Red Hat SummitChapitre 2. Création d’un cluster sur GCP avec authentification de la Fédération des identités de travail
2.1. Aperçu de la Fédération de l’identité de la charge de travail
Loadload Identity Federation (WIF) est une fonctionnalité de gestion des identités et des accès (IAM) de Google Cloud Platform (GCP) qui fournit à des tiers une méthode sécurisée pour accéder aux ressources sur le compte cloud d’un client. Le WIF élimine le besoin de clés de compte de service et est la méthode d’authentification d’identification préférée de Google Cloud.
Bien que les clés de compte de service puissent fournir un accès puissant à vos ressources Google Cloud, elles doivent être maintenues par l’utilisateur final et peuvent constituer un risque de sécurité s’ils ne sont pas gérés correctement. Le WIF n’utilise pas les clés de service comme méthode d’accès pour vos ressources Google Cloud. Au lieu de cela, WIF accorde l’accès en utilisant des informations d’identification provenant de fournisseurs d’identité externes pour générer des informations d’identification de courte durée pour les charges de travail. Les charges de travail peuvent ensuite utiliser ces informations d’identification pour usurper temporairement les comptes de service et accéder aux ressources Google Cloud. Cela élimine le fardeau d’avoir à maintenir correctement les clés de compte de service et élimine le risque que les utilisateurs non autorisés aient accès aux clés de compte de service.
Les éléments suivants fournissent un aperçu de base du processus de la Fédération de l’identité de la charge de travail:
- Le propriétaire du projet Google Cloud Platform (GCP) configure un pool d’identités de charge de travail avec un fournisseur d’identité, permettant à OpenShift Dedicated d’accéder aux comptes de services associés du projet en utilisant des informations d’identification de courte durée.
- Ce pool d’identités de charge de travail est configuré pour authentifier les demandes à l’aide d’un fournisseur d’identité (IP) que l’utilisateur définit.
- Afin que les applications aient accès aux ressources cloud, elles transmettent d’abord des informations d’identification au service de jetons de sécurité (STS) de Google. Le STS utilise le fournisseur d’identité spécifié pour vérifier les informations d’identification.
- Lorsque les informations d’identification sont vérifiées, STS retourne un jeton d’accès temporaire à l’appelant, donnant à l’application la possibilité d’imiter le compte de service lié à cette identité.
Les opérateurs ont également besoin d’accéder aux ressources cloud. En utilisant WIF au lieu des clés de compte de service pour accorder cet accès, la sécurité des clusters est encore renforcée, car les clés de compte de service ne sont plus stockées dans le cluster. Au lieu de cela, les opérateurs reçoivent des jetons d’accès temporaires qui se font passer pour les comptes de service. Ces jetons sont de courte durée et régulièrement tournés.
Consultez la documentation Google Cloud Platform pour plus d’informations sur Workload Identity Federation.
La Fédération de l’identité de la charge de travail (WIF) n’est disponible que sur OpenShift Dedicated version 4.17 et ultérieure, et n’est prise en charge que par le type d’infrastructure d’abonnement au cloud client (CCS).
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}