הגדרת ADC לסביבת פיתוח מקומית

בסביבת פיתוח מקומית אתם יכולים לספק ל-ADC את פרטי הכניסה של המשתמש או את פרטי הכניסה לחשבון השירות.

פרטי הכניסה של המשתמש

כשאתם מריצים את הקוד בסביבת פיתוח מקומית, למשל בעמדת פיתוח, האפשרות הטובה ביותר היא להשתמש בפרטי הכניסה שמשויכים לחשבון המשתמש שלכם.

האופן שבו מגדירים ADC עם חשבון המשתמש תלוי בשאלה אם חשבון המשתמש מנוהל על ידי Google – כלומר, אם זה חשבון Google – או על ידי ספק זהויות (IdP) אחר, ומאוחד באמצעות איחוד שירותי אימות הזהות של כוח עבודה.

חשבון Google

כדי להגדיר ADC עם חשבון Google, משתמשים ב-Google Cloud CLI:

  1. התקינו את ה-CLI של Google Cloud.

    אם אתם משתמשים בספק זהויות חיצוני (IdP), קודם אתם צריכים להיכנס ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.

  2. If you're using a local shell, then create local authentication credentials for your user account: 

    gcloud auth application-default login

    You don't need to do this if you're using Cloud Shell.

    If an authentication error is returned, and you are using an external identity provider (IdP), confirm that you have signed in to the gcloud CLI with your federated identity.

    מסך הכניסה יופיע. אחרי שנכנסים, פרטי הכניסה נשמרים בקובץ פרטי הכניסה המקומי שמשמש את ADC.

ספק IdP חיצוני

כדי להגדיר ADC לחשבון משתמש שמנוהל על ידי IdP חיצוני ומאוחד עם איחוד זהויות של כוח עבודה:

  1. התקינו את ה-CLI של Google Cloud. אחר כך, אתחלו את ה-CLI של Google Cloud באמצעות הפקודה הבאה: 

    gcloud init

    אם אתם משתמשים בספק זהויות חיצוני (IdP), קודם אתם צריכים להיכנס ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.

  2. If you're using a local shell, then create local authentication credentials for your user account: 

    gcloud auth application-default login

    You don't need to do this if you're using Cloud Shell.

    If an authentication error is returned, and you are using an external identity provider (IdP), confirm that you have signed in to the gcloud CLI with your federated identity.

    מסך הכניסה יופיע. אחרי שנכנסים, פרטי הכניסה נשמרים בקובץ פרטי הכניסה המקומי שמשמש את ADC.

טיפים להגדרת ADC עם פרטי הכניסה של המשתמש

כשמגדירים את ה-ADC עם חשבון המשתמש, חשוב לשים לב לעובדות הבאות:

  • יכול להיות ש-ADC שהוגדר עם חשבון משתמש לא יפעל בחלק מממשקי ה-API בלי שתבצעו שלבי הגדרה נוספים. יכול להיות שתראו הודעת שגיאה על כך שה-API לא מופעל בפרויקט או שאין פרויקט זמין לצורכי מכסה. במקרה כזה, תוכלו להיעזר במאמר פרטי הכניסה של משתמשים לא פועלים.

  • קובץ ה-ADC המקומי מכיל את אסימון הרענון שלכם. כל משתמש שיש לו גישה למערכת הקבצים יכול להשתמש בו כדי לקבל אסימון גישה תקף. אם אתם לא צריכים יותר את פרטי הכניסה המקומיים, תוכלו לבטל אותם באמצעות הפקודה gcloud auth application-default revoke.

  • הקובץ המקומי של ADC משויך לחשבון המשתמש שלכם, לא להגדרות האישיות ב-CLI של gcloud. שינוי ההגדרות האישיות ב-CLI של gcloud עשוי לשנות את הזהות שמשמשת את ה-CLI של gcloud, אבל הוא לא משפיע על הקובץ המקומי של ADC או על ההגדרות של ADC.

פרטי כניסה לחשבון שירות

אתם יכולים להתחזות לחשבון שירות או להשתמש במפתח לחשבון שירות כדי להגדיר את ADC באמצעות פרטי כניסה מחשבון שירות.

התחזות לחשבון שירות

אתם יכולים להתחזות לחשבון שירות כדי להגדיר קובץ מקומי ל-Application Default Credentials (‏ADC). ספריות הלקוח שתומכות בהתחזות יכולות להשתמש בפרטי הכניסה האלה באופן אוטומטי. אפשר ליצור קבצים מקומיים ל-ADC באמצעות התחזות בשפות הבאות:

  • C#‎
  • C++‎
  • Go
  • Java
  • Node.js
  • PHP
  • Python
  • Ruby
  • חלודה

אתם צריכים את התפקיד Service Account Token Creator ‏(roles/iam.serviceAccountTokenCreator) ב-IAM לחשבון השירות שאליו אתם מתחזים. למידע נוסף תוכלו לקרוא על התפקידים הנדרשים.

כך יוצרים קובץ מקומי ל-ADC באמצעות התחזות לחשבון שירות: 

gcloud auth application-default login --impersonate-service-account SERVICE_ACCT_EMAIL

עכשיו אפשר להשתמש בספריות לקוח בשפות הנתמכות באותו אופן שבו משתמשים בהן אחרי שמגדירים קובץ ADC מקומי עם פרטי כניסה של משתמש. ספריות האימות מוצאות את פרטי הכניסה באופן אוטומטי. מידע נוסף זמין במאמר אימות לצורך שימוש בספריות לקוח.

לא כל ספריות האימות תומכות בפרטי כניסה מקובץ ADC מקומי שנוצר באמצעות התחזות לחשבון שירות. מידע נוסף מופיע במאמר שגיאה שמוחזרת לפרטי כניסה מקומיים מהתחזות לחשבון שירות.

מפתחות של חשבונות שירות

אם אין לכם אפשרות להשתמש בחשבון משתמש או להתחזות לחשבון שירות לצורכי פיתוח מקומי, תוכלו להשתמש במפתח של חשבון שירות.

כך יוצרים מפתח של חשבון שירות ומגדירים אותו כזמין ל-ADC:

  1. מבצעים את ההוראות ליצירת מפתח של חשבון שירות כדי ליצור את חשבון השירות עם התפקידים הנדרשים לאפליקציה ואת המפתח.

  2. Set the environment variable GOOGLE_APPLICATION_CREDENTIALS to the path of the JSON file that contains your credentials. This variable applies only to your current shell session, so if you open a new session, set the variable again.

המאמרים הבאים