Configurar la federación de identidades de cargas de trabajo con máquinas virtuales de AWS o Azure

En esta guía se describe cómo usar la federación de identidades de carga de trabajo para permitir que las cargas de trabajo de máquinas virtuales de AWS y Azure se autentiquen en Trusted Cloud by S3NS sin una clave de cuenta de servicio.

Si usas Amazon Elastic Kubernetes Service (Amazon EKS) o Azure Kubernetes Service (AKS), consulta Configurar la federación de identidades de cargas de trabajo con Kubernetes para saber cómo configurar la federación de identidades de cargas de trabajo en tus clústeres. En esta página solo se explica cómo configurar la federación de identidades de cargas de trabajo para máquinas virtuales de AWS y Azure.

Al usar la federación de identidades de cargas de trabajo, las cargas de trabajo que se ejecutan en AWS EC2 y en máquinas virtuales de Azure pueden intercambiar sus credenciales específicas del entorno por tokens deTrusted Cloud Security Token Service de corta duración.

Las credenciales específicas del entorno incluyen lo siguiente:

• Las instancias de AWS EC2 pueden usar perfiles de instancia para solicitar credenciales temporales.
• Las VMs de Azure pueden usar identidades gestionadas para obtener tokens de acceso de Azure.

Si configuras la federación de identidades de cargas de trabajo, puedes permitir que estas cargas de trabajo intercambien estas credenciales específicas del entorno porTrusted Cloud credenciales de corta duración. Las cargas de trabajo pueden usar estas credenciales de corta duración para acceder a las APIs de Trusted Cloud .

Antes de empezar

• Configura la autenticación.

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Trusted Cloud console to access Trusted Cloud by S3NS services and APIs, you don't need to set up authentication.

  gcloud

  Instala Google Cloud CLI y, a continuación, inicia sesión en gcloud CLI con tu identidad federada. Después de iniciar sesión, inicializa la CLI de Google Cloud ejecutando el siguiente comando:

  gcloud init

  Python

  Para usar las Python muestras de esta página en un entorno de desarrollo local, instala e inicializa la CLI de gcloud y, a continuación, configura las credenciales predeterminadas de la aplicación con tus credenciales de usuario.

  Instala Google Cloud CLI y, a continuación, inicia sesión en gcloud CLI con tu identidad federada.

  Create local authentication credentials for your user account:

  gcloud auth application-default login

  If an authentication error is returned, and you are using an external identity provider (IdP), confirm that you have signed in to the gcloud CLI with your federated identity.

  Para obtener más información, consulta Configurar ADC en un entorno de desarrollo local en la documentación de autenticación. Trusted Cloud

Preparar tu proveedor de identidades externo

Solo tienes que seguir estos pasos una vez por cada inquilino de Microsoft Entra ID o cuenta de AWS.

Configurar la federación de identidades de cargas de trabajo

Solo tienes que seguir estos pasos una vez por cada cuenta de AWS o inquilino de Microsoft Entra ID. Después, puedes usar el mismo grupo y proveedor de identidades de carga de trabajo en varias cargas de trabajo y en varios proyectos. Trusted Cloud

Para empezar a configurar la federación de identidades de cargas de trabajo, haz lo siguiente:

1. In the Trusted Cloud console, go to the project selector page.

   Go to project selector

2. Select or create a Trusted Cloud project.

Lo más recomendable es usar un proyecto específico para gestionar los grupos y proveedores de Workload Identity.

Verify that billing is enabled for your Trusted Cloud project.

Enable the IAM, Resource Manager, Service Account Credentials, and Security Token Service APIs.

Enable the APIs

Definir una asignación de atributos y una condición

Las credenciales específicas del entorno de tu carga de trabajo de AWS o Azure contienen varios atributos, y debes decidir qué atributo quieres usar como identificador de asunto (google.subject) en Trusted Cloud.

Trusted Cloud usa el identificador de asunto en los registros de auditoría de Cloud y en los identificadores de entidad principal para identificar de forma única a un usuario o un rol de AWS o Azure.

Si quiere, puede mapear atributos adicionales. Después, puede hacer referencia a estos atributos adicionales al conceder acceso a los recursos.

google.subject=assertion.arn
attribute.account=assertion.account
attribute.aws_role=assertion.arn.extract('assumed-role/{role}/')
attribute.aws_ec2_instance=assertion.arn.extract('assumed-role/{role_and_session}').extract('/{session}')

google.subject=assertion.sub

google.subject=assertion.sub.extract('/eid1/c/pub/t/{sub_claim}')

También puede definir una condición de atributo. Las condiciones de los atributos son expresiones CEL que pueden comprobar los atributos de aserción y los atributos de destino. Si el atributo de condición se evalúa como true para una credencial determinada, se acepta la credencial. De lo contrario, se rechaza la credencial.

assertion.arn.startsWith('arn:aws:sts::AWS_ACCOUNT_ID:assumed-role/')

Crear el grupo y el proveedor de identidades de carga de trabajo

Ya has recopilado toda la información que necesitas para crear un grupo y un proveedor de identidades de carga de trabajo:

Autenticar una carga de trabajo

Debes seguir estos pasos una vez por carga de trabajo.

Permitir que tu carga de trabajo externa acceda a los recursos de Trusted Cloud

Para proporcionar a tu carga de trabajo acceso a los recursos de Trusted Cloud , te recomendamos que concedas acceso directo a los recursos a la entidad principal. En este caso, el principal es el usuario federado. Algunos Trusted Cloud productos tienen limitaciones en la API de Google Cloud. Si tu carga de trabajo llama a un endpoint de API que tiene una limitación, puedes usar la suplantación de identidad de la cuenta de servicio. En este caso, el principal es laTrusted Cloud cuenta de servicio, que actúa como identidad. Concede acceso a la cuenta de servicio en el recurso.

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE"

Descargar o crear una configuración de credenciales

Las bibliotecas de cliente de Cloud, la CLI de gcloud y Terraform pueden obtener automáticamente credenciales externas y usarlas para suplantar una cuenta de servicio. Para que las bibliotecas y las herramientas puedan completar este proceso, debes proporcionar un archivo de configuración de credenciales. Este archivo define lo siguiente:

• Dónde obtener las credenciales externas
• Qué grupo y proveedor de identidades de carga de trabajo se deben usar
• Cuenta de servicio cuya identidad se va a usar

Para crear un archivo de configuración de credenciales, sigue estos pasos:

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/PROVIDER_ID \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --service-account-token-lifetime-seconds=SERVICE_ACCOUNT_TOKEN_LIFETIME \
    --aws \
    --output-file=FILEPATH.json

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/PROVIDER_ID \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --aws \
    --enable-imdsv2 \
    --output-file=FILEPATH.json

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/PROVIDER_ID \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --service-account-token-lifetime-seconds=SERVICE_ACCOUNT_TOKEN_LIFETIME \
    --azure \
    --app-id-uri APPLICATION_ID_URI \
    --output-file=FILEPATH.json

Usar la configuración de credenciales para acceder a Trusted Cloud

Para permitir que las herramientas y las bibliotecas de cliente usen tu configuración de credenciales, haz lo siguiente en tu entorno de AWS o Azure:

1. Inicializa una variable de entorno GOOGLE_APPLICATION_CREDENTIALS y dirígela al archivo de configuración de la credencial:

   Bash

     export GOOGLE_APPLICATION_CREDENTIALS=`pwd`/FILEPATH.json
     

   donde FILEPATH es la ruta relativa al archivo de configuración de las credenciales.

   PowerShell

     $env:GOOGLE_APPLICATION_CREDENTIALS = Resolve-Path 'FILEPATH.json'
     

   donde FILEPATH es la ruta relativa al archivo de configuración de las credenciales.

2. Usa una biblioteca o herramienta de cliente que admita la federación de identidades de cargas de trabajo y que pueda encontrar credenciales automáticamente:

   C++

   Las Trusted Cloud bibliotecas de cliente de C++ admiten Workload Identity Federation desde la versión v2.6.0. Para usar la federación de identidades de cargas de trabajo, debes compilar las bibliotecas de cliente con la versión 1.36.0 o una posterior de gRPC.

   Go

   Las bibliotecas de cliente de Go admiten la federación de identidades de carga de trabajo si usan la versión v0.0.0-20210218202405-ba52d332ba99 o una posterior del módulo golang.org/x/oauth2.

   Para comprobar qué versión de este módulo usa tu biblioteca de cliente, ejecuta los siguientes comandos:

   cd $GOPATH/src/cloud.google.com/go
   go list -m golang.org/x/oauth2
   

   Java

   Las bibliotecas de cliente de Java admiten la federación de identidades de cargas de trabajo si usan la versión 0.24.0 o posterior del artefacto com.google.auth:google-auth-library-oauth2-http.

   Para comprobar qué versión de este artefacto usa tu biblioteca de cliente, ejecuta el siguiente comando de Maven en el directorio de tu aplicación:

   mvn dependency:list -DincludeArtifactIds=google-auth-library-oauth2-http
   

   Node.js

   Las bibliotecas de cliente de Node.js admiten la federación de identidades de carga de trabajo si usan la versión 7.0.2 o una posterior del paquete google-auth-library.

   Para comprobar qué versión de este paquete usa tu biblioteca de cliente, ejecuta el siguiente comando en el directorio de tu aplicación:

   npm list google-auth-library
   

   Cuando creas un objeto GoogleAuth, puedes especificar un ID de proyecto o permitir que GoogleAuth lo encuentre automáticamente. Para encontrar el ID del proyecto automáticamente, la cuenta de servicio del archivo de configuración debe tener el rol de navegador (roles/browser) o un rol con permisos equivalentes en tu proyecto. Para obtener más información, consulta la README del paquete google-auth-library.

   Python

   Las bibliotecas de cliente de Python admiten la federación de identidades de carga de trabajo si usan la versión 1.27.0 o una posterior del paquete google-auth.

   Para comprobar qué versión de este paquete usa tu biblioteca de cliente, ejecuta el siguiente comando en el entorno en el que está instalado el paquete:

   pip show google-auth
   

   Para especificar un ID de proyecto para el cliente de autenticación, puedes definir la variable de entorno GOOGLE_CLOUD_PROJECT o permitir que el cliente busque el ID de proyecto automáticamente. Para encontrar el ID de proyecto automáticamente, la cuenta de servicio del archivo de configuración debe tener el rol de navegador (roles/browser) o un rol con permisos equivalentes en tu proyecto. Para obtener más información, consulta la guía de usuario del paquete google-auth.

   gcloud

   Para autenticarte con la federación de identidades de cargas de trabajo, usa el comando gcloud auth login:

   gcloud auth login --cred-file=FILEPATH.json
   

   Sustituye FILEPATH por la ruta del archivo de configuración de credenciales.

   La compatibilidad con Workload Identity Federation en la CLI de gcloud está disponible en la versión 363.0.0 y en versiones posteriores de la CLI de gcloud.

   Terraform

   El proveedorTrusted Cloud admite la federación de identidades de cargas de trabajo si usas la versión 3.61.0 o una posterior:

   terraform {
     required_providers {
       google = {
         source  = "hashicorp/google"
         version = "~> 3.61.0"
       }
     }
   }
   

   bq

   Para autenticarte mediante la federación de identidades de cargas de trabajo, usa el comando gcloud auth login, como se indica a continuación:

   gcloud auth login --cred-file=FILEPATH.json
   

   Sustituye FILEPATH por la ruta del archivo de configuración de credenciales.

   La federación de identidades de carga de trabajo en bq está disponible en la versión 390.0.0 y en versiones posteriores de la CLI de gcloud.

   Si no puedes usar una biblioteca de cliente que admita la federación de identidades de carga de trabajo, puedes autenticarte de forma programática mediante la API REST.

Situaciones avanzadas

Autenticar una carga de trabajo mediante la API REST

Si no puedes usar las bibliotecas de cliente, sigue estos pasos para permitir que una carga de trabajo externa obtenga un token de acceso de corta duración mediante la API REST:

1. Obtén las credenciales de tu proveedor de identidades externo:

   AWS

   Crea un documento JSON que contenga la información que normalmente incluirías en una solicitud al endpoint GetCallerIdentity() de AWS, incluida una firma de solicitud válida.

   Workload Identity Federation se refiere a este documento JSON como un token GetCallerIdentity. El token permite que la federación de identidades de cargas de trabajo verifique la identidad sin revelar la clave de acceso secreta de AWS.

   Un token GetCallerIdentity tiene un aspecto similar al siguiente:

   {
     "url": "https://sts.amazonaws.com?Action=GetCallerIdentity&Version=2011-06-15",
     "method": "POST",
     "headers": [
       {
         "key": "Authorization",
         "value" : "AWS4-HMAC-SHA256 Credential=AKIASOZTBDV4D7ABCDEDF/20200228/us-east-1/sts/aws4_request, SignedHeaders=host;x-amz-date,Signature=abcedefdfedfd"
       },
       {
         "key": "host",
         "value": "sts.amazonaws.com"
       },
       {
         "key": "x-amz-date",
         "value": "20200228T225005Z"
       },
       {
         "key": "x-goog-cloud-target-resource",
         "value": "//iam.googleapis.com/projects/12345678/locations/global/workloadIdentityPools/my-pool/providers/my-aws-provider"
       },
       {
         "key": "x-amz-security-token",
         "value": "GizFWJTqYX...xJ55YoJ8E9HNU="
       }
     ]
   }
   

   El token contiene los siguientes campos:

   • url: URL del endpoint de AWS STS para GetCallerIdentity(), con el cuerpo de una solicitud GetCallerIdentity() estándar añadida como parámetros de consulta. Por ejemplo, https://sts.amazonaws.com?Action=GetCallerIdentity&Version=2011-06-15. Te recomendamos que uses endpoints de STS regionales y diseñes una infraestructura fiable para tus cargas de trabajo. Para obtener más información, consulta Puntos de conexión regionales de AWS STS.
   • method: el método de solicitud HTTP: POST.
   • headers: los encabezados de la solicitud HTTP, que deben incluir lo siguiente:
     • Authorization: la firma de la solicitud.
     • host: el nombre de host del campo url. Por ejemplo, sts.amazonaws.com.
     • x-amz-date: la hora a la que enviarás la solicitud, con el formato de cadena ISO 8601 básico. Este valor suele ser la hora actual y se usa para evitar ataques de repetición.
     • x-goog-cloud-target-resource: el nombre completo del recurso del proveedor de identidades sin el prefijo https:. Por ejemplo:

       //iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/PROVIDER_ID
       

     • x-amz-security-token: token de sesión. Solo es obligatorio si usas credenciales de seguridad temporales.

   En el siguiente ejemplo se crea un token GetCallerIdentity codificado como URL. Extrae el token codificado como URL para usarlo más adelante. También crea un token legible por humanos solo para tu referencia:

   import json
   import urllib
   
   import boto3
   from botocore.auth import SigV4Auth
   from botocore.awsrequest import AWSRequest
   
   
   def create_token_aws(project_number: str, pool_id: str, provider_id: str) -> None:
       # Prepare a GetCallerIdentity request.
       request = AWSRequest(
           method="POST",
           url="https://sts.amazonaws.com/?Action=GetCallerIdentity&Version=2011-06-15",
           headers={
               "Host": "sts.amazonaws.com",
               "x-goog-cloud-target-resource": f"//iam.googleapis.com/projects/{project_number}/locations/global/workloadIdentityPools/{pool_id}/providers/{provider_id}",
           },
       )
   
       # Set the session credentials and Sign the request.
       # get_credentials loads the required credentials as environment variables.
       # Refer:
       # https://boto3.amazonaws.com/v1/documentation/api/latest/guide/credentials.html
       SigV4Auth(boto3.Session().get_credentials(), "sts", "us-east-1").add_auth(request)
   
       # Create token from signed request.
       token = {"url": request.url, "method": request.method, "headers": []}
       for key, value in request.headers.items():
           token["headers"].append({"key": key, "value": value})
   
       # The token lets workload identity federation verify the identity without revealing the AWS secret access key.
       print("Token:\n%s" % json.dumps(token, indent=2, sort_keys=True))
       print("URL encoded token:\n%s" % urllib.parse.quote(json.dumps(token)))
   
   
   def main() -> None:
       # TODO(Developer): Replace the below credentials.
       # project_number: Google Project number (not the project id)
       project_number = "my-project-number"
       pool_id = "my-pool-id"
       provider_id = "my-provider-id"
   
       create_token_aws(project_number, pool_id, provider_id)
   
   
   if __name__ == "__main__":
       main()

   Inicializa las siguientes variables:

   Bash

   SUBJECT_TOKEN_TYPE="urn:ietf:params:aws:token-type:aws4_request"
   SUBJECT_TOKEN=TOKEN
   

   PowerShell

   $SubjectTokenType = "urn:ietf:params:aws:token-type:aws4_request"
   $SubjectToken = "TOKEN"
   

   Donde TOKEN es el token codificado como URL GetCallerIdentity que ha generado la secuencia de comandos.

   Azure

   Conéctate a una máquina virtual de Azure que tenga una identidad gestionada asignada y obtén un token de acceso del servicio de metadatos de instancias de Azure (IMDS):

   Bash

   SUBJECT_TOKEN_TYPE="urn:ietf:params:oauth:token-type:jwt"
   SUBJECT_TOKEN=$(curl \
     "http://169.254.169.254/metadata/identity/oauth2/token?resource=APP_ID_URI&api-version=2018-02-01" \
     -H "Metadata: true" | jq -r .access_token)
   echo $SUBJECT_TOKEN
   

   Este comando usa la herramienta jq. jq está disponible de forma predeterminada en Cloud Shell.

   PowerShell

   $SubjectTokenType = "urn:ietf:params:oauth:token-type:jwt"
   $SubjectToken = (Invoke-RestMethod `
     -Uri "http://169.254.169.254/metadata/identity/oauth2/token?resource=APP_ID_URI&api-version=2018-02-01" `
     -Headers @{Metadata="true"}).access_token
   Write-Host $SubjectToken
   

   Donde APP_ID_URI es el URI del ID de aplicación de la aplicación que has configurado para la federación de identidades de cargas de trabajo.

2. Usa la API Security Token Service para intercambiar la credencial por un token de acceso de corta duración:

   Bash

   STS_TOKEN=$(curl https://sts.googleapis.com/v1/token \
       --data-urlencode "audience=//iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/PROVIDER_ID" \
       --data-urlencode "grant_type=urn:ietf:params:oauth:grant-type:token-exchange" \
       --data-urlencode "requested_token_type=urn:ietf:params:oauth:token-type:access_token" \
       --data-urlencode "scope=https://www.googleapis.com/auth/cloud-platform" \
       --data-urlencode "subject_token_type=$SUBJECT_TOKEN_TYPE" \
       --data-urlencode "subject_token=$SUBJECT_TOKEN" | jq -r .access_token)
   echo $STS_TOKEN
   

   PowerShell

   [System.Net.ServicePointManager]::SecurityProtocol = [System.Net.SecurityProtocolType]::Tls12
   $StsToken = (Invoke-RestMethod `
       -Method POST `
       -Uri "https://sts.googleapis.com/v1/token" `
       -ContentType "application/json" `
       -Body (@{
           "audience"           = "//iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/PROVIDER_ID"
           "grantType"          = "urn:ietf:params:oauth:grant-type:token-exchange"
           "requestedTokenType" = "urn:ietf:params:oauth:token-type:access_token"
           "scope"              = "https://www.googleapis.com/auth/cloud-platform"
           "subjectTokenType"   = $SubjectTokenType
           "subjectToken"       = $SubjectToken
       } | ConvertTo-Json)).access_token
   Write-Host $StsToken
   

   Sustituye los siguientes valores:

   • PROJECT_NUMBER: número de proyecto del proyecto que contiene el grupo de identidades de carga de trabajo.
   • POOL_ID: ID del grupo de identidades de carga de trabajo
   • PROVIDER_ID: ID del proveedor de grupos de identidades de carga de trabajo

3. Si usas la suplantación de identidad de una cuenta de servicio, usa el token del servicio de tokens de seguridad para invocar el método generateAccessToken de la API IAM Service Account Credentials para obtener un token de acceso.

Tokens para servicios de Cloud Run

Cuando accedas a un servicio de Cloud Run, debes usar un token de ID.

TOKEN=$(curl -0 -X POST https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/SERVICE_ACCOUNT_EMAIL:generateIdToken \
    -H "Content-Type: text/json; charset=utf-8" \
    -H "Authorization: Bearer $STS_TOKEN" \
    -d @- <<EOF | jq -r .token
    {
        "audience": "SERVICE_URL"
    }
EOF
)
echo $TOKEN

$Token = (Invoke-RestMethod `
    -Method POST `
    -Uri "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/SERVICE_ACCOUNT_EMAIL:generateIdToken" `
    -Headers @{ "Authorization" = "Bearer $StsToken" } `
    -ContentType "application/json" `
    -Body (@{
        "audience" = "SERVICE_URL"
    } | ConvertTo-Json)).token
Write-Host $Token

Haz los cambios siguientes:

• SERVICE_ACCOUNT_EMAIL: la dirección de correo de la cuenta de servicio.
• SERVICE_URL: la URL del servicio (por ejemplo, https://my-service-12345-us-central1.run.app). También puedes definirlo en tu endpoint de servicio personalizado. Para obtener más información, consulta el artículo Información sobre las audiencias personalizadas.

Tokens para otras plataformas

Cuando accedas a otro servicio, debes usar un token de acceso.

TOKEN=$(curl -0 -X POST https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/SERVICE_ACCOUNT_EMAIL:generateAccessToken \
    -H "Content-Type: text/json; charset=utf-8" \
    -H "Authorization: Bearer $STS_TOKEN" \
    -d @- <<EOF | jq -r .accessToken
    {
        "scope": [ "https://www.googleapis.com/auth/cloud-platform" ]
    }
EOF
)
echo $TOKEN

$Token = (Invoke-RestMethod `
    -Method POST `
    -Uri "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/SERVICE_ACCOUNT_EMAIL:generateAccessToken" `
    -Headers @{ "Authorization" = "Bearer $StsToken" } `
    -ContentType "application/json" `
    -Body (@{
        "scope" = , "https://www.googleapis.com/auth/cloud-platform"
    } | ConvertTo-Json)).accessToken
Write-Host $Token

Haz los cambios siguientes:

• SERVICE_ACCOUNT_EMAIL: la dirección de correo de la cuenta de servicio.

Siguientes pasos

• Consulta más información sobre la federación de identidades de cargas de trabajo.
• Consulta las prácticas recomendadas para usar la federación de identidades de cargas de trabajo.
• Consulta cómo puedes gestionar grupos y proveedores de Workload Identity.