Authentifizierung von verwalteten Arbeitslastidentitäten für Compute Engine konfigurieren

Wenn Sie gegenseitige TLS-Verbindungen (mTLS) zwischen Compute Engine-Arbeitslasten herstellen möchten, können Sie die gcloud CLI verwenden, um verwaltete Arbeitslastidentitäten zu konfigurieren und die automatische Bereitstellung und Lebenszyklusverwaltung von Zertifikaten einzurichten. Für die Zertifikatsausstellung können Sie entweder eine von Google verwaltete Standardzertifizierungsstelle oder eine selbstverwaltete Zertifizierungsstelle mit dem Certificate Authority Service verwenden.

Hinweis

1. Erstellen oder wählen Sie ein Google Cloud -Projekt aus.

   Erforderliche Rollen zum Auswählen oder Erstellen eines Projekts

   • Projekt auswählen: Für die Auswahl eines Projekts ist keine bestimmte IAM-Rolle erforderlich. Sie können jedes Projekt auswählen, für das Ihnen eine Rolle zugewiesen wurde.
   • Projekt erstellen: Zum Erstellen eines Projekts benötigen Sie die Rolle „Project Creator“ (roles/resourcemanager.projectCreator), die die Berechtigung resourcemanager.projects.create enthält. Informationen zum Zuweisen von Rollen

   • Erstellen Sie ein Projekt in Google Cloud :

     gcloud projects create PROJECT_ID

     Ersetzen Sie PROJECT_ID durch einen Namen für das Projekt in Google Cloud , das Sie erstellen.

   • Wählen Sie das von Ihnen erstellte Projekt in Google Cloud aus:

     gcloud config set project PROJECT_ID

     Ersetzen Sie PROJECT_ID durch den Namen Ihres Projekts in Google Cloud .

2. Informieren Sie sich über verwaltete Arbeitslastidentitäten.

3. Informationen zur Zertifikatsausstellung mit dem Certificate Authority Service

4. Compute Engine-Arbeitslasten mit verwalteten Arbeitslastidentitäten authentifizieren

5. Aktivieren Sie die IAM- und Certificate Authority Service-APIs, falls sie noch nicht aktiviert sind:

   Rollen, die zum Aktivieren von APIs erforderlich sind

   Zum Aktivieren von APIs benötigen Sie die Berechtigung serviceusage.services.enable. Wenn Sie das Projekt erstellt haben, haben Sie diese Berechtigung wahrscheinlich bereits über die Inhaberrolle (roles/owner). Andernfalls können Sie diese Berechtigung über die Rolle „Service Usage-Administrator“ (roles/serviceusage.serviceUsageAdmin) erhalten. Informationen zum Zuweisen von Rollen

   gcloud services enable iam.googleapis.com privateca.googleapis.com

6. Konfigurieren Sie die Google Cloud CLI so, dass ein Projekt für die Abrechnung und das Kontingent verwendet wird.

   gcloud config set billing/quota_project PROJECT_ID
   

   Ersetzen Sie PROJECT_ID durch die ID des Projekts.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für das Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Erstellen verwalteter Arbeitslastidentitäten und zum Bereitstellen von Zertifikaten für verwaltete Arbeitslastidentitäten benötigen:

• So erstellen und konfigurieren Sie verwaltete Arbeitslastidentitäten:
  • IAM Workload Identity Pool Admin (roles/iam.workloadIdentityPoolAdmin)
  • Service Account Admin (roles/iam.serviceAccountAdmin)
• Zum Erstellen und Konfigurieren von CA-Pools: CA Service Admin (roles/privateca.admin)

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Alternativ enthält die einfache Rolle „IAM-Inhaber“ (roles/owner) auch Berechtigungen zum Konfigurieren von verwalteten Arbeitslastidentitäten. In einer Produktionsumgebung sollten Sie keine einfachen Rollen zuweisen, Sie können sie aber in einer Entwicklungs- oder Testumgebung gewähren.

Übersicht

Führen Sie die folgenden Aufgaben aus, um verwaltete Arbeitslastidentitäten für Ihre Anwendungen zu verwenden:

1. Sicherheitsadministrator:

   • Erstellen Sie einen Workload Identity-Pool.
   • Zertifizierungsstelle konfigurieren (um eine Zertifizierungsstellenoption auszuwählen, Zertifizierungsstellen zu konfigurieren und den Pool zu aktualisieren).
   • Erstellen Sie verwaltete Arbeitslastidentitäten im Workload Identity-Pool.
   • Definieren Sie eine Attestierungsrichtlinie für Arbeitslasten und erstellen Sie ein Dienstkonto.

2. Compute Administrator:

   Aktivieren Sie verwaltete Arbeitslastidentitäten für Arbeitslasten, die in Compute Engine ausgeführt werden:

   • Für einzelne VMs.
   • Für verwaltete Instanzgruppen (MIGs).

Erstellen Sie einen Workload Identity-Pool.

1. Wenn Sie verwaltete Arbeitslastidentitäten konfigurieren möchten, müssen Sie einen Pool im Modus TRUST_DOMAIN erstellen.

   gcloud iam workload-identity-pools create POOL_ID \
     --location="global" \
     --mode="TRUST_DOMAIN"
   

   Ersetzen Sie POOL_ID durch die eindeutige ID für den Pool. Die ID muss zwischen 4 und 32 Zeichen lang sein, nur kleingeschriebene alphanumerische Zeichen und Bindestriche enthalten und mit einem alphanumerischen Zeichen beginnen und enden. Nachdem Sie einen Workload Identity-Pool erstellt haben, können Sie seine ID nicht mehr ändern.

2. Führen Sie den Befehl workload-identity-pools describe aus, um zu prüfen, ob Ihr Workload Identity-Pool im Modus TRUST_DOMAIN erstellt wurde.

   gcloud iam workload-identity-pools describe POOL_ID \
     --location="global"
   

   Die Ausgabe sieht etwa so aus:

   mode: TRUST_DOMAIN
   name: projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID
   state: ACTIVE
   

   Wenn mode: TRUST_DOMAIN in der Befehlsausgabe nicht vorhanden ist, prüfen Sie, ob Sie die gcloud CLI korrekt konfiguriert haben, um das richtige Projekt für Abrechnung und Kontingent zu verwenden. Prüfen Sie, ob Sie die aktuelle Version der gcloud CLI nutzen.

CA-Option auswählen

Wählen Sie zum Signieren Ihrer Arbeitslastzertifikate die Zertifizierungsstellenoption (CA) aus, die am besten zu Ihrem Anwendungsfall passt:

• Von Google verwaltete Standard-CA: Verwenden Sie diese Option für eine vollständig verwaltete, kostenlose Lösung. Die Standardzertifizierungsstelle bietet eine gemeinsame Root of Trust für alleGoogle Cloud -Nutzer.

• Benutzerdefinierte Zertifizierungsstelle: Verwenden Sie diese Option, um Ihre eigene Public-Key-Infrastruktur (PKI) über den Certificate Authority Service zu konfigurieren. Diese Option ist geeignet, wenn Sie eine benutzerdefinierte Root of Trust benötigen oder Signaturschlüssel in einem Hardware Security Module (HSM) speichern müssen, um Compliance-Anforderungen zu erfüllen. Der Certificate Authority Service wird separat von der verwalteten Arbeitslastidentität in Rechnung gestellt. Weitere Informationen finden Sie unter CA Service – Preise.

Zertifizierungsstelle konfigurieren

gcloud iam workload-identity-pools update TRUST_DOMAIN_NAME \
    --location="global" \
    --use-default-shared-ca \
    --project=PROJECT_ID

Verwaltete Arbeitslastidentitäten erstellen

Verwaltete Arbeitslastidentitäten ermöglichen Google Cloud , automatisch Anmeldedaten für Identitäten des Workload Identity-Pools für Ihre Arbeitslasten bereitzustellen. Workload Identities werden in einem Workload Identity-Pool definiert und in administrativen Grenzen, sogenannten Namespaces, organisiert.

Namespace erstellen

Mit dem Befehl workload-identity-pools namespaces create können Sie einen Namespace in einem Workload Identity-Pool erstellen.

gcloud iam workload-identity-pools namespaces create NAMESPACE_ID \
    --workload-identity-pool="POOL_ID" \
    --location="global"

Ersetzen Sie Folgendes:

• NAMESPACE_ID: die eindeutige ID des Namespace. Die ID muss zwischen 2 und 63 Zeichen lang sein, nur kleingeschriebene alphanumerische Zeichen und Bindestriche enthalten und mit einem alphanumerischen Zeichen beginnen und enden. Nachdem Sie einen Namespace erstellt haben, können Sie seine ID nicht mehr ändern.
• POOL_ID: die ID des Workload Identity-Pools, die Sie zuvor erstellt haben.

Verwaltete Arbeitslastidentität erstellen

Mit dem Befehl workload-identity-pools managed-identities create können Sie eine verwaltete Arbeitslastidentität in einem Namespace eines Workload Identity-Pools erstellen.

gcloud iam workload-identity-pools managed-identities create MANAGED_IDENTITY_ID \
    --namespace="NAMESPACE_ID" \
    --workload-identity-pool="POOL_ID" \
    --location="global"

Ersetzen Sie Folgendes:

• MANAGED_IDENTITY_ID: die eindeutige ID für die verwaltete Identität. Die ID muss zwischen 2 und 63 Zeichen lang sein, nur kleingeschriebene alphanumerische Zeichen und Bindestriche enthalten und mit einem alphanumerischen Zeichen beginnen und enden. Nachdem Sie eine verwaltete Arbeitslastidentität erstellt haben, können Sie ihre ID nicht mehr ändern.
• NAMESPACE_ID: die Namespace-ID, die Sie zuvor erstellt haben.
• POOL_ID: die ID des Workload Identity-Pools, die Sie zuvor erstellt haben.

Die ID Ihrer verwalteten Arbeitslastidentität ist die SPIFFE-ID, die so formatiert ist:

spiffe://POOL_ID.global.PROJECT_NUMBER.workload.id.goog/ns/NAMESPACE_ID/sa/MANAGED_IDENTITY_ID

Richtlinie zur Arbeitslastattestierung definieren

In diesem Abschnitt wird beschrieben, wie Sie eine Attestierungsrichtlinie einrichten. Diese Richtlinie bestimmt, welche Attribute von Google Cloud IAM verwendet werden, um die Identität der Arbeitslast zu überprüfen. Nach der Überprüfung kann die aufrufende Arbeitslast ein Berechtigungsnachweis erhalten.

Die Überprüfung basiert auf einem der folgenden Attribute der Arbeitslast:

• E-Mail-Adresse des angehängten Dienstkontos
• UID des angehängten Dienstkontos
• Name der VM-Instanz
• VM-Instanz-ID

Richtlinie zur Arbeitslastattestierung mit Attestierungsregeln definieren

So erstellen Sie eine Attestierungsrichtlinie, mit der Ihre Arbeitslast die verwaltete Identität verwenden kann:

1. Entscheiden Sie, ob Sie eine Attestierungsrichtlinie erstellen möchten, mit der Ihre Arbeitslast die verwaltete Identität mithilfe des angehängten Dienstkontos, des Instanznamens oder der Instanz-ID attestieren kann.

2. Erstellen Sie eine JSON-formatierte Attestierungsrichtliniendatei.

   1. Optional: Wenn Sie X.509-Anmeldedaten auf Ihrer Compute Engine-Instanz erhalten möchten, müssen Sie ein angehängtes Dienstkonto aktivieren. Wir empfehlen, ein neues Dienstkonto an Ihre Arbeitslast anzuhängen. Erstellen Sie es zuerst mit dem folgenden Befehl:

      gcloud iam service-accounts create SERVICE_ACCOUNT_NAME
      

      Ersetzen Sie SERVICE_ACCOUNT_NAME durch den Namen des Dienstkontos.

   2. Erstellen Sie eine JSON-formatierte Attestierungsrichtliniendatei, die auf der E-Mail-Adresse des Dienstkontos, der Dienstkonto-UID, dem Instanznamen oder der Instanz-ID basiert.

      E-Mail-Adresse des Dienstkontos

      So erstellen Sie eine Attestierungsrichtliniendatei, die auf der E-Mail-Adresse des Dienstkontos basiert: Erstellen Sie eine Datei mit folgendem Inhalt:

      {
         "attestationRules": [
            {
               "googleCloudResource": "//compute.googleapis.com/projects/WORKLOAD_PROJECT_NUMBER/type/Instance/attached_service_account.email/SERVICE_ACCOUNT_EMAIL"
            }
         ],
      }
      

      Ersetzen Sie Folgendes:

      • WORKLOAD_PROJECT_NUMBER: die Nummer des Projekts, das die VM-Instanz oder das Dienstkonto enthält

        Führen Sie den folgenden Befehl aus, um die Projektnummer des Projekts abzurufen, das die verwaltete Identität oder das Dienstkonto enthält, das Sie gerade erstellt haben:

        gcloud projects describe $(gcloud config get-value project) \
          --format="value(projectNumber)"
        

      • SERVICE_ACCOUNT_EMAIL: die E-Mail-Adresse des Dienstkontos, das an die VM angehängt ist.

      Dienstkonto-UID

      Wenn Sie eine Attestierungsrichtliniendatei erstellen möchten, die auf der UID des Dienstkontos basiert, erstellen Sie eine Datei mit folgendem Inhalt:

      {
         "attestationRules": [
            {
               "googleCloudResource": "//compute.googleapis.com/projects/WORKLOAD_PROJECT_NUMBER/type/Instance/attached_service_account.uid/SERVICE_ACCOUNT_UID"
            }
         ],
      }
      

      Ersetzen Sie Folgendes:

      • WORKLOAD_PROJECT_NUMBER: die Nummer des Projekts, das die VM-Instanz oder das Dienstkonto enthält

        Führen Sie den folgenden Befehl aus, um die Projektnummer des Projekts abzurufen, das die verwaltete Identität oder das Dienstkonto enthält, die Sie gerade erstellt haben:

        gcloud projects describe $(gcloud config get-value project) \
          --format="value(projectNumber)"
        

      • SERVICE_ACCOUNT_UID: die UID des Dienstkontos, das an die VM angehängt ist

      Führen Sie den folgenden Befehl aus, um die eindeutige ID des Dienstkontos abzurufen:

         gcloud iam service-accounts describe SERVICE_ACCOUNT_EMAIL\
            --format="value(uniqueId)"
      

      Instanzname

      Erstellen Sie eine Datei mit folgendem Inhalt, um eine Attestierungsrichtliniendatei zu erstellen, die auf dem Instanznamen basiert:

      {
         "attestationRules": [
            {
               "googleCloudResource": "//compute.googleapis.com/projects/WORKLOAD_PROJECT_NUMBER/name/zones/ZONE/instances/INSTANCE_NAME"
            }
         ],
      }
      

      Ersetzen Sie Folgendes:

      • WORKLOAD_PROJECT_NUMBER: die Nummer des Projekts, das die VM-Instanz oder das Dienstkonto enthält

        Führen Sie den folgenden Befehl aus, um die Projektnummer des Projekts abzurufen, das die verwaltete Identität oder das Dienstkonto enthält, das Sie gerade erstellt haben:

        gcloud projects describe $(gcloud config get-value project) \
          --format="value(projectNumber)"
        

      • ZONE: die Compute Engine-VM-Zone

      • INSTANCE_NAME: der Name einer neuen oder vorhandenen Compute Engine-VM-Instanz

      Instanz-ID

      Wenn Sie eine Attestierungsrichtliniendatei erstellen möchten, die auf der Instanz-ID basiert, erstellen Sie eine Datei mit folgendem Inhalt:

      {
         "attestationRules": [
            {
               "googleCloudResource": "//compute.googleapis.com/projects/WORKLOAD_PROJECT_NUMBER/uid/zones/ZONE/instances/INSTANCE_ID"
            }
         ],
      }
      

      Ersetzen Sie Folgendes:

      • WORKLOAD_PROJECT_NUMBER: die Nummer des Projekts, das die VM-Instanz oder das Dienstkonto enthält

        Führen Sie den folgenden Befehl aus, um die Projektnummer des Projekts abzurufen, das die verwaltete Identität oder das Dienstkonto enthält, das Sie gerade erstellt haben:

        gcloud projects describe $(gcloud config get-value project) \
          --format="value(projectNumber)"
        

      • INSTANCE_ID: die Compute Engine-VM-Instanz-ID

        Der Wert für eine Instanz-ID muss von einer vorhandenen Compute Engine-Instanz stammen. Führen Sie den folgenden Befehl aus, um Ihre Instanz-ID abzurufen:

        gcloud compute instances describe INSTANCE_NAME --zone=ZONE --format="get(id)"
        

      • INSTANCE_NAME: der Name der Compute Engine-VM-Instanz

      • ZONE: die Compute Engine-VM-Zone

3. Erstellen Sie die Attestierungsrichtlinie mit der JSON-Richtliniendatei, die Sie zuvor in diesem Dokument erstellt haben:

   gcloud iam workload-identity-pools managed-identities set-attestation-rules MANAGED_IDENTITY_ID \
      --namespace=NAMESPACE_ID \
      --workload-identity-pool=POOL_ID \
      --policy-file=PATH_TO_POLICY_JSON_FILE \
      --location=global
   

   Ersetzen Sie Folgendes:

   • MANAGED_IDENTITY_ID: die eindeutige ID für die verwaltete Identität. Die ID muss zwischen 2 und 63 Zeichen lang sein, nur kleingeschriebene alphanumerische Zeichen und Bindestriche enthalten und mit einem alphanumerischen Zeichen beginnen und enden. Nachdem Sie eine verwaltete Arbeitslastidentität erstellt haben, können Sie ihre ID nicht mehr ändern.
   • NAMESPACE_ID: die Namespace-ID, die Sie zuvor erstellt haben.
   • POOL_ID: die ID des Workload Identity-Pools, die Sie zuvor erstellt haben.
   • PATH_TO_POLICY_JSON_FILE: Pfad zur JSON-Datei, die die zuvor erstellte Attestierungsrichtlinie darstellt.

   Sie können die Richtlinie auch aktualisieren, indem Sie Attestierungsregeln einzeln hinzufügen oder entfernen. Führen Sie den folgenden Befehl aus, um Ihrer Attestierungsrichtlinie eine Attestierung hinzuzufügen:

   gcloud iam workload-identity-pools managed-identities add-attestation-rule MANAGED_IDENTITY_ID \
      --namespace=NAMESPACE_ID \
      --workload-identity-pool=POOL_ID \
      --google-cloud-resource='//compute.googleapis.com/projects/WORKLOAD_PROJECT_NUMBER/type/Instance/attached_service_account.uid/SERVICE_ACCOUNT_UID' \
      --location=global
   

4. Führen Sie die folgenden Befehle aus, um zu erfahren, wie Sie die Attestierungsregeln auflisten oder entfernen:

   gcloud iam workload-identity-pools managed-identities list-attestation-rules --help
   gcloud iam workload-identity-pools managed-identities remove-attestation-rule --help
   

Optional: Vertrauensföderation zwischen Workload Identity-Pools aktivieren

Wenn Sie die gegenseitige Authentifizierung für Arbeitslasten in verschiedenen Vertrauensdomänen aktivieren möchten, können Sie die Vertrauensföderation konfigurieren.

1. Erstellen Sie eine trust-config.yaml-Datei mit folgendem Inhalt:

   inlineTrustConfig:
   additionalTrustBundles:
     POOL_ID.global.PROJECT_NUMBER.workload.id.goog:
        trustAnchors:
        - pemCertificate: "-----BEGIN CERTIFICATE-----\nPEM_ENCODED_CERTIFICATE\n-----END CERTIFICATE-----"

   Ersetzen Sie in der Datei Folgendes:

   • POOL_ID: Die ID des Workload Identity-Pools, mit dem Sie eine Föderation herstellen möchten.
   • PROJECT_NUMBER: Die Projektnummer des Workload Identity-Pools, mit dem Sie eine Föderation herstellen möchten.
   • PEM_ENCODED_CERTIFICATE: Das PEM-codierte Stamm-CA-Zertifikat des Workload Identity-Pools, mit dem Sie eine Föderation herstellen möchten.

2. Führen Sie den folgenden Befehl aus, um den Workload Identity-Pool mit der Vertrauenskonfiguration zu aktualisieren:

   gcloud iam workload-identity-pools update POOL_ID \
     --location="global" \
     --inline-trust-config-file=TRUST_CONFIG_FILE
   

   Ersetzen Sie Folgendes:

   • POOL_ID: die eindeutige ID des Pools.
   • TRUST_CONFIG_FILE: der Pfad zur Datei trust-config.yaml.

Nächste Schritte

• Fehlerbehebung bei der Authentifizierung von verwalteten Arbeitslastidentitäten für Compute Engine
• Authentifizierung von Arbeitslast zu Arbeitslast mit mTLS konfigurieren
• Load Balancing mit Backend-mTLS mithilfe einer verwalteten Arbeitslastidentität einrichten
• Weitere Informationen zum Erstellen von CA-Pools.