Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

Melakukan autentikasi ke API Google Cloud dari workload armada campuran

Halaman ini menunjukkan cara mengonfigurasi aplikasi Anda untuk melakukan autentikasi ke Google Cloud API seperti Compute Engine API atau AI Platform API dari fleet yang memiliki model kepercayaan campuran di seluruh fleet. Jika fleet Anda memiliki model kepercayaan bersama di seluruh fleet, lihat Melakukan autentikasi ke Google Cloud API dari workload fleet kepercayaan bersama.

Halaman ini ditujukan untuk admin dan operator Platform serta Engineer keamanan yang ingin melakukan autentikasi secara terprogram dari workload fleet ke Google Cloud API. Untuk mempelajari lebih lanjut peran pengguna dan contoh tugas yang kami referensikan dalam Google Cloud dokumentasi, lihat Peran dan tugas pengguna GKE umum.

Sebelum membaca halaman ini, pastikan Anda memahami konsep berikut:

Tentang Workload Identity Federation fleet untuk lingkungan kepercayaan campuran

Workload Identity Federation fleet memungkinkan Anda memberikan peran IAM pada Google Cloud API dan resource ke entity di fleet Anda, seperti workload di namespace tertentu. Secara default, project host fleet Anda menggunakan workload identity pool yang dikelola Google untuk menyediakan identitas bagi entity di seluruh fleet. Namun, di lingkungan kepercayaan campuran seperti fleet multi-tenant atau di project host fleet yang menjalankan cluster mandiri, sebaiknya konfigurasikan workload identity pool yang dikelola sendiri secara terpisah untuk subset workload dan cluster Anda.

Entity yang menggunakan workload identity pool yang dikelola sendiri memiliki ID yang berbeda dalam kebijakan IAM dibandingkan entity yang menggunakan workload identity pool yang dikelola Google dari project host fleet. Hal ini memastikan bahwa pemberian akses ke akun utama di namespace fleet tertentu tidak secara tidak sengaja memberikan akses ke akun utama lain yang cocok dengan ID tersebut.

Workload identity pool yang dikelola sendiri mengharuskan Anda menggunakan cakupan tim. Cakupan tim memungkinkan Anda mengontrol akses ke subset resource fleet per tim. Anda mengikat cakupan tim tertentu ke cluster anggota fleet tertentu untuk mengizinkan tim tersebut men-deploy workload di cluster tersebut. Dalam cakupan tim, anggota tim hanya dapat men-deploy workload ke namespace fleet.

Menggunakan workload identity pool yang dikelola sendiri untuk menyediakan identitas bagi workload cakupan tim memiliki manfaat seperti berikut:

Memastikan bahwa pemberian akses ke entity di namespace fleet tidak secara tidak sengaja berlaku untuk entity di namespace atau cluster lain.
Mengonfigurasi kumpulan cluster fleet untuk mendapatkan identitas dari pool yang dikelola sendiri dengan mengikatnya ke cakupan tim dan menyiapkan pool yang dikelola sendiri sebagai penyedia identitas di cluster tersebut.
Mengonfigurasi subset cluster terikat cakupan tim untuk mendapatkan identitas dari pool yang dikelola sendiri dengan hanya menyiapkan pool yang dikelola sendiri sebagai penyedia identitas di cluster tertentu.

Kesamaan identitas dalam contoh lingkungan kepercayaan campuran

Pertimbangkan skenario berikut:

Anda memiliki dua cluster anggota fleet: frontend-cluster dan finance-cluster.
Anda belum mengonfigurasi workload identity pool yang dikelola sendiri.
Anda membuat cakupan tim finance-team dan namespace fleet finance-ns dalam cakupan tim.
Anda mengikat cluster finance-cluster ke cakupan tim finance-team.
Anda memberikan peran IAM ke ServiceAccount Kubernetes finance-sa di namespace fleet finance-ns.

Workload apa pun yang memenuhi kriteria berikut memiliki identitas yang sama:

Berjalan di namespace fleet finance-ns.
Menggunakan ServiceAccount finance-sa.

Namun, jika seseorang di cluster frontend-cluster membuat namespace Kubernetes finance-ns dan ServiceAccount finance-sa, mereka akan mendapatkan identitas yang sama dengan workload di cluster finance-cluster. Hal ini karena seluruh fleet menggunakan workload identity pool yang dikelola Google dari project host fleet, dan karena ID akun utama tidak menentukan cluster host.

Pertimbangkan perubahan berikut pada skenario sebelumnya:

Anda menyiapkan workload identity pool yang dikelola sendiri di fleet Anda.
Anda mengonfigurasi cluster finance-cluster untuk mendapatkan identitas dari pool yang dikelola sendiri, bukan dari pool yang dikelola Google.
Anda membuat pemberian peran IAM yang menentukan pool yang dikelola sendiri dalam ID akun utama, bukan pool yang dikelola Google.

Workload yang berjalan di namespace fleet finance-ns di finance-cluster kini mendapatkan identitas dari pool yang dikelola sendiri. Namun, entity di namespace Kubernetes finance-ns di cluster frontend-cluster terus mendapatkan identitas dari workload identity pool yang dikelola Google dari project host fleet.

Perubahan ini menghasilkan manfaat berikut:

Anda dapat memberikan peran secara eksplisit ke entity di namespace fleet finance-ns.
Entity di cluster frontend-cluster tidak dapat mendapatkan akses yang sama karena identitas di cluster frontend-cluster berasal dari workload identity pool yang dikelola Google.

Sebelum memulai

Pastikan Anda telah menginstal alat command line berikut:
- Google Cloud CLI versi terbaru, yang mencakup gcloud, alat command line untuk berinteraksi dengan Google Cloud.
- kubectl
Jika Anda menggunakan Cloud Shell sebagai lingkungan shell untuk berinteraksi dengan Google Cloud, alat ini akan diinstal untuk Anda.
Pastikan Anda telah menginisialisasi gcloud CLI untuk digunakan dengan project Anda.

Persyaratan

Anda harus menggunakan fitur pengelolaan tim fleet seperti cakupan tim dan namespace fleet di fleet Anda. Petunjuk di halaman ini menunjukkan cara mengonfigurasi contoh cakupan tim dan namespace fleet.

Menyiapkan cluster

Sebelum aplikasi di fleet Anda dapat menerima identitas gabungan, cluster tempat aplikasi tersebut berjalan harus didaftarkan ke fleet Anda dan dikonfigurasi dengan benar untuk menggunakan Workload Identity Federation fleet. Bagian berikut menjelaskan cara menyiapkan Workload Identity Federation fleet untuk berbagai jenis cluster.

GKE

Untuk cluster GKE, Anda harus mendaftarkan cluster ke fleet.

Cluster di luar Google Cloud

Jenis cluster berikut secara otomatis mengaktifkan Workload Identity Federation fleet dan didaftarkan ke fleet Anda selama pembuatan cluster:

Google Distributed Cloud (khusus software) di VMware
Google Distributed Cloud (khusus software) di bare metal
GKE di AWS
GKE di Azure

Cluster terpasang

Cluster terpasang EKS dan AKS yang didaftarkan menggunakan GKE Multi-Cloud API didaftarkan dengan Workload Identity Federation fleet yang diaktifkan secara default. Cluster terpasang lainnya dapat didaftarkan dengan Workload Identity Federation fleet yang diaktifkan jika memenuhi persyaratan yang diperlukan. Ikuti petunjuk untuk jenis cluster Anda di Mendaftarkan cluster.

Menyiapkan workload identity pool IAM

Di bagian ini, Anda akan membuat workload identity pool IAM baru di project host fleet dan memberikan akses agen layanan fleet ke pool baru. Workload identity pool ini adalah pool yang dikelola sendiri.

Buat workload identity pool:
```
gcloud iam workload-identity-pools create POOL_NAME \
    --location=global \
    --project=POOL_HOST_PROJECT_ID \
    --mode=TRUST_DOMAIN
```
Ganti kode berikut:
- POOL_NAME: nama workload identity pool baru.
- POOL_HOST_PROJECT_ID: project ID project tempat Anda ingin membuat workload identity pool yang dikelola sendiri. Anda dapat menggunakan any Google Cloud project, termasuk project host fleet Anda.
Berikan peran IAM Workload Identity Pool Admin (roles/iam.workloadIdentityPoolAdmin) pada workload identity pool baru ke agen layanan fleet:
```
gcloud iam workload-identity-pools add-iam-policy-binding POOL_NAME \
    --project=POOL_HOST_PROJECT_ID \
    --location=global \
    --member=serviceAccount:service-FLEET_HOST_PROJECT_NUMBER@gcp-sa-gkehub.iam.gserviceaccount.com \
    --role=roles/iam.workloadIdentityPoolAdmin \
    --condition=None
```
Ganti FLEET_HOST_PROJECT_NUMBER dengan nomor project dari project host fleet.

Untuk mengikuti prinsip praktik terbaik keamanan hak istimewa terendah, perintah ini memberikan peran IAM Workload Identity Pool Admin untuk workload identity pool tertentu yang Anda gunakan untuk fleet, dan bukan untuk semua workload identity pool dalam project.

Menambahkan pool yang dikelola sendiri ke konfigurasi fleet

Di bagian ini, Anda akan mengaktifkan pool yang dikelola sendiri dengan Workload Identity Federation fleet dan menambahkan pool yang Anda buat ke konfigurasi fleet. Bagian ini juga memberikan petunjuk untuk membuat cakupan tim baru dan namespace fleet. Jika fleet Anda sudah mengonfigurasi cakupan tim dan namespace fleet, lewati langkah-langkah tersebut.

Aktifkan Workload Identity Federation fleet di tingkat fleet:
```
gcloud container fleet workload-identity enable \
  --project=FLEET_HOST_PROJECT_ID
```
Ganti FLEET_HOST_PROJECT_ID dengan project ID project host fleet Anda.
Tambahkan workload identity pool yang dikelola sendiri ke konfigurasi fleet:
```
gcloud container fleet workload-identity scope-tenancy-pool set POOL_NAME
```
Ganti POOL_NAME dengan nama workload identity pool yang dikelola sendiri. Nilai ini memiliki sintaksis berikut:
```
POOL_NAME.global.POOL_HOST_PROJECT_NUMBER.workload.id.goog
```
Buat cakupan tim baru. Jika Anda memiliki cakupan tim dan namespace fleet yang ada, lanjutkan ke bagian Memverifikasi konfigurasi workload identity pool.
```
gcloud container fleet scopes create SCOPE_NAME
```
Ganti SCOPE_NAME dengan nama cakupan tim baru Anda.

Buat namespace fleet baru dalam cakupan tim:

gcloud container fleet scopes namespaces create NAMESPACE_NAME \
    --scope=SCOPE_NAME

Ganti NAMESPACE_NAME dengan nama namespace fleet baru Anda.

Ikat cluster di fleet Anda ke cakupan tim:
```
gcloud container fleet memberships bindings create BINDING_NAME \
    --membership=FLEET_CLUSTER_NAME \
    --location=global \
    --scope=SCOPE_NAME
```
Ganti kode berikut:
- BINDING_NAME: nama untuk binding keanggotaan baru Anda.
- FLEET_CLUSTER_NAME: nama cluster fleet yang ada untuk diikat ke cakupan tim.

Memverifikasi konfigurasi workload identity pool

Di bagian ini, Anda akan memastikan bahwa konfigurasi workload identity pool yang dikelola sendiri berhasil.

Jelaskan konfigurasi keanggotaan fleet:
```
gcloud container fleet memberships describe FLEET_CLUSTER_NAME \
    --location=global
```
Ganti FLEET_CLUSTER_NAME dengan nama cluster fleet yang ada yang terikat ke cakupan tim mana pun di fleet Anda.

Outputnya mirip dengan hal berikut ini:
```
authority:
...
  scopeTenancyIdentityProvider: https://gkehub.googleapis.com/projects/FLEET_HOST_PROJECT_ID/locations/global/memberships/FLEET_CLUSTER_NAME
  scopeTenancyWorkloadIdentityPool: POOL_NAME.global.FLEET_HOST_PROJECT_NUMBER.workload.id.goog
  workloadIdentityPool: FLEET_HOST_PROJECT_ID.svc.id.goog
...
```
Output ini harus berisi kolom berikut:
- scopeTenancyIdentityProvider: penyedia identitas untuk workload yang berjalan di namespace fleet dalam cakupan tim. Nilainya adalah ID resource untuk cluster Anda.
- scopeTenancyWorkloadIdentityPool: workload identity pool tempat workload di namespace fleet dalam cakupan tim mendapatkan ID. Nilainya adalah workload identity pool yang dikelola sendiri, dengan format POOL_NAME.global.FLEET_HOST_PROJECT_NUMBER.workload.id.goog.
- workloadIdentityPool: nama workload identity pool yang dikelola Google dari project host fleet, tempat semua workload lain di fleet mendapatkan identitas secara default.

Opsional: Periksa apakah workload identity pool Anda memiliki namespace yang memiliki nama yang sama dengan namespace fleet Anda:

gcloud iam workload-identity-pools namespaces list \
    --workload-identity-pool=POOL_NAME \
    --location=global

Outputnya mirip dengan hal berikut ini:

---
description: Fleet namespace NAMESPACE_NAME
name: projects/FLEET_HOST_PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_NAME/namespaces/NAMESPACE_NAME
state: ACTIVE

Fleet Anda kini dapat menggunakan workload identity pool yang dikelola sendiri untuk mendapatkan identitas bagi workload yang berjalan di namespace fleet. Untuk mulai menggunakan pool yang dikelola sendiri, konfigurasikan cara cluster tertentu mendapatkan identitas, seperti yang dijelaskan di bagian berikutnya.

Membuat workload menggunakan pool yang dikelola sendiri untuk identitas

Untuk membuat workload menggunakan pool yang dikelola sendiri, Anda mengonfigurasi namespace fleet tertentu di cluster anggota fleet menggunakan ConfigMap Kubernetes. Konfigurasi per cluster dan per namespace ini memungkinkan Anda mengurangi lebih lanjut cakupan pemberian akses dari seluruh namespace fleet ke workload yang berjalan di namespace fleet tertentu di cluster tertentu.

Hubungkan ke cluster anggota fleet Anda:
```
gcloud container clusters get-credentials FLEET_CLUSTER_NAME \
    --project=CLUSTER_PROJECT_ID \
    --location=CLUSTER_LOCATION
```
Ganti kode berikut:
- FLEET_CLUSTER_NAME: nama cluster anggota fleet yang sudah terikat ke cakupan tim.
- CLUSTER_PROJECT_ID: project ID project cluster.
- CLUSTER_LOCATION: lokasi cluster.

Dapatkan nama lengkap workload identity pool yang dikelola sendiri. Anda akan membutuhkannya nanti.

gcloud iam workload-identity-pools describe POOL_NAME --location=global

Outputnya mirip dengan hal berikut ini:

POOL_NAME.global.FLEET_HOST_PROJECT_NUMBER.workload.id.goog

Dapatkan nama penyedia identitas untuk cakupan tim. Anda akan membutuhkannya nanti.

kubectl get membership membership -o json | jq -r ".spec.scope_tenancy_identity_provider"

Outputnya mirip dengan hal berikut ini:

https://gkehub.googleapis.com/projects/FLEET_HOST_PROJECT_ID/locations/global/memberships/FLEET_CLUSTER_NAME

Di editor teks, simpan manifes YAML berikut untuk ConfigMap sebagai self-managed-pool.yaml:
```
kind: ConfigMap
apiVersion: v1
metadata:
  namespace: NAMESPACE_NAME
  name: google-application-credentials
data:
  config: |
    {
      "type": "external_account",
      "audience": "identitynamespace:POOL_NAME:IDENTITY_PROVIDER",
      "subject_token_type": "urn:ietf:params:oauth:token-type:jwt",
      "token_url": "https://sts.googleapis.com/v1/token",
      "credential_source": {
        "file": "/var/run/secrets/tokens/gcp-ksa/token"
      }
    }
```
Ganti kode berikut:
- NAMESPACE_NAME: nama namespace fleet.
- POOL_NAME: nama lengkap workload identity pool yang dikelola sendiri dari output langkah-langkah sebelumnya di bagian ini. Misalnya, projects/1234567890/locations/global/workloadIdentityPools/example-pool.
- IDENTITY_PROVIDER: nama penyedia identitas dari output langkah-langkah sebelumnya di bagian ini. Misalnya, https://gkehub.googleapis.com/projects/1234567890/locations/global/memberships/example-cluster.

Deploy ConfigMap di cluster Anda:

kubectl create -f self-managed-pool.yaml

Men-deploy ConfigMap menunjukkan kepada GKE bahwa workload di namespace tersebut harus menggunakan workload identity pool yang dikelola sendiri untuk mendapatkan identitas.

Memberikan peran IAM ke akun utama

Di bagian ini, Anda akan membuat ServiceAccount Kubernetes di namespace fleet dan memberikan peran IAM ke ServiceAccount. Pod yang menggunakan ServiceAccount ini kemudian dapat mengakses Google Cloud resource tempat Anda memberikan peran.

Buat ServiceAccount Kubernetes di namespace fleet Anda:
```
kubectl create serviceaccount SERVICEACCOUNT_NAME \
    --namespace=NAMESPACE_NAME
```
Ganti kode berikut:
- SERVICEACCOUNT_NAME: nama ServiceAccount baru Anda.
- NAMESPACE_NAME: nama namespace fleet.

Berikan peran IAM ke ServiceAccount. Contoh perintah berikut memberikan peran Storage Object Viewer (roles/storage.objectViewer) pada bucket ke ServiceAccount:

gcloud storage buckets add-iam-policy-binding gs://BUCKET_NAME \
    --member=principal://iam.googleapis.com/projects/FLEET_HOST_PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_NAME.global.FLEET_HOST_PROJECT_NUMBER.workload.id.goog/subject/ns/NAMESPACE_NAME/sa/SERVICEACCOUNT_NAME \
    --role=roles/storage.objectViewer \
    --condition=None

Flag member berisi ID akun utama untuk ServiceAccount baru yang Anda buat. Permintaan yang dikirim workload Anda ke Google Cloud API menggunakan token akses gabungan. Token akses gabungan ini mencakup ID akun utama entity yang mengirim permintaan. Jika akun utama dalam kebijakan izin yang memberikan peran pada resource target cocok dengan akun utama dalam token akses gabungan, autentikasi dan otorisasi dapat dilanjutkan.

Men-deploy workload yang menggunakan pool yang dikelola sendiri

Manifes Kubernetes yang Anda terapkan di namespace fleet harus dikonfigurasi untuk mendapatkan identitas dari pool yang dikelola sendiri. Workload yang Anda deploy yang perlu memanggil Google Cloud API harus menyertakan kolom berikut:

metadata.namespace: nama namespace fleet.
spec.serviceAccountName: nama ServiceAccount Kubernetes di namespace fleet.
spec.containers.env: variabel lingkungan bernama GOOGLE_APPLICATION_CREDENTIALS yang menunjukkan jalur ke file Kredensial Default Aplikasi (ADC).
spec.containers.volumeMounts: volume hanya baca yang memungkinkan container menggunakan token pembawa untuk ServiceAccount.
spec.volumes: volume yang diproyeksikan yang memasang token ServiceAccount ke dalam Pod. Audiens token adalah workload identity pool yang dikelola sendiri. ConfigMap yang berisi konfigurasi Workload Identity Federation fleet adalah sumber untuk volume.

Untuk contoh file manifes yang dikonfigurasi dengan benar, lihat bagian Memverifikasi autentikasi dari workload.

Memverifikasi autentikasi dari workload

Bagian ini memberikan petunjuk opsional untuk memverifikasi bahwa Anda telah mengonfigurasi workload identity pool yang dikelola sendiri dengan benar dengan mencantumkan konten contoh bucket Cloud Storage. Anda membuat bucket, memberikan peran pada bucket ke ServiceAccount di namespace fleet, dan men-deploy Pod untuk mencoba mengakses bucket.

Membuat bucket Cloud Storage:

gcloud storage buckets create gs://FLEET_HOST_PROJECT_ID-workload-id-bucket \
    --location=LOCATION \
    --project=FLEET_HOST_PROJECT_ID

Berikan peran roles/storage.objectViewer pada bucket ke ServiceAccount di namespace fleet:

gcloud storage buckets add-iam-policy-binding gs://FLEET_HOST_PROJECT_ID-workload-id-bucket \
    --condition=None \
    --role=roles/storage.objectViewer \
    --member=principal://iam.googleapis.com/projects/FLEET_PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_NAME.global.FLEET_HOST_PROJECT_NUMBER.workload.id.goog/subject/ns/NAMESPACE_NAME/sa/SERVICEACCOUNT_NAME

Ganti kode berikut:

FLEET_HOST_PROJECT_NUMBER: nomor project dari project host fleet Anda.
POOL_NAME: nama workload identity pool yang dikelola sendiri.
NAMESPACE_NAME: nama namespace fleet tempat Anda ingin menjalankan Pod.
SERVICEACCOUNT_NAME: nama ServiceAccount Kubernetes yang harus digunakan Pod.

Simpan manifes berikut sebagai pod-bucket-access.yaml:

apiVersion: v1
kind: Pod
metadata:
  name: bucket-access-pod
  namespace:  NAMESPACE_NAME
spec:
  serviceAccountName: SERVICEACCOUNT_NAME
  containers:
  - name: sample-container
    image: google/cloud-sdk:slim
    command: ["sleep","infinity"]
    env:
    - name: GOOGLE_APPLICATION_CREDENTIALS
      value: /var/run/secrets/tokens/gcp-ksa/google-application-credentials.json
    volumeMounts:
    - name: gcp-ksa
      mountPath: /var/run/secrets/tokens/gcp-ksa
      readOnly: true
  volumes:
  - name: gcp-ksa
    projected:
      defaultMode: 420
      sources:
      - serviceAccountToken:
          path: token
          audience: POOL_NAME
          expirationSeconds: 172800
      - configMap:
          name: google-application-credentials
          optional: false
          items:
          - key: "config"
            path: "google-application-credentials.json"

Ganti kode berikut:

NAMESPACE_NAME: nama namespace fleet tempat Anda ingin menjalankan Pod.
SERVICEACCOUNT_NAME: nama ServiceAccount Kubernetes yang harus digunakan Pod.
POOL_NAME: nama workload identity pool yang dikelola sendiri.

Deploy Pod di cluster Anda:

kubectl apply -f pod-bucket-access.yaml

Buka sesi shell di Pod:

kubectl exec -it bucket-access-pod -n NAMESPACE_NAME -- /bin/bash

Coba cantumkan objek di bucket:

curl -X GET -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
    "https://storage.googleapis.com/storage/v1/b/FLEET_HOST_PROJECT_ID-workload-id-bucket/o"

Outputnya adalah sebagai berikut:

{
  "kind": "storage#objects"
}

Anda dapat secara opsional memverifikasi bahwa namespace dan ServiceAccount yang serupa di cluster anggota fleet yang berbeda tidak akan dapat menegaskan identitas yang sama. Di cluster yang menggunakan Workload Identity Federation fleet tetapi tidak memiliki namespace fleet atau konfigurasi pool yang dikelola sendiri, lakukan langkah-langkah berikut:

Buat namespace Kubernetes baru dengan nama yang sama dengan namespace fleet tempat Anda menyiapkan workload identity pool yang dikelola sendiri.
Buat ServiceAccount Kubernetes baru dengan nama yang sama dengan ServiceAccount tempat Anda memberikan peran IAM di bagian sebelumnya.
Deploy Pod yang menggunakan ServiceAccount dan namespace yang sama, tetapi kolom spec.volumes.projected.sources.serviceAccountToken menentukan workload identity pool yang dikelola Google. Pool ini memiliki sintaksis berikut:
```
FLEET_HOST_PROJECT_ID.svc.id.goog
```
Coba akses bucket Cloud Storage dari sesi shell di Pod.

Outputnya harus berupa error 401: Unauthorized, karena ID akun utama untuk Pod yang menggunakan workload identity pool yang dikelola Google berbeda dengan ID akun utama untuk Pod yang menggunakan pool yang dikelola sendiri.

Melakukan autentikasi ke API Google Cloud dari workload armada campuran Tetap teratur dengan koleksi Simpan dan kategorikan konten berdasarkan preferensi Anda.

Tentang Workload Identity Federation fleet untuk lingkungan kepercayaan campuran

Kesamaan identitas dalam contoh lingkungan kepercayaan campuran

Sebelum memulai

Persyaratan

Menyiapkan cluster

GKE

Cluster di luar Google Cloud

Cluster terpasang

Menyiapkan workload identity pool IAM

Menambahkan pool yang dikelola sendiri ke konfigurasi fleet

Memverifikasi konfigurasi workload identity pool

Membuat workload menggunakan pool yang dikelola sendiri untuk identitas

Memberikan peran IAM ke akun utama

Men-deploy workload yang menggunakan pool yang dikelola sendiri

Memverifikasi autentikasi dari workload

Langkah berikutnya

Melakukan autentikasi ke API Google Cloud dari workload armada campuran