כדי לשלוח בקשות HTTP מאומתות, צריך לשייך את תהליך העבודה לחשבון שירות (שמזוהה באמצעות כתובת האימייל שלו) שיש לו את פרטי הכניסה המתאימים. למידע נוסף על צירוף חשבון שירות של ניהול זהויות והרשאות גישה (IAM) לזרימת עבודה ועל מתן ההרשאות הנדרשות לגישה למשאבים, אפשר לעיין במאמר מתן הרשאה לזרימת עבודה לגשת למשאבים Google Cloud .
טוקנים של אימות
כברירת מחדל, בקשות HTTP לא מכילות אסימוני זהות או אסימוני גישה מטעמי אבטחה. צריך להוסיף באופן מפורש פרטים לאימות להגדרת תהליך העבודה.
כדי לבצע אימות בין Workflows לבין יעד HTTP שנדרש בו אימות כזה, Workflows משתמש באסימון בכותרת ההרשאה על סמך פרטי הכניסה של חשבון השירות שמצורף לזרימת העבודה, ושולח את האסימון באמצעות HTTPS לשירות היעד. כשמתחברים באמצעות פונקציות של Cloud Run או Cloud Run, צריך להשתמש באסימון מזהה (OIDC). לממשקי API שמארחים ב-googleapis.com, משתמשים באסימון גישה (OAuth 2.0).
כדי לשלוח בקשה מאומתת מתוך תהליך עבודה, מבצעים אחת מהפעולות הבאות בהתאם לשירות שאליו מתקשרים:
ממשקי API חיצוניים – משתמשים בכותרת בקשה
Authorizationכדי לבצע אימות באמצעות API של צד שלישי. במאמר הזה מוסבר איך שולחים בקשות מאומתות לממשקי API חיצוניים.Google Cloud APIs – אם יש אפשרות, משתמשים במחבר של Workflows, שמספק אוטומטית את האימות הנדרש באמצעות חשבון השירות של תהליך העבודה. אם אין לכם אפשרות להשתמש במחבר, אתם יכולים להשתמש בבקשת HTTP עם OAuth 2.0 כדי להתחבר לממשקי API אחרים. Google Cloud כל API שמסתיים בשם מארח של
.googleapis.comמקבל את שיטת האימות הזו. במסמך הזה, ראו איך שולחים בקשות מאומתות ל-API של Google Cloud .Cloud Run functions או Cloud Run – משתמשים ב-OIDC כדי להתחבר ל-Cloud Run או ל-Cloud Run functions. במסמך הזה, קראו את המאמר שליחת בקשות ל-Cloud Run או לפונקציות Cloud Run.
נקודות קצה פרטיות מקומיות, Compute Engine, Google Kubernetes Engine (GKE) או אחרות Google Cloud – משתמשים בשרת proxy לאימות זהויות (IAP) עם OIDC כדי לאכוף מדיניות של בקרת גישה בנקודות הקצה. מידע נוסף זמין במאמרים בנושא