Connettiti utilizzando un account IAM

Questa pagina spiega la procedura di accesso a un'istanza AlloyDB per PostgreSQL utilizzando un account preparato con Identity and Access Management (IAM). Illustra il processo mostrando come eseguire un accesso basato su IAM utilizzando il client a riga di comando psql.

Per una panoramica della connessione alle istanze AlloyDB, vedi Panoramica della connessione.

Prima di iniziare

Il progetto, il cluster, le istanze e gli account utente IAM richiedono tutti una preparazione prima di poter accedere a un'istanza AlloyDB utilizzando le credenziali IAM.

Attenzione :per ogni istanza è prevista una quota di accesso al minuto, che include gli accessi riusciti e non riusciti. Quando la quota viene superata, gli accessi non sono temporaneamente disponibili. Ti consigliamo di evitare accessi frequenti e di limitare gli accessi utilizzando reti autorizzate.

Per saperne di più, consulta Gestire l'autenticazione IAM.

Autenticarsi con un token OAuth 2.0

Un utente o un'applicazione può autenticarsi con un database AlloyDB seguendo questi passaggi:

1. Se non l'hai ancora fatto, esegui l'autenticazione per la gcloud CLI utilizzando lo stesso utente o account di servizio con cui vuoi accedere alla tua istanza AlloyDB.

2. Richiedi un token OAuth 2.0 da Google Cloud utilizzando il comando gcloud auth print-access-token:

   gcloud auth print-access-token

   Google Cloud stampa un token OAuth 2.0 come output di questo comando.

   Per una maggiore sicurezza, puoi limitare l'utilizzo del token solo all'autenticazione AlloyDB seguendo questi passaggi alternativi:

   1. Se non l'hai ancora fatto, aggiungi l'ambito alloydb.login alle credenziali di accesso del tuo ambiente attuale utilizzando il comando gcloud auth application-default login:

      gcloud auth application-default login --scopes=https://www.googleapis.com/auth/alloydb.login,https://www.googleapis.com/auth/cloud-platform,https://www.googleapis.com/auth/userinfo.email,openid

   2. Stampa un token OAuth 2.0 con limitazioni utilizzando il comando gcloud auth application-default print-access-token, limitando l'ambito del token solo all'autenticazione AlloyDB:

      gcloud auth application-default print-access-token --scopes=https://www.googleapis.com/auth/alloydb.login
      

   Attenzione: considera il token OAuth 2.0 come informazioni sensibili. Archivialo in modo sicuro o non archiviarlo affatto dopo l'uso.

   Il token OAuth 2.0 consente a te o a chiunque altro di effettuare richieste autenticate a Google Cloud per tuo conto. Tratta il token con lo stesso livello di sicurezza di una password. Conserva il token in modo sicuro o evita di memorizzarlo. L'esempio di utilizzo di psql più avanti in questa pagina mostra un modo per richiedere, utilizzare ed eliminare un token OAuth 2.0 in una singola azione.

3. Accedi a un'istanza AlloyDB con tecniche PostgreSQL standard utilizzando queste credenziali:

   • Presenta il token di accesso acquisito nel passaggio precedente come password.

   • Per un account utente IAM, il nome utente del database è l'indirizzo email completo dell'account.

   • Per un account di servizio IAM, il nome utente del database è l'indirizzo email dell'account senza il suffisso .gserviceaccount.com.

Il seguente comando psql mostra un modo per accedere a un utente IAM dalla riga di comando. Assegna l'output di gcloud auth print-access-token alla variabile di ambiente PGPASSWORD, che psql utilizza successivamente come password di accesso al database.

PGPASSWORD=$(gcloud auth print-access-token) psql \
  -h INSTANCE_ADDRESS \
  -U USERNAME \
  -d DATABASE

Sostituisci quanto segue:

• INSTANCE_ADDRESS: l'indirizzo IP dell'istanza AlloyDB a cui connettersi.

• USERNAME: un identificatore per l'utente IAM per l'autenticazione con l'istanza.

  Per un account utente IAM, fornisci l'indirizzo email completo dell'account utente. Ad esempio, [e-mail].

  Per un account di servizio IAM, fornisci l'indirizzo delaccount di serviziot senza il suffisso .gserviceaccount.com. Ad esempio, per specificare il account di servizio [e-mail], devi utilizzare il valore [e-mail] qui.

• DATABASE: il nome del database a cui connettersi.

Tieni presente che psql tronca le password inserite nella riga di comando che superano i 100 caratteri. Per utilizzare psql con un token OAuth 2.0 come password di accesso, devi impostare la variabile di ambiente PGPASSWORD come mostrato in questo esempio, anziché incollarla manualmente quando richiesto.

Autenticarsi automaticamente

Per autenticare automaticamente un utente AlloyDB basato su IAM senza la necessità di un token OAuth 2.0, hai due opzioni: proxy di autenticazione AlloyDB e connettori dei linguaggi AlloyDB.

L'account IAM che utilizzi per eseguire il client proxy o Language Connectors deve essere lo stesso account che hai aggiunto come utente del database. Ad esempio, se esegui il tuo workload utilizzando l'account utente IAM [e-mail], puoi utilizzare il client proxy o i connettori di linguaggio per autenticare automaticamente l'utente del database [e-mail] senza specificare un token OAuth 2.0. In questo esempio, l'autenticazione automatica non funziona con nessun altro utente del database, ad eccezione di [e-mail].

Proxy di autenticazione

L'utilizzo del proxy di autenticazione richiede l'esecuzione del client proxy di autenticazione AlloyDB con il flag --auto-iam-authn abilitato.

Per saperne di più sull'esecuzione del proxy di autenticazione, consulta la sezione Connessione tramite il proxy di autenticazione AlloyDB.

Connettori dei linguaggi

L'utilizzo dei connettori di linguaggio richiede l'attivazione programmatica dell'autenticazione IAM. Esiste un'opzione corrispondente per ogni lingua in Configura i connettori di lingua di AlloyDB.

Passaggi successivi

• Gestire l'autenticazione IAM
• Risolvere i problemi di autenticazione IAM