Configurare l'ADC per un ambiente on-premise o un altro provider cloud

Se esegui l'applicazione al di fuori di Google Cloud, devi fornire credenziali riconosciute da Google Cloud per utilizzare i Google Cloud servizi.

Federazione delle identità per i workload

Il modo preferito per eseguire l'autenticazione con Google Cloud utilizzando le credenziali di un IdP esterno è utilizzare la federazione delle identità per i workload; devi creare un file di configurazione delle credenziali e impostare la GOOGLE_APPLICATION_CREDENTIALS variabile di ambiente in modo che punti a questo file. Questo approccio è più sicuro della creazione di una chiave del account di servizio.

Per assistenza nella configurazione della federazione delle identità per i workload per ADC, consulta Federazione delle identità per i workload con altri cloud.

Chiave account di servizio

Se non riesci a configurare la federazione delle identità per i workload, devi creare un account di servizio, concedergli i ruoli IAM richiesti dall'applicazione e creare una chiave per il account di servizio.

Nota: le chiavi dei service account comportano un rischio per la sicurezza se non vengono gestite correttamente. Dovresti scegliere un'alternativa più sicura alle account di servizio account quando è possibile. Se devi eseguire l'autenticazione con una chiave del account di servizio, sei responsabile della sicurezza della chiave privata e di altre operazioni descritte in Best practice per la gestione delle account di servizio account. Se non riesci a creare una chiave del service account, la creazione di chiavi del service account potrebbe essere disabilitata per la tua organizzazione. Per ulteriori informazioni, vedi Gestione delle risorse dell'organizzazione sicure per impostazione predefinita.

Se hai acquisito la chiave del service account da una fonte esterna, devi convalidarla prima dell'utilizzo. Per maggiori informazioni, consulta Requisiti di sicurezza per le credenziali di origine esterna.

Per creare una chiave del account di servizio e renderla disponibile per ADC:

1. Crea un account di servizio con i ruoli necessari per l'applicazione e una chiave per il account di servizio seguendo le istruzioni riportate in Creare una account di servizio account.

2. Imposta la variabile di ambiente GOOGLE_APPLICATION_CREDENTIALS sul percorso del file JSON contenente le credenziali. Questa variabile si applica solo alla sessione di shell corrente, quindi se apri una nuova sessione, imposta di nuovo la variabile.

   Esempio: Linux o macOS

   export GOOGLE_APPLICATION_CREDENTIALS="KEY_PATH"

   Sostituisci KEY_PATH con il percorso del file JSON contenente le credenziali.

   Ad esempio:

   export GOOGLE_APPLICATION_CREDENTIALS="/home/user/Downloads/service-account-file.json"

   Esempio: Windows

   Per PowerShell:

   $env:GOOGLE_APPLICATION_CREDENTIALS="KEY_PATH"

   Sostituisci KEY_PATH con il percorso del file JSON contenente le credenziali.

   Ad esempio:

   $env:GOOGLE_APPLICATION_CREDENTIALS="C:\Users\username\Downloads\service-account-file.json"

   Per il prompt dei comandi:

   set GOOGLE_APPLICATION_CREDENTIALS=KEY_PATH

   Sostituisci KEY_PATH con il percorso del file JSON contenente le credenziali.

Nota: quando imposti la variabile di ambiente GOOGLE_APPLICATION_CREDENTIALS, ADC controlla prima questa posizione, quindi controlla altre posizioni solo se necessario.

Passaggi successivi

• Scopri di più sulla federazione delle identità per i workload.
• Scopri le best practice per l'utilizzo delle chiavi dei service account.
• Scopri di più su come ADC trova le credenziali.
• Esplora i metodi di autenticazione.