S'authentifier pour gcloud CLI

Ce document ne concerne que l'authentification pour Google Cloud CLI afin d'accéder aux ressourcesGoogle Cloud . Si vous devez authentifier des charges de travail à l'aide des bibliothèques clientes Cloud ou des bibliothèques clientes des API Google, consultez Fonctionnement des identifiants par défaut de l'application.

Avant de commencer

Si vous débutez avec Google Cloud et que vous souhaitez simplement commencer à utiliser les commandes gcloud CLI dans votre environnement de développement local, vous pouvez initialiser gcloud CLI avec la commande suivante :

gcloud init

L'initialisation vous guide tout au long d'un flux d'authentification, configure une configuration gcloud CLI et autorise gcloud CLI à agir en votre nom. Il n'est pas nécessaire d'effectuer une étape d'authentification distincte.

Le reste de ce document couvre des scénarios plus complexes, tels que l'utilisation de la gcloud CLI avec différents types de principaux, les méthodes d'authentification appropriées pour différents environnements, le changement de principaux et la gestion des identifiants stockés.

Méthodes d'authentification

Toutes les commandes gcloud CLI doivent s'authentifier auprès des API Google Cloud. Vous pouvez vous authentifier de différentes manières :

• Autoriser et stocker les identifiants : convient aux utilisateurs humains dans un environnement de développement local. Vous pouvez autoriser la gcloud CLI à agir au nom d'un compte principal à l'aide de la commande gcloud auth login. Après l'authentification initiale, cette commande stocke les identifiants dans le répertoire de configuration de la gcloud CLI. gcloud CLI utilise ces identifiants stockés pour s'authentifier automatiquement pour les commandes suivantes jusqu'à l'expiration de votre session ou la révocation de l'autorisation.

• S'authentifier avec un fichier d'identifiants : convient aux charges de travail exécutées en dehors de Google Cloud. Vous pouvez utiliser des variables d'environnement ou des propriétés de configuration gcloud CLI pour spécifier un fichier d'identifiants pour l'authentification automatique. Ce fichier peut être l'un des suivants :

  • Fichier de configuration des identifiants pour la fédération d'identité de charge de travail.

  • Une clé de compte de service.

• Fournir un jeton d'accès : convient aux workflows automatisés très isolés ou aux sessions sans état sur des machines partagées. Vous pouvez contourner le stockage des identifiants en fournissant un jeton d'accès directement à la gcloud CLI. Pour ce faire, vous pouvez définir une variable d'environnement spécifique sur la chaîne du jeton d'accès brut ou indiquer à gcloud CLI un fichier contenant le jeton d'accès.

Après l'authentification, vous pouvez éventuellement autoriser la gcloud CLI à emprunter l'identité d'un compte de service en fournissant l'adresse e-mail du compte de service.

Vous pouvez utiliser plusieurs méthodes d'authentification dans un même environnement. Toutefois, un seul compte principal est utilisé pour chaque commande gcloud. Pour déterminer quel compte principal utiliser, gcloud CLI suit un ordre de priorité.

Quand l'authentification n'est pas nécessaire

Vous n'avez pas besoin de vous authentifier pour la gcloud CLI dans les situations suivantes :

• Immédiatement après avoir initialisé la gcloud CLI. L'authentification et l'autorisation de gcloud CLI à agir en votre nom sont incluses dans le processus d'initialisation. Vous devrez peut-être vous authentifier à nouveau si vous devez accéder à différentes ressources à l'aide d'un autre compte principal ou si vous devez réauthentifier votre compte principal.
• Lorsque vous utilisez gcloud CLI à partir d'une ressource qui expose un serveur de métadonnées Compute Engine. Cela inclut des ressources telles que les instances de VM Compute Engine, les services Cloud Run et les compilations Cloud Build. La gcloud CLI s'authentifie à l'aide du compte de service associé à la VM et peut accéder aux mêmes ressources que ce compte de service dans les limites des niveaux d'accès qui ont été appliqués.
• Lorsque vous utilisez Cloud Shell. La gcloud CLI s'authentifie automatiquement à l'aide du compte principal avec lequel vous vous êtes connecté à la console Google Cloud . Lorsque vous exécutez une commande gcloud CLI pour la première fois dans une nouvelle session Cloud Shell, vous êtes invité à autoriser Cloud Shell à l'aide de ce compte principal.

Choisir le bon compte principal pour la tâche

Il existe différents types de comptes principaux pour l'utilisation humaine et les charges de travail automatisées. Le type de compte principal que vous devez utiliser a une incidence sur la façon dont vous vous authentifiez.

• Comptes utilisateur : il s'agit de comptes Google destinés aux utilisateurs humains pour effectuer des tâches interactives, telles que des tâches administratives ponctuelles, la configuration non programmatique des services Google Cloud , les tests, les expérimentations et l'observabilité.

  Vous vous authentifiez en tant que compte utilisateur avec des identifiants utilisateur, tels qu'un mot de passe et un code à usage unique.

• Comptes de service : il s'agit de comptes spécifiques à Google Cloud que les charges de travail peuvent utiliser pour accéder à des services ou des ressources. En général, vous ne vous authentifiez pas directement en tant que compte de service. À la place, vous associez un compte de service à une ressource telle qu'une VM Compute Engine ou vous utilisez l'emprunt d'identité d'un compte de service.

• Principaux fédérés : il s'agit d'identités qui font référence à des comptes utilisateur ou de service dans un fournisseur d'identité externe. Google Cloudaccepte deux types de comptes principaux fédérés, qui ont des noms similaires :

  • Fédération des identités des employés : permet aux utilisateurs humains de se connecter à Google Cloud avec des identités gérées par un fournisseur d'identité externe. Si votre organisation a déjà configuré l'authentification unique (SSO), vous pouvez utiliser ce type d'identité pour vous authentifier auprès de Google Cloud.

    Pour utiliser la fédération d'identité de personnel, votre fournisseur d'identité doit être compatible avec OpenID Connect (OIDC) ou SAML 2.0.

  • Fédération d'identité de charge de travail : permet aux charges de travail exécutées en dehors de Google Cloud d'opérer sur les ressources Google Cloud .

    Vous pouvez utiliser la fédération d'identité de charge de travail avec les charges de travail qui s'authentifient à l'aide de certificats client X.509, qui s'exécutent sur Amazon Web Services (AWS) ou Azure, sur Active Directory sur site, avec des services de déploiement tels que GitHub et GitLab, et avec n'importe quel fournisseur d'identité compatible avec OpenID Connect (OIDC) ou Security Assertion Markup Language (SAML) V2.0.

Utiliser gcloud CLI en tant qu'humain

Pour les tâches interactives, vous vous authentifiez généralement avec l'une des méthodes suivantes :

• Un compte utilisateur

• Identité utilisateur fédérée, à l'aide de la fédération des identités des employés

Comptes utilisateur

La façon dont vous vous authentifiez avec un compte utilisateur pour gcloud CLI dépend de la présence ou non d'un navigateur Web sur votre appareil.

Identités des utilisateurs fédérées

Vous pouvez utiliser la gcloud CLI avec une identité utilisateur fédérée gérée dans un fournisseur d'identité (IdP) externe. Pour ce faire, utilisez la fédération des identités des employés.

Les instructions suivantes supposent que vous disposez déjà d'un pool et d'un fournisseur de fédération d'identité de personnel configurés pour fonctionner avec votre IdP.

Pour utiliser la gcloud CLI avec une identité utilisateur fédérée, vous devez créer un fichier de configuration de connexion, puis vous connecter à l'aide d'un flux basé sur un navigateur :

1. Exécutez la commande suivante pour créer un fichier de configuration de connexion :

   Linux et macOS

   gcloud iam workforce-pools create-login-config \
       locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
       --output-file=LOGIN_CONFIG_PATH

   Windows (PowerShell)

   gcloud iam workforce-pools create-login-config `
       locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
       --output-file=LOGIN_CONFIG_PATH

   Remplacez les éléments suivants :

   • WORKFORCE_POOL_ID : ID du pool de fédération des identités des employés.
   • WORKFORCE_PROVIDER_ID : ID du fournisseur de fédération des identités des employés
   • LOGIN_CONFIG_PATH : chemin d'accès au fichier de configuration de connexion. Exemple :login-config.json

   Le fichier de configuration de connexion contient les points de terminaison utilisés par gcloud CLI pour activer le flux d'authentification via le navigateur et définir l'audience sur le fournisseur d'identité configuré dans le fournisseur de pools d'identités des employés. Votre fichier ne contient aucune information confidentielle.

   Le contenu du fichier de configuration de connexion ressemble à ce qui suit :

   {
     "universe_domain": "googleapis.com",
     "universe_cloud_web_domain": "cloud.google",
     "type":