas credenciais são armazenadas no ficheiro de credenciais local usado pelo ADC.

Para mais informações sobre como trabalhar com o ADC num ambiente local, consulte o artigo Configure o ADC para um ambiente de desenvolvimento local.

Pedidos REST a partir da linha de comandos

Quando faz um pedido REST a partir da linha de comandos, pode usar as suas credenciais da CLI gcloud incluindo gcloud auth print-access-token como parte do comando que envia o pedido.

O exemplo seguinte apresenta uma lista de contas de serviço para o projeto especificado. Pode usar o mesmo padrão para qualquer pedido REST.

Antes de usar qualquer um dos dados do pedido, faça as seguintes substituições:

• PROJECT_ID: o ID do seu Google Cloud projeto.

Para enviar o seu pedido, expanda uma destas opções:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts" | Select-Object -Expand Content

Para mais informações sobre a autenticação através de REST e gRPC, consulte o artigo Autentique-se para usar o REST. Para obter informações sobre a diferença entre as credenciais da ADC local e as credenciais da CLI gcloud, consulte o artigo Configuração de autenticação da CLI gcloud e configuração da ADC.

Simulação de identidade de conta de serviço

Na maioria dos casos, pode usar as suas credenciais de utilizador para fazer a autenticação a partir de um ambiente de desenvolvimento local. Se isso não for viável ou se precisar de testar as autorizações atribuídas a uma conta de serviço, pode usar a representação da conta de serviço. Tem de ter a autorização iam.serviceAccounts.getAccessToken, que está incluída na função do IAM criador de tokens de contas de serviço (roles/iam.serviceAccountTokenCreator).

Pode configurar a CLI gcloud para usar a representação da conta de serviço através do comando gcloud config set:

gcloud config set auth/impersonate_service_account