為地端部署或其他雲端服務供應商設定 ADC

如果您在 Google Cloud以外的位置執行應用程式，則必須提供 Google Cloud 可辨識的憑證，才能使用 Google Cloud 服務。

Workload Identity 聯盟

如要使用外部 IdP 的憑證向 Google Cloud 進行驗證，建議使用 Workload Identity Federation；您需要建立憑證設定檔，並設定 GOOGLE_APPLICATION_CREDENTIALS 環境變數來指向該檔案。相較於建立服務帳戶金鑰，這種做法更安全。

如需設定 ADC 適用的 Workload Identity Federation，請參閱「與其他雲端服務搭配使用的 Workload Identity Federation」。

服務帳戶金鑰

如果無法設定 Workload Identity Federation，則必須建立服務帳戶、授予應用程式所需的 IAM 角色，並為服務帳戶建立金鑰。

注意： 如未妥善管理服務帳戶金鑰，可能會產生安全性風險，請盡可能選用比服務帳戶金鑰還要安全的替代方案。如果一定要使用服務帳戶金鑰進行驗證，您有責任保護私密金鑰的安全，並執行「管理服務帳戶金鑰的最佳做法」一文所述的其他作業。假如無法建立服務帳戶金鑰，可能是因為貴組織已停用這項功能。詳情請參閱這篇文章。

如果您是從外部來源取得服務帳戶金鑰，必須先驗證金鑰，才能使用。詳情請參閱「外部來源憑證的安全規定」一節。

如要建立服務帳戶金鑰並提供給 ADC 使用，請按照下列步驟操作：

1. 按照「建立服務帳戶金鑰」一節中的只是，建立具有應用程式所需角色的服務帳戶，以及該服務帳戶的金鑰。

2. 將環境變數 GOOGLE_APPLICATION_CREDENTIALS 設為包含您憑證的 JSON 檔案路徑。這項變數僅適用於您目前的殼層工作階段，因此如果您開啟了新的工作階段，就必須重新設定變數。

   範例：Linux 或 macOS

   export GOOGLE_APPLICATION_CREDENTIALS="KEY_PATH"

   將 KEY_PATH 替換為包含您憑證的 JSON 檔案路徑。

   例如：

   export GOOGLE_APPLICATION_CREDENTIALS="/home/user/Downloads/service-account-file.json"

   範例：Windows

   PowerShell：

   $env:GOOGLE_APPLICATION_CREDENTIALS="KEY_PATH"

   將 KEY_PATH 替換為包含您憑證的 JSON 檔案路徑。

   例如：

   $env:GOOGLE_APPLICATION_CREDENTIALS="C:\Users\username\Downloads\service-account-file.json"

   命令提示字元：

   set GOOGLE_APPLICATION_CREDENTIALS=KEY_PATH

   將 KEY_PATH 替換為包含您憑證的 JSON 檔案路徑。

注意：設定 GOOGLE_APPLICATION_CREDENTIALS 環境變數後，ADC 會先檢查這個位置，而且只會在必要時才會檢查其他位置。

後續步驟

• 瞭解 Workload Identity Federation。
• 瞭解使用服務帳戶金鑰的最佳做法。
• 進一步瞭解 ADC 如何尋找憑證。
• 瞭解驗證方式。