Obtener tokens de corta duración para la federación de identidades de Workforce

OIDC

Puede obtener las credenciales que usa para configurar el archivo de configuración de las siguientes fuentes:

• Credenciales de origen de archivo
• Credenciales procedentes de URLs
• Credenciales de origen ejecutable no interactivas
• Credenciales interactivas procedentes de ejecutables

Credenciales procedentes de archivos

Cuando usas credenciales procedentes de archivos, los tokens se cargan desde un archivo. Otro proceso debe actualizar este archivo con un nuevo token de OIDC antes de que caduque el antiguo. Por ejemplo, si el token tiene un tiempo de validez de una hora, debes actualizar el archivo antes de que transcurra una hora.

Para generar el archivo de configuración con una credencial de origen de archivo, ejecuta el siguiente comando:

gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --subject-token-type=urn:ietf:params:oauth:token-type:id_token \
    --credential-source-file=PATH_TO_OIDC_ID_TOKEN \
    --workforce-pool-user-project=WORKFORCE_POOL_USER_PROJECT \
    --output-file=config.json

Haz los cambios siguientes:

• WORKFORCE_POOL_ID: el ID del grupo de identidades de Workforce
• WORKFORCE_PROVIDER_ID: el ID del proveedor del grupo de identidades de Workforce
• PATH_TO_OIDC_TOKEN: la ruta al archivo de credenciales del proveedor de identidades de OIDC
• WORKFORCE_POOL_USER_PROJECT: el número o el ID del proyecto asociado al proyecto de usuario de grupos de Workforce.

La cuenta principal debe tener el permiso serviceusage.services.use en este proyecto.

Al ejecutar el comando, se genera un archivo de configuración de IdP de OIDC similar al siguiente:

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "subject_token_type": "urn:ietf:params:oauth:token-type:id_token",
  "token_url": "https://sts.googleapis.com/v1/token",
  "workforce_pool_user_project": "WORKFORCE_POOL_USER_PROJECT",
  "credential_source": {
    "file": "PATH_TO_OIDC_CREDENTIALS_FILE"
  }
}

Credenciales procedentes de URLs

Cuando usas credenciales procedentes de URLs, los tokens se cargan desde un servidor local con un endpoint que responde a las solicitudes HTTP GET. La respuesta debe ser un token de ID de OIDC, ya sea en texto sin formato o en formato JSON.

Para generar un archivo de configuración con una credencial de origen URL, ejecuta el siguiente comando:

gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --subject-token-type=urn:ietf:params:oauth:token-type:id_token \
    --credential-source-url=URL_TO_RETURN_OIDC_ID_TOKEN \
    --workforce-pool-user-project=WORKFORCE_POOL_USER_PROJECT \
    --output-file=config.json

Haz los cambios siguientes:

• WORKFORCE_POOL_ID: el ID del grupo de identidades de Workforce.
• WORKFORCE_PROVIDER_ID: el ID del proveedor del grupo de identidades de Workforce.
• URL_TO_RETURN_OIDC_ID_TOKEN: la URL a la que se llama para obtener las credenciales de OIDC, como un token de ID de OIDC. Por ejemplo: http://localhost:5000/token.
• WORKFORCE_POOL_USER_PROJECT: el número de proyecto que se usa para la cuota y la facturación. El principal debe tener serviceusage.services.use permission en este proyecto.

Al ejecutar el comando, se genera un archivo de configuración de IdP de OIDC similar al siguiente:

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "subject_token_type": "urn:ietf:params:oauth:token-type:id_token",
  "token_url": "https://sts.googleapis.com/v1/token",
  "workforce_pool_user_project": "WORKFORCE_POOL_USER_PROJECT",
  "credential_source": {
    "url": "URL_TO_RETURN_OIDC_ID_TOKEN"
  }
}

Credenciales de origen ejecutable no interactivas

Cuando usas credenciales de origen ejecutable no interactivas, los tokens se cargan desde un ejecutable local. El archivo ejecutable debe proporcionar un token de ID de OIDC válido y no caducado en formato JSON a stdout:

{
  "version": 1,
  "success": true,
  "token_type": "urn:ietf:params:oauth:token-type:id_token",
  "id_token": "HEADER.PAYLOAD.SIGNATURE",
  "expiration_time": 1620499962
}

Estos campos son obligatorios para que la respuesta sea correcta, excepto expiration_time. El campo expiration_time solo es obligatorio cuando se ha especificado un archivo de salida en la configuración de las credenciales.

El archivo ejecutable debe mostrar los errores a stdout en el siguiente formato JSON:

{
  "version": 1,
  "success": false,
  "code": "401",
  "message": "Caller not authorized."
}

Todos estos campos son obligatorios para una respuesta de error. Las bibliotecas de cliente usan los campos de código y mensaje para generar el error correspondiente.

El comando puede devolver los siguientes campos:

• version: la versión de la salida JSON. Solo se admite la versión 1.

• success: el estado de la respuesta. Cuando el estado es true, el ejecutable debe salir con el código de salida 0 y la respuesta debe contener los siguientes campos:

  • token_type: id_token
  • Campo expiration_time, si se especifica un archivo de salida en la configuración de credenciales

  Cuando el estado es false, el ejecutable debe salir con un valor distinto de cero y la respuesta debe contener los siguientes campos:

  • code
  • message

• token_type: el tipo de token de asunto de terceros, que debe ser urn:ietf:params:oauth:token-type:id_token

• id_token: el token de OIDC de terceros

• expiration_time: tiempo de caducidad del token OIDC de terceros en segundos (tiempo de inicio de registro de tiempo de Unix).

• code: la cadena del código de error

• message: el mensaje de error

Las bibliotecas de cliente definen las siguientes variables de entorno cuando se ejecuta el archivo ejecutable:

• GOOGLE_EXTERNAL_ACCOUNT_AUDIENCE: el campo de audiencia de la configuración de las credenciales. Esta variable siempre se define.
• GOOGLE_EXTERNAL_ACCOUNT_TOKEN_TYPE: el tipo de token de asunto esperado. Esta variable siempre se define.
• GOOGLE_EXTERNAL_ACCOUNT_OUTPUT_FILE: la ubicación del archivo de salida de la configuración de las credenciales. Esta variable solo está presente cuando se especifica en la configuración de las credenciales.

El archivo ejecutable puede usar estas variables de entorno para evitar que estos valores se codifiquen de forma rígida.

Para habilitar este método de obtención de credenciales con las bibliotecas de cliente, la variable de entorno GOOGLE_EXTERNAL_ACCOUNT_ALLOW_EXECUTABLES debe tener el valor 1.

Para generar el archivo de configuración con una credencial de origen ejecutable, ejecuta el siguiente comando:

gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --subject-token-type=urn:ietf:params:oauth:token-type:id_token  \
    --executable-command=EXECUTABLE_COMMAND \
    --executable-timeout-millis=EXECUTABLE_TIMEOUT \
    --executable-output-file=EXECUTABLE_OUTPUT_FILE \
    --workforce-pool-user-project=WORKFORCE_POOL_USER_PROJECT \
    --output-file /path/to/generated/config.json

Haz los cambios siguientes:

• WORKFORCE_POOL_ID: el ID del grupo de identidades de Workforce.
• WORKFORCE_PROVIDER_ID: el ID del proveedor del grupo de identidades de Workforce.
• EXECUTABLE_COMMAND: el comando completo, incluidos los argumentos, que se debe ejecutar para obtener el token de asunto, como un token de ID de OIDC, con el siguiente formato: --executable-command="/path/to/command --foo=bar".
• EXECUTABLE_TIMEOUT: opcional. Duración, en milisegundos, que se debe esperar a que se ejecute el archivo ejecutable (el valor predeterminado es 30 s).
• EXECUTABLE_OUTPUT_FILE: opcional. Ruta a las credenciales de terceros generadas por el archivo ejecutable. Esto resulta útil para almacenar en caché las credenciales. Las bibliotecas de autenticación comprueban primero esta ruta antes de ejecutar el archivo ejecutable.
• WORKFORCE_POOL_USER_PROJECT: número o ID del proyecto que se usa para la cuota y la facturación. El principal debe tener el permiso serviceusage.services.usedefinido en este proyecto.

Al ejecutar el comando, se genera un archivo de configuración de IdP de OIDC similar al siguiente:

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "subject_token_type": "urn:ietf:params:oauth:token-type:id_token",
  "token_url": "https://sts.googleapis.com/v1/token",
  "workforce_pool_user_project": "WORKFORCE_POOL_USER_PROJECT",
  "credential_source": {
    "executable": {
      "command": "EXECUTABLE_COMMAND",
      "timeout_millis": "EXECUTABLE_TIMEOUT",
      "output_file": "EXECUTABLE_OUTPUT_FILE"
    }
  }
}

Credenciales interactivas procedentes de ejecutables

Cuando usas credenciales interactivas procedentes de un archivo ejecutable, puedes proporcionar un archivo ejecutable que interactúe con el usuario a través de stdin y stdout. Si el usuario inicia sesión correctamente, el archivo ejecutable escribe una credencial válida y no caducada en el archivo especificado.

Para usar este modo, se necesitan las siguientes marcas:

• --executable-output-file: el archivo en el que el ejecutable escribe la información de las credenciales
• --exeutable-interactive-timeout-millis: un valor distinto de cero que indica el modo interactivo y define el tiempo de espera. Por ejemplo, 6000 para un tiempo de espera de 60 segundos.

Los siguientes campos son obligatorios para que la respuesta sea correcta, excepto expiration_time:

{
  "version": 1,
  "success": true,
  "token_type": "urn:ietf:params:oauth:token-type:id_token",
  "id_token": "HEADER.PAYLOAD.SIGNATURE",
  "expiration_time": 1620499962
}

El archivo ejecutable debe escribir los errores en el archivo especificado en --executable-output-file con el siguiente formato JSON. Los siguientes campos son obligatorios al devolver una respuesta de error.

{
  "version": 1,
  "success": false,
  "code": "401",
  "message": "Caller not authorized."
}

Los campos code y message deben indicar el error correspondiente. Las bibliotecas de cliente usan estos campos cuando se produce el error.

Si se ejecuta correctamente, el comando devuelve los mismos campos para las credenciales de origen ejecutable interactivas y no interactivas.

Las variables de entorno también son las mismas para las credenciales de origen ejecutable interactivas y no interactivas.

Para generar una credencial interactiva obtenida de un archivo ejecutable, añade el parámetro --executable-interactive-timeout-millis y el parámetro --executable-output-file.

gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --subject-token-type=urn:ietf:params:oauth:token-type:id_token  \
    --executable-command=EXECUTABLE_COMMAND \
    --executable-interactive-timeout-millis=EXECUTABLE_INTERACTIVE_TIMEOUT \
    --executable-output-file=EXECUTABLE_OUTPUT_FILE \
    --workforce-pool-user-project=WORKFORCE_POOL_USER_PROJECT \
    --output-file /path/to/generated/config.json

Haz los cambios siguientes:

• WORKFORCE_POOL_ID: el ID del grupo de identidades de Workforce.
• WORKFORCE_PROVIDER_ID: el ID del proveedor del grupo de identidades de Workforce.
• EXECUTABLE_COMMAND: el comando completo, incluidos los argumentos, que se debe ejecutar para obtener el token de asunto, con el siguiente formato: --executable-command="/path/to/command --arg1=val1 --arg2=val2"
• EXECUTABLE_INTERACTIVE_TIMEOUT: duración, en milisegundos, que se espera a que se ejecute el archivo ejecutable.
• EXECUTABLE_OUTPUT_FILE: ruta a las credenciales de terceros generadas por el ejecutable. Esta ruta es útil para almacenar en caché las credenciales. Las bibliotecas de autenticación comprueban primero esta ruta antes de ejecutar el archivo ejecutable.
• WORKFORCE_POOL_USER_PROJECT: el número o el ID del proyecto que se usa para la cuota y la facturación. La entidad de seguridad debe tener el permiso serviceusage.services.use en este proyecto.

Al ejecutar el comando, se genera un archivo de configuración de IdP de OIDC similar al siguiente:

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "subject_token_type": "urn:ietf:params:oauth:token-type:id_token",
  "token_url": "https://sts.googleapis.com/v1/token",
  "workforce_pool_user_project": "WORKFORCE_POOL_USER_PROJECT",
  "credential_source": {
    "executable": {
      "command": "EXECUTABLE_COMMAND",
      "interactive_timeout_millis": "EXECUTABLE_INTERACTIVE_TIMEOUT",
      "timeout_millis": "EXECUTABLE_TIMEOUT",
      "output_file": "EXECUTABLE_OUTPUT_FILE",
    }
  }
}

El campo timeout_millis se devuelve porque un ejecutable interactivo también puede ejecutarse en modo no interactivo en algunos casos. En el modo interactivo, el comando devuelve un tiempo de espera predeterminado.

SAML

Puede obtener las credenciales que usa para configurar el archivo de configuración de las siguientes fuentes:

• Credenciales de origen de archivo
• Credenciales procedentes de URLs
• Credenciales procedentes de ejecutables
• Credenciales procedentes de ejecutables para el modo interactivo de gcloud

Credenciales procedentes de archivos

Las aserciones se cargan desde un archivo. Otro proceso debe actualizar este archivo con una nueva aserción SAML codificada en base64 antes de que caduque la anterior. Por ejemplo, si la aserción tiene un tiempo de vida de una hora, debes actualizar el archivo antes de que transcurra una hora.

gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=federation_config.json \
    --credential-source-file=CREDENTIAL_FILE \
    --subject-token-type=urn:ietf:params:oauth:token-type:saml2 \
    --workforce-pool-user-project=WORKFORCE_POOL_USER_PROJECT

Haz los cambios siguientes:

• WORKFORCE_POOL_ID: el ID del grupo de identidades de Workforce.
• WORKFORCE_PROVIDER_ID: el ID del proveedor del grupo de identidades de Workforce.
• CREDENTIAL_FILE: la ruta al archivo de credenciales que genera el proveedor de identidades.
• WORKFORCE_POOL_USER_PROJECT: número o ID del proyecto que se usa para la cuota y la facturación. El principal debe tener serviceusage.services.use permission en este proyecto.

Credenciales procedentes de URLs

Credenciales procedentes de ejecutables

Las aserciones se cargan desde un archivo ejecutable local. El archivo ejecutable debe proporcionar una aserción SAML válida y no caducada en formato JSON a stdout.

{
  "version": 1,
  "success": true,
  "token_type": "urn:ietf:params:oauth:token-type:saml2",
  "saml_response": "...",
  "expiration_time": 1620499962
}

Estos campos son obligatorios para que la respuesta sea correcta, excepto expiration_time. El campo expiration_time solo es obligatorio cuando se especifica un archivo de salida en la configuración de las credenciales.

Si se produce un error, el ejecutable debe mostrarlo en el siguiente formato JSON en stdout:

{
  "version": 1,
  "success": false,
  "code": "401",
  "message": "Caller not authorized."
}

Todos estos campos son obligatorios para una respuesta de error. Las bibliotecas de cliente usan los campos de código y mensaje para generar el error correspondiente.

El comando puede devolver los siguientes campos:

• version: la versión de la salida JSON. Solo se admite la versión 1.

• success: el estado de la respuesta. Cuando el estado es true, el archivo ejecutable debe cerrarse con el código de salida 0 y la respuesta debe contener los siguientes campos:

  • token_type: saml_response
  • Campo expiration_time, si se especifica un archivo de salida en la configuración de credenciales.

  Cuando el estado es false, el ejecutable debe salir con un valor distinto de cero y la respuesta debe contener los siguientes campos: + code + message

• token_type: el tipo de token de asunto de terceros, que debe ser urn:ietf:params:oauth:token-type:saml2

• saml_response: la respuesta SAML de terceros

• expiration_time: tiempo de caducidad de la respuesta SAML de terceros en segundos (tiempo de inicio de registro de Unix).

• code: la cadena del código de error

• message: el mensaje de error

Las bibliotecas de cliente definen las siguientes variables de entorno cuando se ejecuta el archivo ejecutable:

• GOOGLE_EXTERNAL_ACCOUNT_AUDIENCE: el campo de audiencia de la configuración de las credenciales. Esta variable siempre se define.
• GOOGLE_EXTERNAL_ACCOUNT_TOKEN_TYPE: el tipo de token de asunto esperado. Esta variable siempre se define.
• GOOGLE_EXTERNAL_ACCOUNT_OUTPUT_FILE: la ubicación del archivo de salida de la configuración de las credenciales. Esta variable solo está presente cuando se especifica en la configuración de las credenciales.

Para habilitar este método de obtención de credenciales con las bibliotecas de cliente, define la variable de entorno GOOGLE_EXTERNAL_ACCOUNT_ALLOW_EXECUTABLES como 1.

Para generar el archivo de configuración con una credencial de origen ejecutable, ejecuta el siguiente comando:

gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --subject-token-type=urn:ietf:params:oauth:token-type:saml2  \
    --executable-command=EXECUTABLE_COMMAND \
    --executable-timeout-millis=EXECUTABLE_TIMEOUT \
    --executable-output-file=EXECUTABLE_OUTPUT_FILE \
    --workforce-pool-user-project=WORKFORCE_POOL_USER_PROJECT \
    --output-file /path/to/generated/config.json

Haz los cambios siguientes:

• WORKFORCE_POOL_ID: el ID del grupo de identidades de Workforce.
• WORKFORCE_PROVIDER_ID: el ID del proveedor del grupo de identidades de Workforce.
• EXECUTABLE_COMMAND: el comando completo, incluidos los argumentos, que se debe ejecutar para obtener el token de asunto, con el siguiente formato: --executable-command="/path/to/command --foo=bar".
• EXECUTABLE_TIMEOUT: opcional. Duración en milisegundos que se debe esperar para que se ejecute el archivo ejecutable (el valor predeterminado es 30 s).
• EXECUTABLE_OUTPUT_FILE: opcional. Ruta a las credenciales de identidad de terceros (3PI) generadas por el archivo ejecutable. Esto resulta útil para almacenar en caché las credenciales. Las bibliotecas de autorización comprueban si existe antes de ejecutar el archivo ejecutable.
• WORKFORCE_POOL_USER_PROJECT: el número de proyecto que se usa para la cuota y la facturación. La entidad de seguridad debe tener el permiso serviceusage.services.use en este proyecto.

Al ejecutar el comando, se genera un archivo de configuración de IdP SAML similar al siguiente:

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "subject_token_type": "urn:ietf:params:oauth:token-type:saml2",
  "token_url": "https://sts.googleapis.com/v1/token",
  "workforce_pool_user_project": "WORKFORCE_POOL_USER_PROJECT",
  "credential_source": {
    "executable": {
      "command": "EXECUTABLE_COMMAND",
      "timeout_millis": "EXECUTABLE_TIMEOUT",
      "output_file": "EXECUTABLE_OUTPUT_FILE"
    }
  }
}

Credenciales procedentes de ejecutables para el modo interactivo de gcloud

Cuando usas credenciales procedentes de un archivo ejecutable en el modo interactivo de gcloud, un archivo ejecutable interactúa con el usuario a través de la interfaz de línea de comandos.

En el comando anterior, sustituye lo siguiente:

• EXECUTABLE_OUTPUT_FILE: obligatorio. Ruta al archivo que proporciona las credenciales generadas por el archivo ejecutable.
• EXECUTABLE_TIMEOUT: obligatorio. Un valor de tiempo de espera distinto de cero también indica al comando que use el modo interactivo.

    {
      "version": 1,
      "success": true,
      "token_type": "urn:ietf:params:oauth:token-type:saml2",
      "saml_response": "...",
      "expiration_time": 1620499962
    }

Estos campos son obligatorios para que la respuesta sea correcta, excepto expiration_time. Si se omite expiration_time, el ejecutable se sigue ejecutando.

El archivo ejecutable debe mostrar los errores en el executable-output-file con el siguiente formato JSON. Cuando el archivo ejecutable informa de un error, todos estos campos son obligatorios. Las bibliotecas de cliente usan los campos de código y mensaje para generar el error correspondiente.

{
  "version": 1,
  "success": false,
  "code": "401",
  "message": "Caller not authorized."
}

Si el comando se ejecuta correctamente, se devuelven los mismos campos que en las credenciales de origen ejecutable no interactivas.

Las variables de entorno también son las mismas que las credenciales procedentes de ejecutables no interactivos.

Para generar una credencial interactiva basada en un archivo ejecutable, añade el parámetro --executable-interactive-timeout-millis.

gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --subject-token-type=urn:ietf:params:oauth:token-type:saml2  \
    --executable-command=EXECUTABLE_COMMAND \
    --executable-interactive-timeout-millis=EXECUTABLE_INTERACTIVE_TIMEOUT \
    --executable-output-file=EXECUTABLE_OUTPUT_FILE \
    --workforce-pool-user-project=WORKFORCE_POOL_USER_PROJECT \
    --output-file /path/to/generated/config.json

Haz los cambios siguientes:

• WORKFORCE_POOL_ID: el ID del grupo de identidades de Workforce.
• WORKFORCE_PROVIDER_ID: el ID del proveedor del grupo de identidades de Workforce.
• EXECUTABLE_COMMAND: el comando completo, incluidos los argumentos, que se debe ejecutar para obtener el token de asunto, con el siguiente formato: --executable-command="/path/to/command --foo=bar").
• EXECUTABLE_INTERACTIVE_TIMEOUT: duración, en milisegundos, que se espera a que se ejecute el archivo ejecutable.
• EXECUTABLE_OUTPUT_FILE: ruta a las credenciales de terceros generadas por el ejecutable. Esto resulta útil para almacenar en caché las credenciales. Las bibliotecas de autenticación comprueban primero esta ruta antes de ejecutar el archivo ejecutable.
• WORKFORCE_POOL_USER_PROJECT: el número o el ID del proyecto que se usa para la cuota y la facturación. La entidad de seguridad debe tener el permiso serviceusage.services.use en este proyecto.

Al ejecutar el comando, se genera un archivo de configuración de IdP SAML similar al siguiente:

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/<var>WORKFORCE_POOL_ID<var>/providers/<var>WORKFORCE_PROVIDER_ID</var>",
  "subject_token_type": "urn:ietf:params:oauth:token-type:saml2",
  "token_url": "https://sts.googleapis.com/v1/token",
  "workforce_pool_user_project": "<var>WORKFORCE_POOL_USER_PROJECT</var>",
  "credential_source": {
    "executable": {
      "command": "<var>EXECUTABLE_COMMAND</var>",
      "interactive_timeout_millis": "<var>EXECUTABLE_INTERACTIVE_TIMEOUT</var>",
      "timeout_millis": "<var>EXECUTABLE_TIMEOUT</var>",
      "output_file": "<var>EXECUTABLE_OUTPUT_FILE</var>",
    }
  }
}

Herramienta bq

Para autenticarte mediante Workforce Identity Federation, usa el comando gcloud auth login:

gcloud auth login --cred-file=FILEPATH.json

donde FILEPATH es la ruta al archivo de configuración de las credenciales.

La herramienta bq admite la federación de identidades para los trabajadores en la versión 390.0.0 y versiones posteriores de la CLI de Google Cloud.

C++

La mayoría de las Trusted Cloud bibliotecas de cliente de C++ admiten la federación de identidades de los empleados mediante un objeto ChannelCredentials, que se crea llamando a grpc::GoogleDefaultCredentials(). Para inicializar esta credencial, debes compilar las bibliotecas de cliente con la versión 1.42.0 o posterior de gRPC.

Las bibliotecas de cliente de Cloud de Cloud Storage para C++ usan la API REST, no gRPC, por lo que no admiten la federación de identidades de la fuerza de trabajo.

auto creds = grpc::GoogleDefaultCredentials();

// Create a channel, stub and make RPC calls (same as in the previous example)
auto channel = grpc::CreateChannel("greeter.googleapis.com", creds);
std::unique_ptr<Greeter::Stub> stub(Greeter::NewStub(channel));
grpc::Status s = stub->sayHello(&context, *request, response);

gcloud

Para autenticarte mediante Workforce Identity Federation, usa el comando gcloud auth login:

gcloud auth login --cred-file=FILEPATH.json

Sustituye FILEPATH por la ruta del archivo de configuración de las credenciales.

La CLI de gcloud admite la federación de identidades para los trabajadores en la versión 392.0.0 y en versiones posteriores de la CLI de Google Cloud.

Go

Las bibliotecas de cliente de Cloud para Go admiten la federación de identidades de trabajo cuando se usa la versión v0.0.0-20211005180243-6b3c2da341f1 o una posterior del módulo golang.org/x/oauth2.

import (
  "context"
  "fmt"
  "log"

  "cloud.google.com/go/storage"
  "google.golang.org/api/iterator"
  "google.golang.org/api/option"
  "io/ioutil"
)
ctx := context.Background()
client, err := storage.NewClient(ctx)
# Explicit initialization can also be used.
# var jsonPath = "/path/to/3p-credentials.json"
# client, err := storage.NewClient(ctx, option.WithCredentialsFile(jsonPath))
if err != nil {
  log.Fatal(err)
}
fmt.Println("Buckets:")
it := client.Buckets(ctx, projectID)
for {
  battrs, err := it.Next()
  if err == iterator.Done {
    break
  }
  if err != nil {
    log.Fatal(err)
  }
  fmt.Println(battrs.Name)
}

Java

Las bibliotecas de cliente de Cloud para Java admiten la federación de identidades de trabajo cuando se usa la versión 1.2.0 o posterior del artefacto com.google.auth:google-auth-library-oauth2-http.

import com.google.auth.oauth2.GoogleCredentials;
import com.google.cloud.storage.Storage;
import com.google.cloud.storage.StorageOptions;

GoogleCredentials credentials = GoogleCredentials.getApplicationDefault();
GoogleCredentials sourceCredentials = credentials
    .createScoped(Arrays.asList("https://www.googleapis.com/auth/devstorage.read_only"));

Storage storageService = StorageOptions.newBuilder().setProjectId("project-id")
    .setCredentials(sourceCredentials).build().getService();

Node.js

Las bibliotecas de cliente de Cloud para Node.js admiten la federación de identidades de trabajo cuando se usa la versión 7.10.0 o posterior del paquete google-auth-library.

A diferencia de los grupos de identidades de carga de trabajo, los grupos de identidades de Workforce están asociados a una organización y no a un Trusted Cloud proyecto. Cuando creas un objeto GoogleAuth, debes especificar un ID de proyecto. Para obtener más información, consulta el README del paquete google-auth-library.

const auth = new GoogleAuth({
  scopes: 'https://www.googleapis.com/auth/cloud-platform',
  // Specify a project ID.
  projectId: 'CLOUD_RESOURCE_PROJECT_ID',
});

# API request using Auth library.
const client = await auth.getClient();
const url =
    `https://storage.googleapis.com/storage/v1/b?projects=${projectId}`;
const res = await client.request({url});
console.log(res.data);

Python

Las bibliotecas de cliente de Cloud para Python admiten la federación de identidades de trabajo cuando se usa la versión 2.3.0 o posterior del paquete google-auth.

from google.cloud import storage
import google.auth

credentials, project = google.auth.default(
    scopes=['https://www.googleapis.com/auth/devstorage.read_only'])

client = storage.Client(
    project="project-id", credentials=credentials)

En el código de ejemplo, el valor project puede ser None si la biblioteca no puede descubrir automáticamente el ID del proyecto. Puedes transferir el ID de proyecto de forma explícita al usar una instancia de servicio, como se hace en el ejemplo del cliente de almacenamiento, o definir el ID de proyecto mediante la variable de entorno GOOGLE_CLOUD_PROJECT.

Para obtener más información, consulta la guía de usuario del paquete google-auth.