Fazer login na CLI gcloud com sua identidade federada

A federação de identidade de colaboradores permite que você faça login na Google Cloud CLI usando credenciais de um provedor de identidade (IdP) externo. É possível usar um fluxo de login baseado em navegador para acessar os recursos do Google Cloud na linha de comando sem gerenciar Contas do Google separadas.

Antes de começar

  1. Verifique se o administrador configurou a federação de identidade de colaboradores.

  2. Verifique se você tem informações que confirmam uma das seguintes opções. Seu administrador pode fornecer essas informações. Se você for um administrador, poderá listar pools e provedores de colaboradores para encontrar esses IDs.

Receber um arquivo de configuração de login

Nesta seção, descrevemos como conseguir um arquivo de configuração de login que pode ser usado para fazer login na CLI gcloud.

Criar um arquivo de configuração de login

Use o ID do pool de identidades de colaboradores e o ID do provedor do pool de identidades de colaboradores para criar um arquivo de configuração de login. Se você for um administrador, poderá listar pools e provedores de colaboradores para encontrar esses IDs.

Execute o seguinte comando para criar um arquivo de configuração de login:

Linux e macOS

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

Windows (PowerShell)

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

Substitua:

  • WORKFORCE_POOL_ID: o ID do pool de federação de identidade de colaboradores.
  • WORKFORCE_PROVIDER_ID: o ID do provedor da federação de identidade de colaboradores.
  • LOGIN_CONFIG_PATH: o caminho para gravar o arquivo de configuração de login. Por exemplo, login-config.json.

O arquivo de configuração de login contém os endpoints usados pela CLI gcloud para ativar o fluxo de autenticação baseado em navegador e definir o público-alvo como o IdP que foi configurado no provedor do pool de identidade de colaboradores. O arquivo não contém informações confidenciais.

O conteúdo do arquivo de configuração de login é semelhante ao seguinte:

{
  "universe_domain": "googleapis.com",
  "universe_cloud_web_domain": "cloud.google",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.google/authorize",
  "token_url": "https://sts.googleapis.com/v1/oauthtoken",
  "token_info_url": "https://sts.googleapis.com/v1/introspect"
}

Agora é possível fazer login na CLI gcloud.

Salvar um arquivo de configuração de login

É possível salvar o conteúdo do arquivo de configuração de credenciais que foi fornecido em um arquivo. Anote o caminho e faça login na CLI gcloud.

Faça login na CLI gcloud

Para fazer login na CLI gcloud com um arquivo de configuração de login, execute o seguinte comando:

gcloud auth login --login-config="LOGIN_CONFIG_FILE_PATH"

Substitua LOGIN_CONFIG_FILE_PATH pelo caminho para o arquivo de configuração de login, se você ainda não tiver ativado esse arquivo. No entanto, se você já tiver ativado esse arquivo usando a flag --activate, não será necessário especificá-lo novamente. Em vez disso, execute este comando:

gcloud auth login