Authentifizierung für Terraform

In diesem Dokument wird beschrieben, wie Sie sich bei Google Cloud authentifizieren, wenn Sie Terraform verwenden.

Standardanmeldedaten für Anwendungen (Application Default Credentials, ADC) sind die empfohlene Methode zur Authentifizierung beiGoogle Cloud , wenn Sie Terraform verwenden. ADC ist eine Strategie, die von den Google-Authentifizierungsbibliotheken verwendet wird, um Anmeldedaten automatisch basierend auf der Anwendungsumgebung zu finden. Wenn Sie ADC verwenden, kann Terraform in einer Entwicklungs- oder Produktionsumgebung ausgeführt werden, ohne dass sich die Authentifizierung beiGoogle Cloud -Diensten und APIs ändert. Informationen dazu, wo ADC nach Anmeldedaten sucht und in welcher Reihenfolge dies geschieht, finden Sie unter Funktionsweise von Standardanmeldedaten für Anwendungen.

Authentifizierung bei der Verwendung von Terraform in einer lokalen Entwicklungsumgebung

Wenn Sie Terraform in einer lokalen Entwicklungsumgebung verwenden, z. B. auf einer Entwicklungs-Workstation, können Sie sich mit den Anmeldedaten authentifizieren, die mit Ihrem Nutzerkonto oder Dienstkonto verknüpft sind.

Mit einem Nutzerkonto authentifizieren

Verwenden Sie die Google Cloud CLI, um ADC mit einem Nutzerkonto zu konfigurieren:

  1. Install the Google Cloud CLI. After installation, initialize the Google Cloud CLI by running the following command: 

    gcloud init

    If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  2. If you're using a local shell, then create local authentication credentials for your user account: 

    gcloud auth application-default login

    You don't need to do this if you're using Cloud Shell.

    If an authentication error is returned, and you are using an external identity provider (IdP), confirm that you have signed in to the gcloud CLI with your federated identity.

    Ein Anmeldebildschirm wird angezeigt. Nach der Anmeldung werden Ihre Anmeldedaten in der lokalen Anmeldedatendatei für ADC gespeichert.

Mit Dienstkonto-Identitätsübernahme authentifizieren

Sie können die Identitätsübernahme des Dienstkontos verwenden, um eine lokale ADC-Datei einzurichten. Terraform verwendet diese Anmeldedaten automatisch.

  1. Sie benötigen die IAM-Rolle Dienstkonto-Token-Ersteller (roles/iam.serviceAccountTokenCreator) für das Dienstkonto, dessen Identität Sie übernehmen. Weitere Informationen finden Sie unter Erforderliche Rollen.

  2. Verwenden Sie die Identitätsübernahme des Dienstkontos, um eine lokale ADC-Datei zu erstellen. Führen Sie dazu folgenden Befehl aus:

    gcloud auth application-default login --impersonate-service-account SERVICE_ACCT_EMAIL

Wenn Sie Nutzern erlauben möchten, eine gemeinsame primäre Authentifizierungsquelle und ein variables Dienstkonto pro Umgebung zu verwenden, legen Sie das Feld impersonate_service_account in Ihrer Terraform-Konfigurationsdatei fest:

provider "google" {
  impersonate_service_account = "SERVICE_ACCT_EMAIL"
}

Authentifizierung beim Ausführen von Terraform auf Google Cloud

Wenn Sie Terraform in einer cloudbasierten Entwicklungsumgebung wie Cloud Shell ausführen, verwendet das Tool die bei der Anmeldung angegebenen Anmeldedaten für die Authentifizierung. Google Cloud

Wenn Sie Terraform mit Google Cloud -Diensten wie Compute Engine, App Engine und Cloud Run-Funktionen verwenden, können Sie Ressourcen ein nutzerverwaltetes Dienstkonto zuweisen. Im Allgemeinen wird das Anhängen eines Dienstkontos unterstützt, wenn die Ressourcen dieses Dienstes ausgeführt oder Anwendungscode enthalten können. Wenn Sie ein Dienstkonto an eine Ressource anhängen, kann der Code, der auf der Ressource ausgeführt wird, dieses Dienstkonto als Identität verwenden.

Zum Anhängen von Anmeldedaten an ADC für den in Google Cloudausgeführten Produktionscode sollten Sie das Anhängen eines nutzerverwalteten Dienstkontos bevorzugen.

Informationen zum Ermitteln der Rollen, die Sie für Ihr Dienstkonto bereitstellen müssen, finden Sie unter Vordefinierte Rollen auswählen.

Informationen dazu, welche Ressourcen Sie an ein Dienstkonto anhängen können, und Hilfe beim Anhängen des Dienstkontos an die Ressource finden Sie in der IAM-Dokumentation zum Anhängen eines Dienstkontos.

Set up authentication:

  1. Ensure that you have the Create Service Accounts IAM role (roles/iam.serviceAccountCreator). Learn how to grant roles.

  2. Create the service account: 

    gcloud iam service-accounts create SERVICE_ACCOUNT_NAME

    Replace SERVICE_ACCOUNT_NAME with a name for the service account.

  3. To provide access to your project and your resources, grant a role to the service account: 

    gcloud projects add-iam-policy-binding PROJECT_ID --member="serviceAccount:SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com" --role=ROLE

    Replace the following:

    • SERVICE_ACCOUNT_NAME: the name of the service account
    • PROJECT_ID: the project ID where you created the service account
    • ROLE: the role to grant
  4. To grant another role to the service account, run the command as you did in the previous step.

  5. Grant the required role to the principal that will attach the service account to other resources. 

    gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com --member="user:USER_EMAIL" --role=roles/iam.serviceAccountUser

    Replace the following:

    • SERVICE_ACCOUNT_NAME: the name of the service account
    • PROJECT_ID: the project ID where you created the service account
    • USER_EMAIL: the email address for a Google Account

Authentifizierung beim Ausführen von Terraform lokal oder bei einem anderen Cloud-Anbieter

Wenn Sie Ihre Anwendung außerhalb von Google Cloudausführen, müssen Sie Anmeldedaten angeben, die von Google Cloud erkannt werden, umGoogle Cloud -Dienste zu verwenden.

Mit der Identitätsföderation von Arbeitslasten authentifizieren

Die bevorzugte Methode zur Authentifizierung bei Google Cloud mit Anmeldedaten eines externen Identitätsanbieters ist die Verwendung der Workload Identity-Föderation. Sie können eine Konfigurationsdatei für Anmeldedaten erstellen und die Umgebungsvariable GOOGLE_APPLICATION_CREDENTIALS darauf verweisen lassen. Dieser Ansatz ist sicherer als das Erstellen eines Dienstkontoschlüssels. Eine Anleitung zum Einrichten der Workload Identity-Föderation für ADC finden Sie unter Workload Identity-Föderation mit anderen Clouds.

Mit Dienstkontoschlüsseln authentifizieren

Wenn Sie Terraform in einer lokalen Entwicklungsumgebung, vor Ort oder bei einem anderen Cloud-Anbieter ausführen, können Sie ein Dienstkonto erstellen, ihm die für Ihre Anwendung erforderlichen IAM-Rollen zuweisen und einen Schlüssel für das Dienstkonto erstellen.

So erstellen Sie einen Dienstkontoschlüssel und stellen ihn für ADC bereit:

  1. Erstellen Sie ein Dienstkonto mit den Rollen, die Ihre Anwendung benötigt, sowie einen Schlüssel für dieses Dienstkonto. Folgen Sie dazu der Anleitung unter Dienstkontoschlüssel erstellen.

    Set the environment variable GOOGLE_APPLICATION_CREDENTIALS to the path of the JSON file that contains your credentials. This variable applies only to your current shell session, so if you open a new session, set the variable again.

Bei Cloud Storage-Back-Ends authentifizieren

Mit Terraform können Sie Cloud Storage als Backend zum Speichern von Terraform-Zustandsdateien konfigurieren. Verwenden Sie eine der auf dieser Seite beschriebenen Methoden, um sich bei einem Cloud Storage-Backend zu authentifizieren. Informationen zu Konfigurationsvariablen für die Authentifizierung für Cloud Storage-Back-Ends finden Sie auf der Seite Terraform-Back-Ends für Cloud Storage.

Nächste Schritte