הגדרת ADC לספק שירותי ענן מקומי או אחר

אם אתם מתכננים להריץ את האפליקציה מחוץ ל- Google Cloud, תצטרכו להעביר פרטי כניסה שמזוהים על ידי Google Cloud כדי להשתמש בשירותי Google Cloud .

איחוד שירותי אימות הזהות של עומסי עבודה

הדרך המומלצת לאימות מול Google Cloud עם פרטי כניסה שמגיעים מספק זהויות חיצוני היא באמצעות איחוד שירותי אימות הזהות של עומסי עבודה. כדי לעשות זאת, יוצרים קובץ תצורה עם פרטי הכניסה, ומגדירים את משתנה הסביבה GOOGLE_APPLICATION_CREDENTIALS שיצביע אליו. הדרך הזו מאובטחת יותר מאשר יצירה של מפתח לחשבון שירות.

לקבלת עזרה בהגדרת איחוד שירותי אימות הזהויות של עומסי עבודה ב-ADC, תוכלו לקרוא את המאמר איחוד שירותי אימות הזהויות של עומסי עבודה עם עננים אחרים.

מפתח לחשבון השירות

אם אין לכם אפשרות להגדיר את איחוד שירותי אימות הזהות של עומסי עבודה, תצטרכו ליצור חשבון שירות, להקצות לו ב-IAM את התפקידים הנדרשים לאפליקציה וליצור מפתח לחשבון השירות.

הערה: אם לא מנהלים כראוי את המפתחות לחשבונות השירות הם עלולים לסכן את האבטחה. כשזה אפשרי, מומלץ לבחור שיטה מאובטחת יותר ממפתחות של חשבונות שירות. אם אתם מוכרחים לבצע אימות באמצעות מפתח של חשבון שירות, באחריותכם לאבטח את המפתח הפרטי ולבצע פעולות אחרות שמתוארות במאמר שיטות מומלצות לניהול מפתחות לחשבונות שירות. אם אין לכם אפשרות ליצור מפתח לחשבון שירות, יכול להיות שהיצירה של מפתחות לחשבון שירות מושבתת בארגון שלכם. מידע נוסף זמין במאמר בנושא ניהול משאבי ארגון שמוגדרים כמאובטחים כברירת מחדל.

אם קיבלתם את המפתח של חשבון השירות ממקור חיצוני, אתם צריכים לאמת אותו לפני השימוש. מידע נוסף זמין במאמר בנושא דרישות אבטחה לגבי אישורים ממקורות חיצוניים.

כך יוצרים מפתח של חשבון שירות ומגדירים אותו כזמין ל-ADC:

1. מבצעים את ההוראות ליצירת מפתח של חשבון שירות כדי ליצור את חשבון השירות עם התפקידים הנדרשים לאפליקציה ואת המפתח.

2. מגדירים את משתנה הסביבה GOOGLE_APPLICATION_CREDENTIALS לנתיב של קובץ ה-JSON שמכיל את פרטי הכניסה. המשתנה הזה חל רק על סשן המעטפת הנוכחי, כך שאם פותחים סשן חדש צריך להגדיר את המשתנה שוב.

   למשל: Linux או macOS

   export GOOGLE_APPLICATION_CREDENTIALS="KEY_PATH"

   מחליפים את KEY_PATH בנתיב של קובץ ה-JSON שמכיל את פרטי הכניסה.

   לדוגמה:

   export GOOGLE_APPLICATION_CREDENTIALS="/home/user/Downloads/service-account-file.json"

   למשל: Windows

   ל-PowerShell:

   $env:GOOGLE_APPLICATION_CREDENTIALS="KEY_PATH"

   מחליפים את KEY_PATH בנתיב של קובץ ה-JSON שמכיל את פרטי הכניסה.

   לדוגמה:

   $env:GOOGLE_APPLICATION_CREDENTIALS="C:\Users\username\Downloads\service-account-file.json"

   בשורת הפקודה:

   set GOOGLE_APPLICATION_CREDENTIALS=KEY_PATH

   מחליפים את KEY_PATH בנתיב של קובץ ה-JSON שמכיל את פרטי הכניסה.

הערה: כשמגדירים את משתנה הסביבה GOOGLE_APPLICATION_CREDENTIALS, קודם ייבדק ב-ADC המיקום שהוגדר, ורק אחר כך ייבדקו מיקומים אחרים אם יש צורך.

המאמרים הבאים

• מידע נוסף על איחוד שירותי אימות הזהות של עומסי עבודה
• שיטות מומלצות לשימוש במפתחות של חשבונות שירות
• חיפוש של פרטי הכניסה באמצעות ADC
• מידע על שיטות אימות