ניהול הזהויות ב-Google Cloud

כדי להשתמש ב- Google Cloud, משתמשים, עומסי עבודה וסוכנים צריכים זהות ש-Google Cloud יכולה לזהות.

בדף הזה מפורטות השיטות שבהן אפשר להשתמש כדי להגדיר זהויות למשתמשים, לעומסי עבודה ולסוכנים.

זהויות משתמשים

אפשר להגדיר זהויות משתמשים עבור Google Cloud באמצעות איחוד שירותי אימות הזהות של כוח העבודה. השיטה הזו מאפשרת לכם להשתמש בספק הזהויות החיצוני (IdP) כדי לאפשר למשתמשים להיכנס ל- Google Cloud ולגשת למשאבים ולמוצרים של Google Cloud . עם איחוד שירותי אימות הזהות של כוח העבודה, המשתמשים צריכים רק חשבון אחד: החשבון החיצוני שלהם. סוג הזהות של המשתמש נקרא לפעמים זהות מאוחדת.

זהויות של עומסי עבודה

‫Google Cloud מספק את סוגי שירותי הזהויות הבאים לעומסי עבודה:

• איחוד שירותי אימות הזהות של עומסי עבודה מאפשר לעומסי העבודה שלכם לגשת לרוב השירותים של Google Cloud באמצעות זהות שמסופקת על ידי ספק IdP. עומסי עבודה שמשתמשים ב-Workload Identity Federation יכולים לפעול ב- Google Cloud, ב-Google Kubernetes Engine ‏ (GKE) או בפלטפורמות אחרות כמו AWS,‏ Azure ו-GitHub.

• Google Cloud חשבונות שירות יכולים לשמש כזהויות לעומסי עבודה. במקום לתת גישה ישירות לעומס עבודה, נותנים גישה לחשבון שירות, ואז מאפשרים לעומס העבודה להשתמש בחשבון השירות כזהות שלו.

• זהויות מנוהלות של עומסי עבודה מאפשרות לכם לקשר זהויות עם אימות חזק לעומסי העבודה שלכם ב-Compute Engine. אתם יכולים להשתמש בזהויות מנוהלות של עומסי עבודה כדי לאמת את עומסי העבודה שלכם לעומסי עבודה אחרים באמצעות TLS בו-זמני (mTLS), אבל אי אפשר להשתמש בהן לאימות ל- Google Cloud APIs.

השיטות שבהן אפשר להשתמש תלויות במקום שבו מריצים את עומסי העבודה.

אם אתם מריצים עומסי עבודה ב- Google Cloud, אתם יכולים להשתמש בשיטות הבאות כדי להגדיר זהויות של עומסי עבודה:

• איחוד זהויות של עומסי עבודה ל-GKE: מתן גישה לניהול זהויות והרשאות גישה (IAM) לאשכולות GKE ולחשבונות שירות של Kubernetes. כך עומסי העבודה באשכולות יכולים לגשת ישירות לרוב השירותים של Google Cloud , בלי להשתמש בהתחזות לחשבון שירות ב-IAM.

• חשבונות שירות מצורפים: צירוף חשבון שירות למשאב כדי שחשבון השירות ישמש כזהות ברירת המחדל של המשאב. כל עומסי העבודה (workloads) שפועלים במשאב משתמשים בזהות של חשבון השירות כשהם ניגשים לשירותים שלGoogle Cloud .

• פרטי כניסה לטווח קצר של חשבונות שירות: כדאי ליצור ולהשתמש בפרטי כניסה לטווח קצר של חשבונות שירות בכל פעם שהמשאבים שלכם צריכים לגשת לשירותיGoogle Cloud . הסוגים הנפוצים ביותר של פרטי כניסה הם אסימוני גישה מסוג OAuth 2.0 ואסימונים מזהים מסוג OpenID Connect ‏ (OIDC).

אם אתם מריצים עומסי עבודה מחוץ ל- Google Cloud, אתם יכולים להשתמש בשיטות הבאות כדי להגדיר זהויות של עומסי עבודה:

• איחוד שירותי אימות הזהות של עומסי עבודה: שימוש בפרטי כניסה מספקי זהויות חיצוניים כדי ליצור פרטי כניסה לטווח קצר, שעומסי עבודה יכולים להשתמש בהם כדי להתחזות זמנית לחשבונות שירות. עומסי העבודה יכולים לגשת למשאביםGoogle Cloud באמצעות חשבון השירות בתור הזהות שלהם.

• מפתחות של חשבונות שירות: משתמשים בחלק הפרטי של זוג מפתחות RSA ציבוריים או פרטיים של חשבון שירות כדי לבצע אימות כחשבון השירות.

  חשוב: מפתחות של חשבונות שירות מהווים סיכון אבטחה אם לא מנהלים אותם בצורה נכונה. כשזה אפשרי, מומלץ לבחור שיטה מאובטחת יותר ממפתחות של חשבונות שירות. אם אתם מוכרחים לבצע אימות באמצעות מפתח של חשבון שירות, באחריותכם לאבטח את המפתח הפרטי ולבצע פעולות אחרות שמתוארות במאמר שיטות מומלצות לניהול מפתחות לחשבונות שירות. אם אין לכם אפשרות ליצור מפתח לחשבון שירות, יכול להיות שהיצירה של מפתחות לחשבון שירות מושבתת בארגון שלכם. מידע נוסף זמין במאמר בנושא ניהול משאבי ארגון שמוגדרים כמאובטחים כברירת מחדל.

  אם קיבלתם את המפתח של חשבון השירות ממקור חיצוני, אתם צריכים לאמת אותו לפני השימוש. מידע נוסף זמין במאמר בנושא דרישות אבטחה לגבי אישורים ממקורות חיצוניים.

מידע נוסף על השיטות האלה להגדרת זהויות של עומסי עבודה זמין במאמר סקירה כללית על זהויות של עומסי עבודה.

זהויות של נציגים

‫Google Cloud מספק זהויות של סוכנים לסוכני AI גנרטיבי. זהות של סוכן היא זהות שמבוססת על SPIFFE וקשורה למחזור החיים של הסוכן, וממופה ישירות למזהה משאבים אחיד (URI) שבו הסוכן מתארח. הסוכן משתמש בזהות הזו כדי לבצע אימות בשירותים או כדי לאחזר פרטי כניסה חיצוניים ממנהל האימות של זהות הסוכן. Google Cloud

מידע נוסף על הגדרת זהויות של סוכנים זמין במאמר סקירה כללית על זהות הסוכן.