为 Cloud de Confiance 设置 Google Cloud CLI

本指南提供了有关如何设置 Google Cloud CLI (gcloud CLI) 以与 Cloud de Confiance搭配使用的说明。借助 gcloud CLI，您可以通过命令行创建和使用 Cloud de Confiance资源。

如需详细了解如何配置和使用 gcloud CLI，请参阅 Google Cloud CLI 文档。

与 Google Cloud 中的设置的区别

如果您已熟悉如何设置和使用 Google Cloud 的 CLI，请注意以下事项：

• 如本指南中所述，将 gcloud CLI 与 Cloud de Confiance搭配使用需要进行一些额外的初始设置。
• Cloud Shell 在 Cloud de Confiance中不可用。您的本地机器上必须安装 gcloud CLI。
• 无法通过 gcloud init 一步初始化 gcloud CLI。
• 如果某个功能或产品在 Cloud de Confiance中不可用，则相应的 gcloud CLI 命令和参数也会不可用。

准备工作

除了您自己的 Cloud de Confiance登录详细信息之外，您还需要以下信息才能首次设置 gcloud CLI。如果您不是组织的管理员，则您的管理员应向您提供此信息。

• 您组织的工作负载身份池名称。
• 您组织的身份提供方 (IdP)。

安装 gcloud CLI

按照针对您的操作系统的说明安装 gcloud CLI。

创建登录配置文件

如需设置对您的宇宙的访问权限，您需要为 gcloud CLI 创建一个 JSON 配置文件，其中包含 Cloud de Confiance使用的网域以及为组织设置的 IdP。

如需创建登录配置文件，请执行以下操作：

• 运行以下命令：

  gcloud config set universe_domain s3nsapis.fr
  
  AUDIENCE=locations/global/workforcePools/POOL_ID/providers/PROVIDER_ID
  UNIVERSE_WEB_DOMAIN="cloud.s3nscloud.fr"
  UNIVERSE_API_DOMAIN="s3nsapis.fr"
  
  gcloud iam workforce-pools create-login-config \
  $AUDIENCE \
  --universe-cloud-web-domain="$UNIVERSE_WEB_DOMAIN" \
  --universe-domain="$UNIVERSE_API_DOMAIN" \
  --output-file="wif-login-config.json"
  

  替换以下内容：

  • POOL_ID：组织的工作负载身份池的唯一标识符。
  • PROVIDER_ID：您组织的身份提供方 (IdP)。

输出类似于以下内容：

Created login configuration file [wif-login-config.json].

创建配置文件后，只要您是从同一台机器登录，就不需要重复执行此步骤。

使用 gcloud CLI 登录 Cloud de Confiance

现在，您可以在每次需要登录 Cloud de Confiance时使用该配置文件：

• 如需从命令行登录，请运行以下命令：

  gcloud auth login -–login-config=wif-login-config.json
  

• 如果您需要使用应用默认凭证 (ADC)（运行 Terraform 模块时需要使用），请运行以下命令：

  gcloud auth application-default login --login-config=wif-login-config.json
  

系统会打开一个网页，您可以在其中输入登录详细信息进行登录。登录后，您可以继续按照 gcloud CLI 文档的其余部分所述配置和使用 gcloud CLI。

（可选）设置默认属性

设置 gcloud CLI 时，系统会为您提供一个名为 default 的配置，您可以使用该配置来设置提供默认标志值或控制工具行为的属性。虽然是可选操作，但我们建议您在使用该工具之前，先为 gcloud CLI 配置一些默认属性，例如默认项目。如果您不想每次运行命令时都指定项目或首选计算位置，默认属性会非常有用。

以下步骤设置的属性与 gcloud init 为 Google Cloud 用户配置的属性相同：

1. 如需设置默认项目，请运行以下命令，并指定您选择的项目 ID：

   gcloud config set project PROJECT_ID
   

2. 如果您使用 Compute Engine 或 GKE，则某些命令需要您指定计算区域或可用区。如需为命令设置默认区域，请运行以下命令：

   gcloud config set compute/region u-france-east1
   

   如需设置默认可用区，请运行以下命令：

   gcloud config set compute/zone ZONE
   

3. 如需查看当前配置的属性（包括经过身份验证的用户），请运行以下命令：

   gcloud config list
   

如需了解 gcloud CLI 配置的工作方式以及如何创建和使用其他配置，请参阅管理 gcloud CLI 配置。如需详细了解如何指定属性，请参阅管理 gcloud CLI 属性。

（可选）运行命令

运行核心命令以查看有关您的 gcloud CLI 安装的信息：

1. 列出其凭据存储在本地系统上的账号：

   gcloud auth list
   

   gcloud CLI 会显示存储了凭据的账号的列表：

   Credentialed Accounts
   ACTIVE             ACCOUNT
   *                  principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com
   

2. 列出活跃 gcloud CLI 配置中的属性：

   gcloud config list
   

   gcloud CLI 会显示属性列表：

   [core]
   account = principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com
   disable_usage_reporting = False
   project = my-project
   

3. 查看有关 gcloud 命令和其他主题的信息：

   gcloud help
   

   例如，如需查看 gcloud compute instances create 的帮助信息，请运行以下命令：

   gcloud help compute instances create
   

   gcloud CLI 会显示一个帮助主题，其中包含该命令的说明、命令标志和参数的列表以及关于如何使用该命令的示例。

后续步骤

• 如果您是首次设置 Cloud de Confiance组织的管理员，请参阅设置组织，了解如何配置组织。
• 如需详细了解 Google Cloud CLI 的用途，请参阅 Google Cloud CLI 文档
• 如需详细了解如何开始使用 Cloud de Confiance，请参阅 Cloud de Confiance使用入门。