Configure a federação de identidades de cargas de trabalho com outros fornecedores de identidade

OIDC

• O IdP suporta o OpenID Connect 1.0.

• O IdP tem um URI do emissor.

• O JWK do IdP usado para validar um token de declaração OIDC pode ser fornecido de uma das seguintes formas:

  • Pontos finais de metadados OIDC protegidos com SSL e TLS. Os URLs dos pontos finais têm de começar por https:// e os pontos finais são acessíveis publicamente através da Internet. Os pontos finais protegidos com certificados autoassinados não são suportados pelo Trusted Cloud.

    Trusted Cloud usa estes pontos finais para transferir o JWK do seu IdP e usa este conjunto de chaves para validar tokens.

  • Ficheiros JWKS do OIDC carregados diretamente para o Trusted Cloud. Ao usar este método, o ponto final não precisa de ser acessível publicamente. Os campos x5c e x5t no interior de JWK não são suportados e têm de ser removidos antes do carregamento.

SAML

• O IdP suporta SAML 2.0.

• O IdP fornece um documento de metadados do SP SAML que descreve a configuração do fornecedor de serviços SAML e contém o certificado de assinatura do IdP.

  Trusted Cloud usa este certificado para validar as afirmações e as respostas SAML.

• Os requisitos da chave de assinatura X.509 SAML incluem o seguinte:

  • Uma chave pública RSA envolvida num certificado X.509 v3.

  • Requisitos de validade do certificado:

    • notBefore: uma data/hora que não seja superior a 7 dias no futuro
    • notAfter: uma data/hora que não seja superior a 25 anos no futuro

  • Algoritmos recomendados:

    • RSAwithSHA256 (tamanhos de chaves suportados [bits]: 2048, 3072 e 4096)
    • ECDSAwithSHA256

Um fornecedor do Workload Identity Pool pode ser configurado com, no máximo, três chaves de assinatura num determinado momento. Quando existem várias chaves, Trusted Cloud itera por elas e tenta usar cada chave não expirada para satisfazer um pedido de troca de tokens.

Como prática recomendada de segurança, recomendamos vivamente que não reutilize o mesmo par de chaves com outros serviços.

OIDC

Configure o seu IdP para que a sua carga de trabalho possa obter tokens de ID que cumpram os seguintes critérios:

• Os tokens são assinados com o algoritmo RS256 ou ES256.

• Os tokens contêm uma reivindicação aud com o seguinte valor:

  https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID
  

  Substitua o seguinte:

  • PROJECT_NUMBER: o número do projeto do projeto que usa para criar o Workload Identity Pool. Trusted Cloud
  • POOL_ID: um ID à sua escolha que identifica o Workload Identity Pool. Tem de usar o mesmo ID quando criar o Workload Identity Pool mais tarde.
  • WORKLOAD_PROVIDER_ID: um ID à sua escolha que identifica o fornecedor do Workload Identity Pool. Tem de usar o mesmo ID quando criar o fornecedor do Workload Identity Pool mais tarde.

  Em alternativa, pode configurar o fornecedor do Workload Identity Pool para esperar um público-alvo personalizado.

• Os tokens contêm uma reivindicação exp que está no futuro e uma reivindicação iat que está no passado.

  O valor de exp tem de ser superior ao valor de iat, no máximo, 24 horas.

Normalmente, é melhor usar tokens de ID quando faz uma troca de tokens, porque os tokens de ID refletem a identidade do utilizador. Se decidir usar tokens de acesso, certifique-se de que estes cumprem os seguintes requisitos adicionais:

• Os tokens de acesso estão no formato JSON Web Token

• Os tokens de acesso contêm uma reivindicação ISSUER para que o URL ISSUER/.well-known/openid-configuration aponte para o ponto final de metadados OIDC do IdP.

• Para carregar chaves JWK locais, consulte o artigo Faça a gestão de JWKs OIDC.

SAML

Configure o IdP para que as afirmações SAML contenham elementos que cumpram os seguintes critérios:

• Um elemento Issuer definido como o ID da entidade configurado no fornecedor do Workload Identity Pool. O formato do emissor tem de ser omitido ou definido como urn:oasis:names:tc:SAML:2.0:nameid-format:entity.
• Um elemento Subject com:
  • um elemento NameID.
  • Exatamente um elemento SubjectConfirmation com Method definido como urn:oasis:names:tc:SAML:2.0:cm:bearer.
  • Um elemento SubjectConfirmationData com NotOnOrAfter definido como uma data/hora que ocorre no futuro e nenhum valor NotBefore.

• Um elemento Conditions com:

  • NotBefore omitido ou no passado.
  • NotOnOrAfter omitidos ou no futuro.

  • Um Audience formatado da seguinte forma:

    https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID
    

    Substitua o seguinte:

    • PROJECT_NUMBER: o número do projeto do projeto que usa para criar o Workload Identity Pool. Trusted Cloud
    • POOL_ID: um ID à sua escolha que identifica o Workload Identity Pool. Tem de usar o mesmo ID quando criar o Workload Identity Pool mais tarde.
    • WORKLOAD_PROVIDER_ID: um ID à sua escolha que identifica o fornecedor do Workload Identity Pool. Tem de usar o mesmo ID quando criar o fornecedor do Workload Identity Pool mais tarde.

• pelo menos um elemento AuthnStatement.

• Um elemento SessionNotOnOrAfter com uma indicação de tempo que ocorre no futuro. Em alternativa, omita o elemento.

Para afirmações SAML incluídas numa resposta SAML, a resposta SAML tem de conter:

• Exatamente uma afirmação que cumpre os critérios de afirmação SAML descritos anteriormente nesta secção.
• Um atributo IssueInstant com um valor inferior a 1 hora no passado.
• StatusCode urn:oasis:names:tc:SAML:2.0:status:Success.

A declaração SAML, a resposta ou ambas têm de ser assinadas.

OIDC

Os mapeamentos de atributos podem usar as reivindicações incorporadas no token de ID ou no token de acesso emitido pelo IdP externo.

Tem de mapear uma destas reivindicações para google.subject para identificar o utilizador de forma exclusiva. Para se proteger contra ameaças de roubo de identidade, escolha uma reivindicação com um valor exclusivo que não possa ser alterado.

Muitos IdPs preenchem a reivindicação sub com um ID exclusivo e imutável. Para estes IdPs, considere mapear a reivindicação sub para google.subject:

google.subject=assertion.sub

Evite usar uma reivindicação como email para este fim. Normalmente, os endereços de email podem ser reatribuídos ou alterados, pelo que não identificam um utilizador de forma única e permanente.

SAML

Os mapeamentos de atributos podem usar os elementos <Subject> e <Attribute> incorporados na declaração emitida pelo IdP externo. Os atributos SAML podem ser referidos através das seguintes palavras-chave:

• assertion.subject contém o NameID do utilizador autenticado encontrado no elemento <Subject>.
• assertion.attributes['ATTRIBUTE_NAME'] contém uma lista de valores para o elemento <Attribute> com o mesmo nome.

Tem de mapear uma destas reivindicações para google.subject para identificar o utilizador de forma única. Para se proteger contra ameaças de roubo de identidade, escolha uma reivindicação com um valor único que não possa ser alterado.

Muitos IdPs preenchem o elemento NameId com um ID exclusivo e imutável. Para estes IdPs, considere mapear o atributo NameId para google.subject:

google.subject=assertion.subject

Evite usar um atributo como http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress para este fim. Normalmente, é possível reatribuir ou alterar os endereços de email, pelo que não identificam um utilizador de forma única e permanente.

OIDC

Pode usar uma condição de atributo para restringir os utilizadores que podem usar a Workload Identity Federation para obter tokens Trusted Cloud de curta duração.

Por exemplo, a seguinte condição restringe o acesso a tokens que contêm uma reivindicação service_account personalizada com um valor true:

assertion.service_account==true

SAML

Pode usar uma condição de atributo para restringir os utilizadores que podem usar a Workload Identity Federation para obter tokens Trusted Cloud de curta duração.

Por exemplo, a seguinte condição restringe o acesso a afirmações que contêm um atributo personalizado https://example.com/SAML/Attributes/AllowGcpFederation com um valor true:

assertion.attributes['https://example.com/SAML/Attributes/AllowGcpFederation'][0]=='true'

Consola

1. Na Trusted Cloud consola, aceda à página Novo fornecedor e conjunto de cargas de trabalho.

   Aceda a Novo fornecedor e Workload Identity Pool

2. Em Crie um Identity Pool, introduza o seguinte:

   • Nome: nome do conjunto. O nome também é usado como ID do conjunto. Não pode alterar o ID do conjunto mais tarde.
   • Descrição: texto que descreve a finalidade do grupo.

3. Clique em Continuar.

4. Configure as definições do fornecedor da seguinte forma:

   OIDC

   • Em Selecionar um fornecedor, selecione OpenID Connect (OIDC).
   • Em Nome do fornecedor, introduza um nome para o fornecedor. O nome também é usado como ID do fornecedor. Não é possível alterar o ID do fornecedor depois de o fornecedor ser criado.
   • Em URL do emissor, introduza o URL do emissor do seu IdP. O URL tem de começar por https://
   • Opcional: em Ficheiro JWK (JSON), escolha um ficheiro JWK para carregar. Se este campo não for fornecido,o Trusted Cloud tenta obter um JWK do emissor.
   • Públicos-alvo permitidos: público-alvo esperado dos tokens de ID.

   SAML

   • Em Selecionar um fornecedor, selecione SAML.
   • Em Nome do fornecedor, introduza um nome para o fornecedor. O nome também é usado como ID do fornecedor. Não é possível alterar o ID do fornecedor depois de o fornecedor ser criado.
   • Em Ficheiro de metadados do IDP (XML), carregue o documento XML de metadados SAML fornecido pelo seu fornecedor de identidade.

5. Clique em Continuar.

6. Em Configurar atributos do fornecedor, adicione os mapeamentos de atributos que identificou anteriormente neste guia.

7. Em Condições de atributos, introduza a condição de atributo que identificou anteriormente neste guia. Deixe o campo em branco se não tiver uma condição de atributo.

8. Para criar o Workload Identity Pool e o fornecedor, clique em Guardar.

gcloud

1. Para criar um novo Workload Identity Pool, execute o seguinte comando:

   gcloud iam workload-identity-pools create POOL_ID \
       --location="global" \
       --description="DESCRIPTION" \
       --display-name="DISPLAY_NAME"
   

   Substitua o seguinte:

   • POOL_ID: o ID exclusivo do conjunto.
   • DISPLAY_NAME: o nome do conjunto.
   • DESCRIPTION: uma descrição do grupo que escolhe. Esta descrição é apresentada quando concede acesso a identidades de conjunto.

2. Para adicionar um fornecedor do Workload Identity Pool, faça o seguinte:

   OIDC

   Para adicionar um fornecedor do Workload Identity Pool de OIDC, execute o seguinte comando:

   gcloud iam workload-identity-pools providers create-oidc WORKLOAD_PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="POOL_ID" \
       --issuer-uri="ISSUER" \
       --allowed-audiences="AUDIENCE" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
       --jwk-json-path="JWK_JSON_PATH"
   

   Substitua o seguinte:

   • WORKLOAD_PROVIDER_ID: um ID do fornecedor do Workload Identity Pool exclusivo à sua escolha.
   • POOL_ID: o ID do Workload Identity Pool que criou anteriormente.
   • ISSUER: um URI do emissor, conforme definido nos metadados do OIDC.
   • AUDIENCE: o público-alvo esperado dos tokens de ID, que, para muitos fornecedores, corresponde ao ID de cliente.
   • MAPPINGS: uma lista separada por vírgulas de mapeamentos de atributos que criou anteriormente neste guia.
   • CONDITIONS: uma condição de atributo opcional que criou anteriormente neste guia. Remova o parâmetro se não tiver uma condição de atributo.
   • JWK_JSON_PATH: Um caminho opcional para um JWKs do OIDC carregado localmente. Se este parâmetro não for fornecido,o Trusted Cloud usa o caminho /.well-known/openid-configuration do seu IdP para obter os JWKs que contêm as chaves públicas.

   SAML

   Para adicionar um fornecedor do Workload Identity Pool SAML, execute o seguinte comando:

   gcloud iam workload-identity-pools providers create-saml WORKLOAD_PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="POOL_ID" \
       --idp-metadata-path="IDP_METADATA_PATH" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
   

   Substitua o seguinte:

   • POOL_ID: o ID do conjunto
   • IDP_METADATA_PATH: o caminho local para o documento de metadados do IdP SAML
   • MAPPINGS: uma lista separada por vírgulas de mapeamentos de atributos que criou anteriormente neste guia
   • CONDITIONS: Opcional: a condição do atributo que criou anteriormente neste guia

   O prefixo gcp- está reservado e não pode ser usado num ID do Workload Identity Pool ou do fornecedor do Workload Identity Pool.

   Opcional: aceite afirmações SAML encriptadas do seu IdP

   Para permitir que o seu IdP SAML 2.0 produza afirmações SAML encriptadas que podem ser aceites pela federação de identidade da carga de trabalho, faça o seguinte:

   • Na federação de identidade da carga de trabalho, faça o seguinte:
   • Crie um par de chaves assimétricas para o fornecedor do Workload Identity Pool.
   • Transferir um ficheiro de certificado que contém a chave pública.
   • Configure o seu IdP SAML para usar a chave pública para encriptar as afirmações SAML que emite.
   • No IdP, faça o seguinte:
   • Ative a encriptação de afirmações, também conhecida como encriptação de tokens.
   • Carregue a chave pública que criou na federação de identidade da carga de trabalho.
   • Confirme que o seu IdP produz afirmações SAML encriptadas.

   Tenha em atenção que, mesmo com as chaves do fornecedor de encriptação SAML configuradas, a federação de identidade da carga de trabalho pode continuar a processar uma afirmação de texto simples.

   Crie chaves de encriptação de afirmações SAML de federação de identidade da força de trabalho

   Esta secção explica como criar um par de chaves assimétricas que permite à federação de identidades de cargas de trabalho aceitar afirmações SAML encriptadas.

   Trusted Cloud by S3NS usa a chave privada para desencriptar as afirmações SAML emitidas pelo seu IdP. Para criar um par de chaves assimétricas para utilização com a encriptação SAML, execute o seguinte comando. Para saber mais, consulte o artigo Algoritmos de encriptação SAML suportados.

   gcloud iam workload-identity-pools providers keys create KEY_ID \
       --workload-identity-pool WORKLOAD_POOL_ID \
       --provider WORKLOAD_PROVIDER_ID \
       --location global \
       --use encryption \
       --spec KEY_SPECIFICATION

   Substitua o seguinte:

   • KEY_ID: um nome de chave à sua escolha
   • WORKLOAD_POOL_ID: o ID da piscina
   • WORKLOAD_PROVIDER_ID: o ID do fornecedor do Workforce Identity Pool
   • KEY_SPECIFICATION: a especificação principal, que pode ser uma das seguintes: rsa-2048, rsa-3072 e rsa-4096.

   Depois de criar o par de chaves, para transferir a chave pública para um ficheiro de certificado, execute o seguinte comando. Apenas a federação de identidade da carga de trabalho tem acesso à chave privada.

   gcloud iam workload-identity-pools providers keys describe KEY_ID \
       --workload-identity-pool WORKLOAD_POOL_ID \
       --provider WORKLOAD_PROVIDER_ID \
       --location global \
       --format "value(keyData.key)" \
       > CERTIFICATE_PATH

   Substitua o seguinte:

   • KEY_ID: o nome da chave
   • WORKLOAD_POOL_ID: o ID da piscina
   • WORKLOAD_PROVIDER_ID: o ID do fornecedor do Workforce Identity Pool
   • CERTIFICATE_PATH: o caminho para escrever o certificado, por exemplo, saml-certificate.cer ou saml-certificate.pem

   Configure o seu IdP compatível com SAML 2.0 para emitir afirmações SAML encriptadas

   Configure o seu IdP SAML para usar o certificado público transferido no último passo para encriptar as afirmações SAML que emite. Consulte a equipa do IdP para obter instruções específicas.

   Depois de configurar o IdP para encriptar afirmações SAML, recomendamos que verifique se as afirmações que gera estão realmente encriptadas. Mesmo com a encriptação de afirmações SAML configurada, a federação de identidade da carga de trabalho ainda pode processar afirmações de texto simples.

   Elimine as chaves de encriptação da federação de identidade da carga de trabalho

   Para eliminar chaves de encriptação SAML, execute o seguinte comando:

     gcloud iam workload-identity-pools providers keys delete KEY_ID \
         --workload-identity-pool WORKLOAD_POOL_ID \
         --provider WORKLOAD_PROVIDER_ID \
         --location global

   Substitua o seguinte:

   • KEY_ID: o nome da chave
   • WORKLOAD_POOL_ID: o ID da piscina
   • WORKLOAD_PROVIDER_ID: o ID do fornecedor do Workforce Identity Pool

   Algoritmos de encriptação SAML suportados

   A federação de identidade da carga de trabalho suporta os seguintes algoritmos de transporte de chaves:

   • http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p
   • http://www.w3.org/2009/xmlenc11#rsa-oaep"
   • http://www.w3.org/2001/04/xmlenc#rsa-1_5"

   A federação de identidade da carga de trabalho suporta os seguintes algoritmos de encriptação de blocos:

   • http://www.w3.org/2001/04/xmlenc#aes128-cbc
   • http://www.w3.org/2001/04/xmlenc#aes192-cbc
   • http://www.w3.org/2001/04/xmlenc#aes256-cbc
   • http://www.w3.org/2009/xmlenc11#aes128-gcm
   • http://www.w3.org/2009/xmlenc11#aes256-gcm

Acesso direto aos recursos

Pode conceder acesso a uma identidade federada diretamente nos recursos através da Trusted Cloud consola ou da CLI gcloud.

Simulação de identidade de conta de serviço

1. Para criar uma conta de serviço para a carga de trabalho externa, faça o seguinte:

   2. Enable the IAM, Security Token Service, and Service Account Credentials APIs.

      Enable the APIs

   3. Crie uma conta de serviço que represente a carga de trabalho. Recomendamos que use uma conta de serviço dedicada para cada carga de trabalho. A conta de serviço não tem de estar no mesmo projeto que o conjunto de identidades de carga de trabalho, mas tem de fazer referência ao projeto que contém a conta de serviço.

   4. Conceda acesso à conta de serviço aos recursos aos quais quer que as identidades externas acedam.

2. Para permitir que a identidade federada use a identidade da conta de serviço, faça o seguinte:

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE"

Credenciais provenientes de executáveis

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --service-account-token-lifetime-seconds=SERVICE_ACCOUNT_TOKEN_LIFETIME \
    --output-file=FILEPATH.json \
    --executable-command=EXECUTABLE_COMMAND \
    --executable-timeout-millis=EXECUTABLE_TIMEOUT \
    --executable-output-file=EXECUTABLE_OUTPUT_FILE

Substitua o seguinte:

• PROJECT_NUMBER: o número do projeto do projeto que contém o Workload Identity Pool.
• POOL_ID: o ID do Workload Identity Pool.
• WORKLOAD_PROVIDER_ID: o ID do fornecedor do Workload Identity Pool.
• SERVICE_ACCOUNT_EMAIL: se usar a simulação de conta de serviço, substitua-o pelo endereço de email da conta de serviço. Omita este sinalizador se não usar a simulação da conta de serviço.
• SERVICE_ACCOUNT_TOKEN_LIFETIME: se usar a representação da conta de serviço, substitua-o pela duração total da chave de acesso da conta de serviço, em segundos. Por predefinição, é de uma hora quando não é fornecido. Omita este sinalizador se não usar a simulação da conta de serviço. Para especificar uma duração total superior a uma hora, tem de configurar a constraints/iam.allowServiceAccountCredentialLifetimeExtension restrição da política organizacional.
• FILEPATH: o ficheiro no qual guardar a configuração.
• EXECUTABLE_COMMAND: o comando completo, incluindo argumentos, a executar para obter o token de ID OIDC, por exemplo, --executable-command="/path/to/command --foo=bar".
• EXECUTABLE_TIMEOUT: a duração opcional em milissegundos a aguardar pela execução do ficheiro executável (predefinição: 30 s).
• EXECUTABLE_OUTPUT_FILE: um caminho que aponta para as credenciais de terceiros geradas pelo executável. Isto é útil para colocar as credenciais em cache. Ao especificar este caminho, as bibliotecas de autenticação verificam primeiro a sua existência antes de executar o ficheiro executável.

Credenciais provenientes de ficheiros

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --service-account-token-lifetime-seconds=SERVICE_ACCOUNT_TOKEN_LIFETIME \
    --output-file=FILEPATH.json \
    --credential-source-file=TOKEN_FILEPATH \
    --credential-source-type=SOURCE_TYPE \
    --credential-source-field-name=FIELD_NAME

Substitua o seguinte:

• PROJECT_NUMBER: o número do projeto do projeto que contém o Workload Identity Pool.
• POOL_ID: o ID do Workload Identity Pool.
• WORKLOAD_PROVIDER_ID: o ID do fornecedor do Workload Identity Pool.
• SERVICE_ACCOUNT_EMAIL: se usar a simulação de conta de serviço, substitua-o pelo endereço de email da conta de serviço. Omita este sinalizador se não usar a simulação da conta de serviço.
• SERVICE_ACCOUNT_TOKEN_LIFETIME: se usar a representação da conta de serviço, substitua-o pela duração total da chave de acesso da conta de serviço, em segundos. Por predefinição, é de uma hora quando não é fornecido. Omita este sinalizador se não usar a simulação da conta de serviço. Para especificar uma duração total superior a uma hora, tem de configurar a constraints/iam.allowServiceAccountCredentialLifetimeExtension restrição da política organizacional.
• FILEPATH: o ficheiro no qual guardar a configuração.
• TOKEN_FILEPATH: o caminho onde os tokens de ID do OIDC são armazenados.
• SOURCE_TYPE: o formato do ficheiro de token de ID do OIDC, definido como text (predefinição) ou json.
• FIELD_NAME: o campo no ficheiro de texto que contém o token (se SOURCE_TYPE for json).

Credenciais provenientes de URLs

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --service-account-token-lifetime-seconds=SERVICE_ACCOUNT_TOKEN_LIFETIME \
    --output-file=FILEPATH.json \
    --credential-source-url="TOKEN_URL" \
    --credential-source-headers="KEY_1=VALUE_1,KEY_2=VALUE_2" \
    --credential-source-type=SOURCE_TYPE \
    --credential-source-field-name=FIELD_NAME

Substitua o seguinte:

• PROJECT_NUMBER: número do projeto do projeto que contém o Workload Identity Pool.
• POOL_ID: ID do Workload Identity Pool.
• WORKLOAD_PROVIDER_ID: ID do fornecedor do Workload Identity Pool
• SERVICE_ACCOUNT_EMAIL: se usar a simulação de identidade de uma conta de serviço, substitua-o pelo endereço de email da conta de serviço. Omita este sinalizador se não usar a simulação da conta de serviço.
• SERVICE_ACCOUNT_TOKEN_LIFETIME: se usar a representação da conta de serviço, substitua-o pela duração total da chave de acesso da conta de serviço, em segundos. Por predefinição, é de uma hora quando não é fornecido. Omita este sinalizador se não usar a simulação da conta de serviço. Para especificar uma duração total superior a uma hora, tem de configurar a constraints/iam.allowServiceAccountCredentialLifetimeExtension restrição da política organizacional.
• FILEPATH: ficheiro no qual guardar a configuração.
• TOKEN_URL: URL para obter o token de ID do OIDC
• KEY_n, VALUE_n: cabeçalhos personalizados a incluir no pedido HTTP para TOKEN_URL
• SOURCE_TYPE: formato do ficheiro de token de ID do OIDC, definido como text (predefinição) ou json
• FIELD_NAME: campo no ficheiro de texto que contém o token (se SOURCE_TYPE for json)