Utiliser l'authentification avec des cibles HTTP

Cloud Scheduler peut appeler des cibles HTTP qui nécessitent une authentification si vous configurez un compte de service associé disposant des identifiants appropriés.

Configurer un compte de service

Un compte de service est généralement utilisé par une application ou une charge de travail de calcul. Il est identifié par son adresse e-mail, qui est unique au compte.

Les applications peuvent utiliser des comptes de service pour effectuer des appels d'API autorisés en s'authentifiant en tant que compte de service et en accédant à toutes les ressources auxquelles le compte de service est autorisé à accéder.

La façon la plus courante de permettre à une application de s'authentifier en tant que compte de service consiste à associer un compte de service à la ressource exécutant l'application. Ensuite, vous pouvez attribuer des rôles IAM (Identity and Access Management) au compte de service pour lui permettre d'accéder aux ressources Google Cloud .

  1. Si vous ne disposez pas d'un compte de service que vous souhaitez utiliser pour les jobs Cloud Scheduler avec des cibles HTTP, créez-en un. Veuillez noter les points suivants :

    • Le compte de service doit appartenir au projet dans lequel la tâche Cloud Scheduler est créée.

    • N'utilisez pas l'agent de service Cloud Scheduler (service-PROJECT_NUMBER@gcp-sa-cloudscheduler.), car il ne peut pas être utilisé à cette fin.

    • Ne révoquez pas le rôle d'agent de service Cloud Scheduler (roles/cloudscheduler.serviceAgent) de l'agent de service Cloud Scheduler sur votre projet. Cela entraîne des réponses 403 aux points de terminaison nécessitant une authentification, même si le compte de service de votre job dispose du rôle approprié.

  2. Si votre cible se trouve dans Google Cloud, accordez les rôles IAM nécessaires à votre compte de service. Chaque service de Google Cloud nécessite un rôle spécifique, et le service de réception vérifie automatiquement le jeton généré.

    Par exemple, pour Cloud Run et les fonctions Cloud Run, vous devez attribuer le rôle Demandeur Cloud Run (roles/run.invoker), tandis que pour Cloud Functions (1re génération), vous devez attribuer le rôle Demandeur Cloud Functions (roles/cloudfunctions.invoker).

    Pour obtenir l'autorisation nécessaire pour associer un compte de service à une ressource, demandez à votre administrateur de vous accorder le rôle IAM Utilisateur du compte de service (roles/iam.serviceAccountUser) sur le compte de service. Ce rôle prédéfini contient l'autorisation iam.serviceAccounts.actAs, qui est requise pour associer un compte de service à une ressource. (Si vous avez créé le compte de service, cette autorisation vous est automatiquement accordée.)

    À l'étape précédente, si vous avez créé un compte de service spécifiquement pour appeler le service ciblé par votre tâche Cloud Scheduler, vous pouvez suivre le principe du moindre privilège en associant le compte et son autorisation d'appelant à votre service cible :

    Console

    1. Dans la console Google Cloud , sur la page de sélection du projet, sélectionnez un projetGoogle Cloud .

      Accéder au sélecteur de projet

    2. Accédez à la page du type de ressource que vous appelez. Par exemple, si vous appelez un service Cloud Run, accédez à la page qui liste les services Cloud Run.

    3. Cochez la case située à gauche du service que vous souhaitez appeler. (Ne cliquez pas sur le service lui-même.)

    4. Cliquez sur l'onglet Autorisations.

      Si le volet d'informations n'est pas visible, vous devrez peut-être cliquer sur Afficher le panneau d'informations > Autorisations.

    5. Cliquez sur Ajouter un compte principal.

    6. Dans le champ Nouveaux comptes principaux, saisissez l'adresse e-mail du compte de service que vous avez créé.

    7. Dans la liste Sélectionner un rôle, sélectionnez un rôle à attribuer.

      Suivez le principe du moindre privilège en choisissant le rôle qui n'inclut que les autorisations dont votre compte principal a besoin.

    8. Cliquez sur Enregistrer.

    gcloud 

    gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member=PRINCIPAL \
    --role=ROLE

    Remplacez les éléments suivants :

    • RESOURCE_TYPE : type de ressource de votre cible. Par exemple, run services pour une cible de service Cloud Run.
    • RESOURCE_ID : identifiant de votre cible. Par exemple, le nom d'un service Cloud Run.
    • PRINCIPAL : identifiant de votre compte de service. Il se présente sous la forme suivante : serviceAccount:SERVICE_ACCOUNT_EMAIL_ADDRESS. Par exemple, serviceAccount:my-service-account@my-project..
    • ROLE : nom du rôle requis par votre service cible pour l'appel. Par exemple, roles/run.invoker pour une cible de service Cloud Run. Pour les cibles de fonctions Cloud Run, nous vous recommandons d'utiliser la commande add-invoker-policy-binding.

    Exemples :

    • Utilisez la commande gcloud run services add-iam-policy-binding pour attribuer le rôle IAM Demandeur Cloud Run (roles/run.invoker) au compte de service my-service-account@my-project. sur le service Cloud Run my-service :

      gcloud run services add-iam-policy-binding my-service \
    --region=REGION \
    --member=serviceAccount:my-service-account@my-project. \
    --role=roles/run.invoker

    • Utilisez la commande gcloud functions add-invoker-policy-binding pour accorder le rôle approprié au compte de service my-service-account@my-project. sur la fonction Cloud Run my-cloud-function.

      Pour les fonctions Cloud Run, cela ajoute la liaison Demandeur Cloud Run (roles/run.invoker) à la stratégie IAM du service Cloud Run sous-jacent de la fonction spécifiée. Pour Cloud Functions (1re génération), cela ajoute la liaison Demandeur Cloud Functions (roles/cloudfunctions.invoker) à la stratégie IAM de la fonction spécifiée :

      gcloud functions add-invoker-policy-binding my-cloud-function \
    --region=REGION \
    --member=serviceAccount:my-service-account@my-project.

    Pour obtenir un exemple d'utilisation de Terraform pour créer un compte de service autorisé à appeler un service Cloud Run, consultez Créer un compte de service pour Cloud Scheduler.

  3. Si votre cible se trouve en dehors de Google Cloud, le service de réception doit valider manuellement le jeton.

  4. L'agent de service Cloud Scheduler par défaut est automatiquement configuré lorsque vous activez l'API Cloud Scheduler, sauf si vous l'avez activé avant le 19 mars 2019. Dans ce cas, vous devez attribuer le rôle d'agent de service Cloud Scheduler. Cela lui permet de générer des jetons d'en-tête au nom de votre compte de service pour s'authentifier auprès de votre cible.

Créer un job Cloud Scheduler qui utilise l'authentification

Pour s'authentifier entre Cloud Scheduler et une cible HTTP, Cloud Scheduler crée un jeton d'en-tête basé sur votre compte de service client, identifié par son adresse e-mail, et l'envoie à la cible via HTTPS. Vous pouvez utiliser un jeton d'ID (OIDC) ou un jeton OAuth (d'accès). OIDC est généralement utilisé sauf pour les API Google hébergées sur *.googleapis.com : ces API attendent un jeton OAuth, et Cloud Scheduler n'accepte les jetons OAuth que pour les URL cibles hébergées sur *.googleapis.com.

Pour créer un job Cloud Scheduler qui utilise l'authentification, vous devez ajouter le type de jeton et l'adresse e-mail qui identifie le compte de service client lors de la création de votre job :

Console

  1. Dans la console Google Cloud , accédez à la page Cloud Scheduler.

    Accéder à Cloud Scheduler

  2. Cliquez sur Créer un job.

  3. Dans le champ Nom, saisissez un nom pour votre job, unique au projet et à la région. Après avoir supprimé le job associé, vous pouvez réutiliser un nom de job.

  4. Dans la liste Région, sélectionnez une région pour votre job.

  5. Spécifiez une fréquence et un fuseau horaire pour votre job. La chaîne que vous indiquez ici peut être n'importe quelle chaîne compatible unix-cron.

  6. Cliquez sur Continuer.

  7. Dans la liste Type de cible, sélectionnez HTTP.

  8. Spécifiez une URL commençant par https:// et une méthode HTTP.

  9. Dans la liste En-tête d'authentification, sélectionnez le type de jeton. Un jeton OIDC est généralement utilisé, sauf pour les API Google hébergées sur *.googleapis.com, car ces API attendent un jeton OAuth.

  10. Dans la liste Compte de service, sélectionnez l'adresse e-mail de votre compte de service.

  11. Vous pouvez éventuellement spécifier une audience qui limite les destinataires du jeton OIDC. En règle générale, il s'agit de l'URL cible du job sans aucun paramètre d'URL. Si cette option n'est pas spécifiée, l'URL complète est utilisée comme audience, y compris les paramètres de requête.

  12. Configurez les paramètres facultatifs de votre choix.

  13. Cliquez sur Créer.

gcloud 

gcloud scheduler jobs create http JOB_ID \
    --location=LOCATION \
    --schedule="FREQUENCY" \
    --uri=URI \
    --oidc-service-account-email=SERVICE_ACCOUNT_EMAIL

Remplacez les éléments suivants :

  • JOB_ID : nom du job, qui doit être unique pour le projet et la région. Après avoir supprimé le job associé, vous pouvez réutiliser un nom de job.
  • LOCATION : emplacement (région) du job.
  • FREQUENCY : intervalle ou fréquence d'exécution du job (par exemple, every 3 hours ou every 10 mins). La chaîne que vous indiquez ici peut être n'importe quelle chaîne compatible unix-cron.
  • URI : URL HTTPS complète du point de terminaison (doit commencer par https://).
  • SERVICE_ACCOUNT_EMAIL : adresse e-mail de votre compte de service. Un jeton OIDC est généralement utilisé, sauf pour les Google APIs hébergées sur *.googleapis.com, car ces API attendent un jeton OAuth. (Utilisez plutôt l'option --oauth-service-account-email pour définir un type de jeton OAuth.)
  • D'autres paramètres facultatifs sont décrits dans la documentation de référence de la ligne de commande gcloud.

Attribuer le rôle d'agent de service Cloud Scheduler

Certains services Google Cloud ont besoin d'accéder à vos ressources pour pouvoir agir en votre nom. Pour répondre à ce besoin, Google Cloud crée et gère des comptes de service appelés agents de service, qui sont créés et auxquels des rôles sont attribués automatiquement lorsque vous activez et utilisez des services Google Cloud.

L'agent de service Cloud Scheduler nécessite le rôle Agent de service Cloud Scheduler (roles/cloudscheduler.serviceAgent). Sans ce rôle, les jobs Cloud Scheduler qui nécessitent l'agent de service (comme les jobs cibles HTTP qui utilisent l'authentification et les jobs cibles Pub/Sub) échouent. Vous pouvez attribuer manuellement le rôle à votre agent de service Cloud Scheduler, dont l'adresse e-mail est au format suivant :

service-PROJECT_NUMBER@gcp-sa-cloudscheduler.

Vous ne devez attribuer le rôle manuellement que si l'une des conditions suivantes est remplie :

  • Vous avez activé l'API Cloud Scheduler avant le 19 mars 2019.
  • Vous avez supprimé le rôle d'agent de service Cloud Scheduler de l'agent de service

Vous pouvez vérifier que l'agent de service Cloud Scheduler est configuré dans votre projet et qu'il dispose du rôle d'agent de service Cloud Scheduler en affichant l'accès actuel de votre projet. Notez que si vous utilisez la console Google Cloud pour afficher l'accès de votre projet, veillez à cocher la case Inclure les attributions de rôles fournies par Google.

Pour savoir comment attribuer un rôle à votre agent de service, consultez Créer et attribuer des rôles aux agents de service.

Étapes suivantes

Découvrez comment vous authentifier auprès de Cloud Scheduler de manière automatisée.