Mit Ihrer föderierten Identität in der gcloud CLI anmelden

Mit der Mitarbeiteridentitätsföderation können Sie sich mit Anmeldedaten eines externen Identitätsanbieters (IdP) in der Google Cloud CLI anmelden. Sie können einen browserbasierten Anmeldevorgang verwenden, um über die Befehlszeile auf Google Cloud -Ressourcen zuzugreifen, ohne separate Google-Konten verwalten zu müssen.

Hinweis

  1. Prüfen Sie, ob Ihr Administrator die Workforce Identity-Föderation eingerichtet und konfiguriert hat.

  2. Sie benötigen Informationen, die eine der folgenden Optionen unterstützen. Diese Informationen erhalten Sie von Ihrem Administrator. Wenn Sie Administrator sind, können Sie Workforce-Pools und -Anbieter auflisten, um diese IDs zu finden.

Konfigurationsdatei für die Anmeldung abrufen

In diesem Abschnitt wird beschrieben, wie Sie eine Anmeldekonfigurationsdatei abrufen, mit der Sie sich bei der gcloud CLI anmelden können.

Konfigurationsdatei für die Anmeldung erstellen

Sie können die ID des Workforce Identity-Pools und die ID des Workforce Identity-Pool-Anbieters verwenden, um eine Konfigurationsdatei für die Anmeldung zu erstellen. Wenn Sie Administrator sind, können Sie Workforce-Pools und -Anbieter auflisten, um diese IDs zu finden.

Führen Sie den folgenden Befehl aus, um eine Konfigurationsdatei für die Anmeldung zu erstellen:

Linux und macOS

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

Windows (PowerShell)

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

Ersetzen Sie Folgendes:

  • WORKFORCE_POOL_ID: Die ID des Workforce Identity-Föderationspools.
  • WORKFORCE_PROVIDER_ID: Die ID des Anbieters der Mitarbeiteridentitätsföderation.
  • LOGIN_CONFIG_PATH: Der Pfad, in den die Konfigurationsdatei für die Anmeldung geschrieben werden soll. Beispiel: login-config.json.

Die Konfigurationsdatei für die Anmeldung enthält die Endpunkte, die von der gcloud CLI verwendet werden, um den browserbasierten Authentifizierungsvorgang zu aktivieren und die Zielgruppe auf den IdP festzulegen, der im Anbieter des Workforce Identity-Pools konfiguriert wurde. Die Datei enthält keine vertraulichen Informationen.

Der Inhalt der Konfigurationsdatei für die Anmeldung sieht in etwa so aus:

{
  "universe_domain": "",
  "universe_cloud_web_domain": "",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth./authorize",
  "token_url": "https://sts./v1/oauthtoken",
  "token_info_url": "https://sts./v1/introspect"
}

Sie können sich jetzt in der gcloud CLI anmelden.

Konfigurationsdatei für die Anmeldung speichern

Sie können den Inhalt der Konfigurationsdatei für Anmeldedaten, die Sie erhalten haben, in einer Datei speichern. Notieren Sie sich den Pfad und melden Sie sich dann in der gcloud CLI an.

In der gcloud CLI anmelden

Führen Sie den folgenden Befehl aus, um sich mit einer Anmeldekonfigurationsdatei in der gcloud CLI anzumelden:

gcloud auth login --login-config="LOGIN_CONFIG_FILE_PATH"

Ersetzen Sie LOGIN_CONFIG_FILE_PATH durch den Pfad zur Konfigurationsdatei für die Anmeldung, wenn Sie diese Datei noch nicht aktiviert haben. Wenn Sie diese Datei jedoch zuvor mit dem Flag --activate aktiviert haben, müssen Sie die Datei nicht noch einmal angeben. Führen Sie stattdessen den folgenden Befehl aus:

gcloud auth login