Configurer ADC pour un fournisseur cloud sur site ou autre

Si vous exécutez votre application en dehors de Google Cloud, vous devez fournir des identifiants reconnus par Google Cloud pour utiliser les services Google Cloud .

Fédération d'identité de charge de travail

Le meilleur moyen de gérer l'authentification auprès de Google Cloud à l'aide des identifiants d'un autre fournisseur d'identité est d'utiliser la fédération d'identité de charge de travail. Il vous suffit de créer un fichier de configuration d'identifiants et de définir la variable d'environnement GOOGLE_APPLICATION_CREDENTIALS sur son emplacement. Cette approche est plus sécurisée que la création d'une clé de compte de service.

Pour obtenir de l'aide concernant la configuration de la fédération d'identité de charge de travail pour le fichier ADC, consultez la page Fédération d'identité de charge de travail avec d'autres clouds.

Clé de compte de service

Si vous ne parvenez pas à configurer la fédération d'identité de charge de travail, vous devez créer un compte de service, lui attribuer les rôles IAM requis par l'application et créer une clé pour ce compte.

Remarque : Les clés de compte de service constituent un risque pour la sécurité si elles ne sont pas gérées correctement. Dans la mesure du possible, vous devez choisir une alternative plus sécurisée aux clés de compte de service. Si vous devez vous authentifier avec une clé de compte de service, vous êtes responsable de la sécurité de la clé privée et des autres opérations décrites dans la section Bonnes pratiques pour la gestion des clés de compte de service. Si vous ne parvenez pas à créer une clé de compte de service, il est possible que la création de clé de compte de service soit désactivée pour votre organisation. Pour en savoir plus, consultez la page Gérer les ressources d'organisation sécurisées par défaut.

Si vous avez obtenu la clé de compte de service auprès d'une source externe, vous devez la valider avant de l'utiliser. Pour en savoir plus, consultez Exigences de sécurité pour les identifiants provenant de sources externes.

Pour créer une clé de compte de service et la rendre disponible pour les ADC, procédez comme suit :

1. Créez un compte de service avec les rôles dont votre application a besoin, ainsi qu'une clé pour ce compte de service, en suivant les instructions de la section Créer une clé de compte de service.

2. Définissez la variable d'environnement GOOGLE_APPLICATION_CREDENTIALS sur le chemin d'accès du fichier JSON contenant vos identifiants. Cette variable ne s'applique qu'à la session de shell actuelle. Par conséquent, si vous ouvrez une nouvelle session, vous devez de nouveau la définir.

   Exemple : Linux ou macOS

   export GOOGLE_APPLICATION_CREDENTIALS="KEY_PATH"

   Remplacez KEY_PATH par le chemin d'accès du fichier JSON contenant vos identifiants.

   Par exemple :

   export GOOGLE_APPLICATION_CREDENTIALS="/home/user/Downloads/service-account-file.json"

   Exemple : Windows

   Pour PowerShell :

   $env:GOOGLE_APPLICATION_CREDENTIALS="KEY_PATH"

   Remplacez KEY_PATH par le chemin d'accès du fichier JSON contenant vos identifiants.

   Par exemple :

   $env:GOOGLE_APPLICATION_CREDENTIALS="C:\Users\username\Downloads\service-account-file.json"

   Pour l'invite de commande :

   set GOOGLE_APPLICATION_CREDENTIALS=KEY_PATH

   Remplacez KEY_PATH par le chemin d'accès du fichier JSON contenant vos identifiants.

Remarque : Lorsque vous définissez la variable d'environnement GOOGLE_APPLICATION_CREDENTIALS, ADC vérifie d'abord cet emplacement et ne vérifie d'autres emplacements que si nécessaire.

Étapes suivantes

• En savoir plus sur la fédération d'identité de charge de travail
• Comprenez les bonnes pratiques d'utilisation des clés de compte de service.
• Découvrez comment ADC trouve des identifiants.
• Découvrez les méthodes d'authentification.