Accedi a gcloud CLI con la tua identità federata

La federazione delle identità per la forza lavoro ti consente di accedere a Google Cloud CLI utilizzando le credenziali di un provider di identità (IdP) esterno. Puoi utilizzare un flusso di accesso basato su browser per accedere alle risorse Google Cloud dalla riga di comando senza gestire Account Google separati.

Prima di iniziare

  1. Assicurati che l'amministratore abbia configurato la federazione delle identità per la forza lavoro.

  2. Assicurati di disporre di informazioni che supportino una delle seguenti opzioni. L'amministratore può fornirti queste informazioni. Se sei un amministratore, puoi elencare i pool e i provider della forza lavoro per trovare questi ID.

Ottieni un file di configurazione di accesso

Questa sezione descrive come ottenere un file di configurazione di accesso che puoi utilizzare per accedere a gcloud CLI.

Crea un file di configurazione di accesso

Puoi utilizzare l'ID pool di identità per la forza lavoro e l'ID provider del pool di identità per la forza lavoro per creare un file di configurazione di accesso. Se sei un amministratore, puoi elencare i pool e i provider di forza lavoro per trovare questi ID.

Esegui questo comando per creare un file di configurazione di accesso:

Linux e macOS

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

Windows (PowerShell)

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

Sostituisci quanto segue:

  • WORKFORCE_POOL_ID: l'ID del pool di federazione delle identità per la forza lavoro.
  • WORKFORCE_PROVIDER_ID: l'ID provider della federazione delle identità per la forza lavoro.
  • LOGIN_CONFIG_PATH: il percorso in cui scrivere il file di configurazione di accesso. Ad esempio, login-config.json.

Il file di configurazione dell'accesso contiene gli endpoint utilizzati da gcloud CLI per abilitare il flusso di autenticazione basato su browser e impostare il pubblico sull'IdP configurato nel provider del pool di identità per la forza lavoro. Il file non contiene informazioni riservate.

I contenuti del file di configurazione di accesso sono simili ai seguenti:

{
  "universe_domain": "googleapis.com",
  "universe_cloud_web_domain": "cloud.google",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.google/authorize",
  "token_url": "https://sts.googleapis.com/v1/oauthtoken",
  "token_info_url": "https://sts.googleapis.com/v1/introspect"
}

Ora puoi accedere a gcloud CLI.

Salva un file di configurazione di accesso

Puoi salvare i contenuti del file di configurazione delle credenziali che ti sono stati forniti in un file. Prendi nota del percorso, quindi accedi a gcloud CLI.

Accedi a gcloud CLI

Per accedere a gcloud CLI con un file di configurazione di accesso, esegui il seguente comando:

gcloud auth login --login-config="LOGIN_CONFIG_FILE_PATH"

Sostituisci LOGIN_CONFIG_FILE_PATH con il percorso del file di configurazione di accesso, se non l'hai ancora attivato. Tuttavia, se hai già attivato questo file utilizzando il flag --activate, non è necessario specificarlo di nuovo. Esegui invece il seguente comando:

gcloud auth login