為 Cloud de Confiance 設定 Google Cloud CLI

本指南提供相關操作說明，協助您設定 Google Cloud CLI (gcloud CLI)，以便搭配 Cloud de Confiance使用。您可以使用 gcloud CLI，透過指令列建立及使用資源。 Cloud de Confiance

如要進一步瞭解如何設定及使用 gcloud CLI，請參閱 Google Cloud CLI 說明文件。

與在 Google Cloud 中設定的差異

如果您已熟悉如何透過 Google Cloud 設定及使用 CLI，請注意下列事項：

• 如本指南所述，您需要完成一些額外的初始設定，才能搭配使用 gcloud CLI 與 Cloud de Confiance。
• Cloud Shell 不適用於 Cloud de Confiance。本機必須安裝 gcloud CLI。
• 無法使用 gcloud init 一次完成 gcloud CLI 初始化。
• 如果 Cloud de Confiance不支援某項功能或產品，對應的 gcloud CLI 指令和參數也不會提供。

事前準備

除了 Cloud de Confiance的登入詳細資料外，您還需要下列資訊，才能首次設定 gcloud CLI。如果您不是貴機構的管理員，請向管理員索取這項資訊。

• 貴機構的工作負載身分識別集區名稱。
• 貴機構的身分識別提供者 (IdP)。

安裝 gcloud CLI

按照作業系統的說明安裝 gcloud CLI。

建立登入設定檔

如要設定宇宙的存取權，您需要為 gcloud CLI 建立 JSON 設定檔，包括 Cloud de Confiance使用的網域，以及為貴機構設定的 IdP。

如要建立登入設定檔，請按照下列步驟操作：

• 執行下列指令：

  gcloud config set universe_domain s3nsapis.fr
  
  AUDIENCE=locations/global/workforcePools/POOL_ID/providers/PROVIDER_ID
  UNIVERSE_WEB_DOMAIN="cloud.s3nscloud.fr"
  UNIVERSE_API_DOMAIN="s3nsapis.fr"
  
  gcloud iam workforce-pools create-login-config \
  $AUDIENCE \
  --universe-cloud-web-domain="$UNIVERSE_WEB_DOMAIN" \
  --universe-domain="$UNIVERSE_API_DOMAIN" \
  --output-file="wif-login-config.json"
  

  更改下列內容：

  • POOL_ID：貴機構 workload identity pool 的專屬 ID。
  • PROVIDER_ID：貴機構的識別資訊提供者 (IdP)。

輸出結果會與下列內容相似：

Created login configuration file [wif-login-config.json].

建立設定檔後，只要您是從同一部電腦登入，就不必重複這個步驟。

使用 gcloud CLI 登入 Cloud de Confiance

現在，您每次登入 Cloud de Confiance時，都可以使用設定檔：

• 如要透過指令列登入，請執行下列指令：

  gcloud auth login -–login-config=wif-login-config.json
  

• 如需使用應用程式預設憑證 (ADC) (執行 Terraform 模組時需要)，請執行下列指令：

  gcloud auth application-default login --login-config=wif-login-config.json
  

系統會開啟網頁，供您輸入登入詳細資料。登入後，您就可以按照其餘說明文件所述，設定及使用 gcloud CLI。

(選用) 設定預設屬性

設定 gcloud CLI 時，系統會提供名為 default 的設定，可用於屬性，提供預設旗標值或控管工具的行為。雖然是選用設定，但建議您在使用 gcloud CLI 前，先設定一些預設屬性，例如預設專案。如果您不想在每次執行指令時指定專案或偏好的運算位置，預設屬性就非常實用。

下列步驟會為 Google Cloud 使用者設定與 gcloud init 相同的屬性：

1. 如要設定預設專案，請執行下列指令，並指定所選專案 ID：

   gcloud config set project PROJECT_ID
   

2. 如果您使用 Compute Engine 或 GKE，部分指令會要求您指定運算區域或可用區。如要設定指令的預設區域，請執行下列指令：

   gcloud config set compute/region u-france-east1
   

   如要設定預設可用區，請執行下列指令：

   gcloud config set compute/zone ZONE
   

3. 如要查看目前設定的屬性 (包括已驗證的使用者)，請執行下列指令：

   gcloud config list
   

如要瞭解 gcloud CLI 設定的運作方式，以及如何建立及使用其他設定，請參閱「管理 gcloud CLI 設定」。如要進一步瞭解如何指定屬性，請參閱「管理 gcloud CLI 屬性」。

(選用) 執行指令

執行核心指令，查看 gcloud CLI 安裝作業的相關資訊：

1. 列出將憑證儲存在本機系統中的帳戶：

   gcloud auth list
   

   gcloud CLI 會顯示已通過驗證的帳戶清單：

   Credentialed Accounts
   ACTIVE             ACCOUNT
   *                  principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com
   

2. 列出 gcloud CLI 有效設定中的屬性：

   gcloud config list
   

   gcloud CLI 會顯示屬性清單：

   [core]
   account = principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com
   disable_usage_reporting = False
   project = my-project
   

3. 查看 gcloud 指令和其他主題的相關資訊：

   gcloud help
   

   舉例來說，如要查看 gcloud compute instances create 的說明：

   gcloud help compute instances create
   

   gcloud CLI 會顯示說明主題，其中包含指令說明、指令標記和引數清單，以及指令使用範例。

後續步驟

• 如果您是管理員，第一次設定機構時，請參閱「設定機構」一文，瞭解如何設定機構。 Cloud de Confiance
• 如要進一步瞭解 Google Cloud CLI 的用途，請參閱 Google Cloud CLI 說明文件。
• 如要進一步瞭解如何開始使用 Cloud de Confiance，請參閱「開始使用 Cloud de Confiance」。