Se connecter à la gcloud CLI avec votre identité fédérée

La fédération des identités des employés vous permet de vous connecter à la Google Cloud CLI à l'aide des identifiants d'un fournisseur d'identité externe (IdP). Vous pouvez utiliser un flux de connexion basé sur un navigateur pour accéder aux ressources Google Cloud depuis la ligne de commande sans gérer de comptes Google distincts.

Avant de commencer

  1. Assurez-vous que votre administrateur a configuré la fédération d'identité de personnel.

  2. Assurez-vous de disposer d'informations compatibles avec l'une des options suivantes. Votre administrateur peut vous fournir ces informations. Si vous êtes administrateur, vous pouvez lister les pools et les fournisseurs d'identités de personnel pour trouver ces ID.

Obtenir un fichier de configuration de connexion

Cette section explique comment obtenir un fichier de configuration de connexion que vous pouvez utiliser pour vous connecter à gcloud CLI.

Créer un fichier de configuration de connexion

Vous pouvez utiliser l'ID du pool d'identités de personnel et l'ID du fournisseur de pool d'identités de personnel pour créer un fichier de configuration de connexion. Si vous êtes administrateur, vous pouvez lister les pools et les fournisseurs d'identités de personnel pour trouver ces ID.

Exécutez la commande suivante pour créer un fichier de configuration de connexion :

Linux et macOS

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

Windows (PowerShell)

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

Remplacez les éléments suivants :

  • WORKFORCE_POOL_ID : ID du pool de fédération des identités des employés.
  • WORKFORCE_PROVIDER_ID : ID du fournisseur de fédération des identités des employés.
  • LOGIN_CONFIG_PATH : chemin d'accès pour écrire le fichier de configuration de connexion. Exemple :login-config.json

Le fichier de configuration de connexion contient les points de terminaison utilisés par la gcloud CLI pour activer le flux d'authentification via le navigateur et définir l'audience sur l'IdP configuré dans le fournisseur de pool d'identités de personnel. Votre fichier ne contient aucune information confidentielle.

Le contenu du fichier de configuration de connexion ressemble à ceci :

{
  "universe_domain": "",
  "universe_cloud_web_domain": "",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth./authorize",
  "token_url": "https://sts./v1/oauthtoken",
  "token_info_url": "https://sts./v1/introspect"
}

Vous pouvez maintenant vous connecter à la gcloud CLI.

Enregistrer un fichier de configuration de connexion

Vous pouvez enregistrer le contenu du fichier de configuration des identifiants qui vous a été fourni dans un fichier. Notez le chemin d'accès, puis connectez-vous à la gcloud CLI.

Se connecter à la gcloud CLI

Pour vous connecter à la gcloud CLI avec un fichier de configuration de connexion, exécutez la commande suivante :

gcloud auth login --login-config="LOGIN_CONFIG_FILE_PATH"

Remplacez LOGIN_CONFIG_FILE_PATH par le chemin d'accès au fichier de configuration de connexion, si vous ne l'avez pas déjà activé. Toutefois, si vous avez déjà activé ce fichier à l'aide de l'option --activate, vous n'avez pas besoin de le spécifier à nouveau. Exécutez plutôt la commande suivante :

gcloud auth login