Nozioni di base sull'autenticazione

Prima di poter interagire con Google Cloud le API e i servizi, devi dimostrare di essere chi dici di essere. Questa procedura per dimostrare la tua identità è nota come autenticazione.

Per eseguire l'autenticazione a Google Cloud, devi fornire credenziali come prova della tua identità. Ad esempio, per utilizzare un servizio, potresti autenticarti utilizzando credenziali come una password e un codice monouso.

Google Cloud si riferisce agli utenti autenticati come entità. Quando tenti di accedere a una risorsa come un Google Cloud progetto o un bucket di archiviazione, Google Cloud controlla il livello di accesso dell'entità alla risorsa richiesta. Questa procedura è chiamata autorizzazione ed è gestita da un sistema chiamato Identity and Access Management (IAM).

Questi stessi concetti si applicano al codice che esegue attività automatizzate per tuo conto, note come workload. Un workload deve fornire le credenziali per dimostrare la propria identità ed eseguire l'autenticazione come entità, dopodiché Google Cloud può determinare il livello di accesso del workload alle risorse richieste.

Tipi di entità

Esistono diversi tipi di entità per cui puoi eseguire l'autenticazione. Potresti persino utilizzare diversi tipi di entità in diverse fasi di un'attività o in diversi ambienti di sviluppo.

I tipi di entità principali e le credenziali richieste per l'autenticazione includono:

  • Account utente: si tratta di Account Google che consentono agli utenti di svolgere attività interattive, come attività amministrative occasionali, configurazione non programmatica dei Google Cloud servizi, test, sperimentazione e osservabilità.

    Esegui l'autenticazione come account utente con le credenziali utente, ad esempio una password e un codice monouso.

  • Service account: si tratta di account specifici che i workload possono utilizzare per accedere a servizi o risorse. Google Cloud In genere non esegui l'autenticazione direttamente come account di servizio direttamente. Invece, colleghi un account di servizio a una risorsa come una VM Compute Engine o utilizzi la simulazione dell'identità del service account.

  • Entità federate: si tratta di identità che fanno riferimento a account utente o di servizio in un provider di identità esterno. Esistono due tipi di entità federate supportate da Google Cloud, con nomi simili:

Per scoprire di più su questi e altri tipi di entità supportati in Google Cloud, consulta Tipi di entità.

Configurare l'organizzazione per l'autenticazione Google Cloud

Quando configuri l'autenticazione per la tua Google Cloud organizzazione, potresti dover integrare i sistemi e i flussi di lavoro esistenti in Google Cloud:

Ti consigliamo inoltre di eseguire le seguenti operazioni per proteggere l'ambiente: Google Cloud

Autenticare utenti e workload

La modalità di autenticazione dipende dalle API e dai servizi che utilizzi e dalla modalità di interazione con queste API e questi servizi. Google Cloud

Autenticare gli utenti

Quando svolgi attività manuali e interattive, come attività amministrative occasionali, configurazione delle risorse, modifica delle configurazioni, sperimentazione e navigazione nei log, utilizzi le credenziali del tuo account utente per l'autenticazione.

Console

Per il lavoro interattivo nella Google Cloud console, esegui l'autenticazione accedendo all'interfaccia web con le tue credenziali utente.

Vai alla Google Cloud console

Le stesse credenziali della sessione della console vengono utilizzate per Cloud Shell, dove puoi accedere a gcloud CLI. Google Cloud

gcloud

Dopo aver installato gcloud CLI sul dispositivo locale, puoi utilizzare le tue credenziali utente per eseguire l'autenticazione eseguendo Google Cloud il seguente comando nel terminale:

gcloud auth login

Dopo l'autenticazione, i comandi gcloud successivi utilizzano l'entità con cui hai eseguito l'accesso per effettuare le richieste.

Per l'autenticazione con le credenziali della federazione delle identità per la forza lavoro, le credenziali della federazione delle identità per i workload o le chiavi dei account di servizio, consulta Autenticazione per gcloud CLI.

Autenticare i workload

Indipendentemente dal fatto che tu stia sviluppando ed eseguendo codice sul tuo dispositivo locale, in Google Cloud, on-premise o in un altro cloud, il modo più flessibile e portatile per autenticare il tuo workload è fornire le credenziali tramite un meccanismo chiamato Credenziali predefinite dell'applicazione (ADC).

Le librerie che implementano ADC (come le Google Cloud librerie client) controllano le località note nell'ambiente in cui vengono eseguite per le credenziali. Ciò significa che, se modifichi la posizione di esecuzione del codice, non devi modificare il codice stesso, ma solo le credenziali utilizzate per quell'ambiente.

Ad esempio, durante lo sviluppo in locale, puoi configurare l'ambiente in modo che ADC utilizzi le tue credenziali utente per l'autenticazione. Quando il codice è pronto per la produzione, puoi eseguirne il deployment senza modifiche in un'istanza VM Compute Engine e configurare l'ambiente in modo che utilizzi le credenziali del account di servizio di breve durata per l'autenticazione.

Non puoi utilizzare ADC per l'autenticazione nei seguenti scenari:

  • Quando esegui l'autenticazione di gcloud CLI.

  • Quando utilizzi una chiave API. Le chiavi API possono essere utilizzate solo con API specifiche.

Per scoprire come configurare ADC per ambienti specifici, consulta Configurare le credenziali predefinite dell'applicazione.

Passaggi successivi