Menyiapkan ADC untuk penyedia cloud lokal atau lainnya

Jika menjalankan aplikasi di luar Google Cloud, Anda harus memberikan kredensial yang dikenali oleh Google Cloud untuk menggunakan layanan Google Cloud .

Workload Identity Federation

Cara yang lebih disukai untuk mengautentikasi dengan Google Cloud menggunakan kredensial dari IdP eksternal adalah dengan menggunakan Workload Identity Federation; Anda membuat file konfigurasi kredensial dan menetapkan variabel lingkungan GOOGLE_APPLICATION_CREDENTIALS untuk menunjukkannya. Pendekatan ini lebih aman daripada membuat kunci akun layanan.

Untuk mendapatkan bantuan terkait penyiapan Workload Identity Federation untuk ADC, lihat Workload Identity Federation dengan cloud lain.

Kunci akun layanan

Jika tidak dapat mengonfigurasi Workload Identity Federation, Anda harus membuat akun layanan, memberinya peran IAM yang diperlukan aplikasi, dan membuat kunci untuk akun layanan.

Catatan: Kunci akun layanan akan berisiko keamanan jika tidak dikelola dengan benar. Sebaiknya Anda memilih alternatif yang lebih aman untuk kunci akun layanan jika memungkinkan. Jika harus mengautentikasi dengan kunci akun layanan, Anda bertanggung jawab atas keamanan kunci pribadi dan atas operasi lain yang dijelaskan dalam Praktik terbaik untuk mengelola kunci akun layanan. Jika Anda tidak dapat membuat kunci akun layanan, pembuatan kunci akun layanan mungkin dinonaktifkan untuk organisasi Anda. Untuk mengetahui informasi selengkapnya, lihat Mengelola resource organisasi yang aman secara default.

Jika Anda mendapatkan kunci akun layanan dari sumber eksternal, Anda harus memvalidasinya sebelum digunakan. Untuk mengetahui informasi selengkapnya, lihat Persyaratan keamanan untuk kredensial yang bersumber dari luar.

Untuk membuat kunci akun layanan dan menyediakannya bagi ADC:

1. Buat akun layanan dengan peran yang dibutuhkan aplikasi Anda, serta kunci untuk akun layanan tersebut, dengan mengikuti petunjuk dalam Membuat kunci akun layanan.

2. Tetapkan variabel lingkungan GOOGLE_APPLICATION_CREDENTIALS ke jalur file JSON yang berisi kredensial Anda. Variabel ini hanya berlaku untuk sesi shell Anda saat ini. Jadi, jika Anda membuka sesi baru, tetapkan kembali variabel.

   Contoh: Linux atau macOS

   export GOOGLE_APPLICATION_CREDENTIALS="KEY_PATH"

   Ganti KEY_PATH dengan jalur file JSON yang berisi kredensial Anda.

   Contoh:

   export GOOGLE_APPLICATION_CREDENTIALS="/home/user/Downloads/service-account-file.json"

   Contoh: Windows

   Untuk PowerShell:

   $env:GOOGLE_APPLICATION_CREDENTIALS="KEY_PATH"

   Ganti KEY_PATH dengan jalur file JSON yang berisi kredensial Anda.

   Contoh:

   $env:GOOGLE_APPLICATION_CREDENTIALS="C:\Users\username\Downloads\service-account-file.json"

   Untuk command prompt:

   set GOOGLE_APPLICATION_CREDENTIALS=KEY_PATH

   Ganti KEY_PATH dengan jalur file JSON yang berisi kredensial Anda.

Catatan: Saat Anda menetapkan variabel lingkungan GOOGLE_APPLICATION_CREDENTIALS, ADC akan memeriksa lokasi ini terlebih dahulu, lalu memeriksa lokasi lain hanya jika perlu.

Langkah berikutnya

• Pelajari Workload Identity Federation.
• Pahami praktik terbaik untuk menggunakan kunci akun layanan.
• Pelajari lebih lanjut cara ADC menemukan kredensial.
• Jelajahi metode autentikasi.