Per una panoramica dell'autenticazione in Google, consulta Autenticazione in Google.
Autenticati nelle API di Google
Le API di Google richiedono un token di accesso o una chiave API validi per ogni richiesta. La modalità di fornitura di queste credenziali obbligatorie dipende da dove viene eseguito il codice e dai tipi di credenziali accettati dall'API.
Utilizza le librerie client e le Credenziali predefinite dell'applicazione
Il modo consigliato per utilizzare le API di Google è utilizzare una libreria client e Credenziali predefinite dell'applicazione (ADC).
Credenziali predefinite dell'applicazione (ADC) sono una strategia utilizzata dalle librerie di autenticazione per trovare automaticamente le credenziali in base all'ambiente dell'applicazione. Le librerie di autenticazione rendono queste credenziali disponibili per le librerie client di Cloud e le librerie client delle API di Google. Quando utilizzi ADC, il codice può essere eseguito in un ambiente di sviluppo o di produzione senza modificare il modo in cui l'applicazione si autentica nei servizi e nelle API Cloud de Confiance by S3NS .
La modalità di configurazione di ADC dipende dalla posizione in cui viene eseguito il codice. ADC supporta sia l'autenticazione come service account sia l'autenticazione come utente.
Autenticati da Google Kubernetes Engine (GKE)
Utilizza Workload Identity Federation for GKE per consentire ai tuoi workload in esecuzione su GKE di accedere in modo sicuro alle API di Google. Workload Identity Federation for GKE consente a un account di servizio GKE nel tuo cluster GKE di agire come account di servizio Identity and Access Management (IAM).
Esegui l'autenticazione da Knative serving
Puoi autenticare i tuoi servizi Knative serving utilizzando Workload Identity Federation for GKE, che ti consente di accedere alle API di Google.
Utilizza un'API che accetta chiavi API
Se un'API supporta le chiavi API, è possibile fornire una chiave API con una richiesta anziché il token di accesso. Le chiavi API associano la richiesta a un progetto Cloud de Confiance per scopi di fatturazione e quota.
Per determinare se un'API supporta le chiavi API, consulta la documentazione dell'API.
Utilizza i token web JSON (JWT) autofirmati
Alcune API di Google supportano i token web JSON (JWT) autofirmati anziché i token di accesso. L'utilizzo di un JWT autofirmato ti consente di evitare di effettuare una richiesta di rete al server di autorizzazione di Google. Questo approccio richiede la creazione di un JWT firmato. Per saperne di più sui token, consulta la panoramica dei token.
Utilizza le librerie e i pacchetti di autenticazione
Se ADC e l'implementazione OAuth fornita dalle librerie client di Cloud o dalle librerie client delle API di Google non sono disponibili nel tuo ambiente, puoi utilizzare le librerie e i pacchetti di autenticazione.
Sono disponibili le seguenti librerie e pacchetti di autenticazione:
Puoi anche implementare il flusso OAuth 2.0 utilizzando gli endpoint OAuth 2.0 di Google. Questo approccio richiede una comprensione più dettagliata del funzionamento di OAuth 2.0 e OpenID Connect. Per ulteriori informazioni, consulta l'articolo sull'utilizzo di OAuth 2.0 per applicazioni server web.
Cloud de Confiance casi d'uso specifici per il servizio
Alcuni servizi Cloud de Confiance supportano flussi di autenticazione specifici per quel servizio.
Fornisci l'accesso a tempo limitato a una risorsa Cloud Storage utilizzando gli URL firmati
Gli URL firmati forniscono accesso limitato nel tempo a una risorsa Cloud Storage specifica.
Autenticati nei cluster GKE Enterprise
Puoi autenticarti nei cluster GKE Enterprise utilizzando le identità Cloud de Confiance o un provider di identità di terze parti:
- Autenticati con le identità Cloud de Confiance utilizzando il gateway Connect.
- Esegui l'autenticazione con un provider di identità di terze parti che supporta OIDC o LDAP utilizzando GKE Identity Service.
Configura un'API di cui è stato eseguito il deployment con API Gateway o Cloud Endpoints per l'autenticazione
API Gateway e Cloud Endpoints supportano l'autenticazione service-to-service e l'autenticazione utente con Firebase, token ID firmati da Google, Okta, Auth0 e JWT.
Per informazioni, consulta la documentazione del prodotto:
- Scelta di un metodo di autenticazione per API Gateway
- Scelta di un metodo di autenticazione per Cloud Endpoints
Autenticazione per le applicazioni ospitate su Cloud Run o Cloud Run Functions
Le applicazioni ospitate su Cloud Run e Cloud Run Functions richiedono token ID per l'autenticazione.
Per informazioni su altri modi per acquisire un token ID, consulta Ottieni un token ID. Per saperne di più sui token ID, consulta Token di identità.
Cloud Run
Esistono vari modi per configurare un servizio Cloud Run, a seconda di come verrà richiamato. Potresti anche dover eseguire l'autenticazione ad altri servizi da un servizio Cloud Run, il che richiede un token ID OIDC.
Per autenticare gli utenti nel tuo servizio da un'app web o mobile, utilizza Identity Platform o Firebase Authentication. Puoi anche utilizzare Identity-Aware Proxy (IAP) per autenticare gli utenti interni.
Cloud Run Functions
Quando richiami una funzione, devi autenticare la chiamata. Puoi utilizzare le credenziali utente o un token ID OIDC.
Autentica gli utenti dell'applicazione
Esistono varie opzioni per autenticare gli utenti finali della tua applicazione, a seconda del resto dell'ambiente dell'applicazione. Utilizza le seguenti descrizioni per capire qual è l'opzione più adatta alla tua applicazione.
| Servizio di autenticazione | Descrizione |
|---|---|
| Servizi di identità Google |
Servizi di identità Google include Accedi con Google, il pulsante di accesso utente di Google, nonché le API e l'SDK Servizi di identità. Servizi di identità Google si basa sui protocolli OAuth 2.0 e OpenID Connect (OIDC). Se stai creando un'applicazione mobile e vuoi autenticare gli utenti utilizzando gli account Gmail e Google Workspace, Accedi con Google potrebbe essere una buona opzione. Accedi con Google supporta anche l'utilizzo di Account Google con un sistema di accesso esistente. Ulteriori informazioni Accedi con Google consente di accedere agli account Gmail e Google Workspace e supporta le password monouso (OTP). Accedi con Google è rivolto ad account solo Google o ad Account Google in un sistema di accesso esistente per le applicazioni mobile. Accedi con Google è disponibile per iOS, Android e applicazioni web. |
| Firebase Authentication |
Firebase Authentication fornisce servizi e librerie di autenticazione per autenticare gli utenti nella tua applicazione per un'ampia gamma di tipi di account utente. Se vuoi accettare gli accessi degli utenti da più piattaforme, Firebase Authentication potrebbe essere una buona opzione. Ulteriori informazioni Firebase Authentication fornisce il supporto per l'autenticazione per molti tipi di account utente. Firebase Authentication supporta l'autenticazione con password e l'accesso federato con Google, Facebook, Twitter e altre piattaforme. Firebase Authentication utilizza Identity Platform come backend, ma si rivolge a un pubblico diverso:
Per ulteriori informazioni sulle differenze tra questi prodotti, consulta Differenze tra Identity Platform e Firebase Authentication. I link riportati di seguito forniscono ulteriori informazioni:
|
| Identity Platform |
Identity Platform è una piattaforma di gestione di identità e accessi cliente (GIAC) che consente alle organizzazioni di aggiungere funzionalità per la gestione di identità di livello enterprise alle loro applicazioni. Ulteriori informazioni Identity Platform offre un servizio di autenticazione e identità personalizzabile e integrato per l'accesso e la registrazione degli utenti. Identity Platform supporta diversi metodi di autenticazione: SAML, OIDC, via email/password, social network, telefono e opzioni personalizzate. Firebase Authentication utilizza Identity Platform come backend, ma si rivolge a un pubblico diverso:
Per ulteriori informazioni sulle differenze tra questi prodotti, consulta Differenze tra Identity Platform e Firebase Authentication. |
| OAuth 2.0 e OpenID Connect |
OpenID Connect ti consente di gestire e utilizzare i token di autenticazione con la massima personalizzazione. Se vuoi il massimo controllo sulla tua implementazione di OAuth 2.0 e non hai problemi a implementare i flussi OAuth 2.0, prendi in considerazione questa opzione. Ulteriori informazioni L'implementazione OAuth 2.0 di Google è conforme alla specifica OpenID Connect e ha la certificazione OpenID. OpenID Connect è un livello di identità basato sul protocollo OAuth 2.0. La tua applicazione può utilizzare OpenID Connect per convalidare il token ID e recuperare le informazioni del profilo utente. OAuth 2.0 può essere utilizzato per implementare l'autenticazione programmatica in una risorsa protetta da Identity-Aware Proxy. |
| Identity-Aware Proxy (IAP) |
IAP ti consente di controllare l'accesso alla tua applicazione prima che le richieste raggiungano le risorse dell'applicazione. A differenza degli altri servizi di autenticazione in questa tabella, che vengono implementati all'interno della tua applicazione, IAP esegue l'autenticazione prima che la tua applicazione possa essere raggiunta. Ulteriori informazioni Con IAP, stabilisci un livello di autorizzazione centrale per le applicazioni e utilizzi le intestazioni firmate per proteggere la tua app. Le applicazioni protette da IAP sono accessibili solo dalle entità che dispongono del ruolo IAM corretto. Quando un utente finale tenta di accedere a una risorsa protetta da IAP, IAP esegue i controlli di autenticazione e autorizzazione per te. IAP non protegge dalle attività all'interno di un progetto, ad esempio un altro servizio nello stesso progetto. Per le identità Google, IAP utilizza i token ID. Per saperne di più, consulta Autenticazione programmatica. Per informazioni su come IAP protegge le risorse delle tue applicazioni, consulta la panoramica di IAP. I seguenti tutorial specifici per i linguaggi sono disponibili per IAP: |
| API Users di App Engine | Per le applicazioni in esecuzione nell'ambiente standard App Engine, l'API Users è disponibile per fornire l'autenticazione degli utenti per alcuni linguaggi. |
| Autorizzazione dell'accesso alle risorse degli utenti finali | Se la tua applicazione accede a risorse di proprietà dell'utente finale, devi ottenere l'autorizzazione dell'utente. Questo caso d'uso viene talvolta chiamato OAuth a tre vie o 3LO, perché sono coinvolte tre entità: l'applicazione, il server di autorizzazione e l'utente. |
Opzioni di autenticazione e autorizzazione per Cloud de Confiance e Google Workspace
Cloud de Confiance e Google Workspace offrono varie opzioni per configurare l'accesso, migliorare la sicurezza degli account e amministrarli.
Concedi l'accesso alle risorse Cloud de Confiance per i workload esterni
La federazione delle identità per i workload ti consente di concedere ai workload on-premise o multi-cloud l'accesso alle risorse Cloud de Confiance. In passato, questo caso d'uso richiedeva l'utilizzo di chiavi dei account di servizio, ma la federazione delle identità per i workload evita l'onere di manutenzione e sicurezza legato all'utilizzo delle account di servizio account. La federazione delle identità per i workload supporta i provider di identità compatibili con OIDC o SAML 2.0.
Configura un provider di identità
Puoi utilizzare Google come provider di identità utilizzando Cloud Identity o Google Workspace. Puoi anche federare un account Cloud Identity o Google Workspace con un provider di identità esterno. Questo approccio utilizza SAML, consentendo ai tuoi dipendenti di utilizzare l'identità e le credenziali esistenti per accedere ai servizi Google.
Configura l'autenticazione a due fattori
Richiedere l'autenticazione a due fattori è una best practice che aiuta a impedire ai malintenzionati di accedere a un account quando hanno ottenuto l'accesso alle credenziali di quell'account. Con l'autenticazione a due fattori, prima di autenticare un utente è necessario un secondo dato o documento di identità. Google offre diverse soluzioni che supportano lo standard FIDO (Fast IDentity Online).
Identity Platform supporta l'autenticazione a due fattori per le app web, iOS e Android.
Servizi di identità Google supporta l'autenticazione FIDO (Fast IDentity Online).
Google supporta varie soluzioni hardware per l'autenticazione a due fattori, come i token Titan.
Configura l'accesso basato su certificati
Parte della soluzione Zero Trust di Chrome Enterprise Premium, l'accesso basato su certificato limita l'accesso solo agli utenti autenticati su un dispositivo attendibile, identificando i dispositivi tramite i relativi certificati X.509. L'accesso basato su certificato viene talvolta definito anche mutual Transport Layer Security (mTLS).
Informazioni generali sull'account e sull'autenticazione
Ricevere assistenza per accedere a un Account Google
Se hai bisogno di assistenza per accedere a un Account Google o gestirlo, consulta la pagina di assistenza dell'Account Google.
Gestisci le credenziali compromesse
Se ritieni che le tue credenziali siano state compromesse, tu o il tuo amministratore potete seguire alcuni passaggi per mitigare la situazione. Per ulteriori informazioni, consulta la sezione Gestione delle credenziali Cloud de Confiance by S3NS compromesse.
Ricevi assistenza per i problemi relativi all'autorità di certificazione
Se visualizzi errori relativi a un problema con il certificato o l'autorità di certificazione (CA), inclusa la CA radice, consulta le domande frequenti su Google Trust Services per ulteriori informazioni.