建立並授予機密資源的存取權

直接存取資源

直接資源存取方法包括設定 WIP 和供應商，然後根據特定工作負載容器映像檔摘要設定 IAM 角色。

設定 WIP 和提供者

如要設定 WIP 和供應商，請完成下列操作：

1. 建立 WIP：

   gcloud iam workload-identity-pools create DATA_COLLABORATOR_POOL_NAME \
       --location=global
   

2. 在 WIP 中建立 OIDC 提供者：

   gcloud iam workload-identity-pools providers create-oidc attestation-verifier \
       --location=global \
       --workload-identity-pool=DATA_COLLABORATOR_POOL_NAME \
       --issuer-uri="https://confidentialcomputing.googleapis.com/" \
       --allowed-audiences="https://sts.googleapis.com" \
       --attribute-mapping="google.subject=\"gcpcs::\"+assertion.submods.container.image_digest+\"::\"+assertion.submods.gce.project_number+\"::\"+assertion.submods.gce.instance_id,attribute.image_digest=assertion.submods.container.image_digest" \
       --attribute-condition="assertion.swname == 'CONFIDENTIAL_SPACE' \
           && 'STABLE' in assertion.submods.confidential_space.support_attributes"
   

   本範例使用下列值：

   • issuer-uri，也就是使用 Google Cloud Attestation 做為認證服務。https://confidentialcomputing.googleapis.com/

   • allowed-audiences 的 https://sts.googleapis.com。這是 Google 的安全權杖服務，可將憑證換成存取權杖。

   • attribute-mapping 的 google.subject，具有下列值：

     \"gcpcs::\"+assertion.submods.container.image_digest+\"::\"+assertion.submods.gce.project_number+\"::\"+assertion.submods.gce.instance_id,attribute.image_digest=assertion.submods.container.image_digest
     

     這個值是使用一般運算語言 (CEL) 建構而成。系統會將下列值指派給 gcpcs 屬性，且每當工作負載存取資源時，這些值都會顯示在 Cloud Logging 中：

     • assertion.submods.container.image_digest：工作負載容器映像檔摘要。

     • assertion.submods.gce.project_number：VM 執行個體的專案編號。

     • assertion.submods.gce.instance_id：VM 執行個體的 ID。

     此外，attribute.image_digest 會設為 assertion.submods.container.image_digest，也就是工作負載容器映像檔摘要。這個屬性會經過對應，因此您可以根據特定映像檔摘要授予同盟身分 IAM 角色。

     只要 google.subject 值的總長度少於 127 個位元組，您就可以對應任何可用的工作負載聲明。

   • 以下 attribute-conditions 會形成認證政策。如果這些條件與工作負載的聲明相符，工作負載就能以同盟身分存取機密資源：

     • assertion.swname == 'CONFIDENTIAL_SPACE'：驗證 Confidential Space 是否為 VM 上執行的軟體，並提供所有內建安全保障。

     • 'STABLE' in assertion.submods.confidential_space.support_attributes： 確認使用的是正式版 Confidential Space 映像檔，且具有 STABLE 支援屬性。

     如要瞭解更多可用的屬性條件，請參閱「建立認證政策」。

授予聯合身分 IAM 角色

建立 WIP 提供者後，您可以根據身分識別的工作負載映像檔容器摘要是否符合預期值，授予聯合身分識別 IAM 角色。

以下範例說明如何授予同盟身分可解密特定 Cloud Key Management Service 金鑰的權限：

gcloud kms keys add-iam-policy-binding \
    projects/DATA_COLLABORATOR_PROJECT_ID/locations/global/keyRings/DATA_COLLABORATOR_KEYRING_NAME/cryptoKeys/DATA_COLLABORATOR_KEY_NAME \
    --member="principalSet://iam.googleapis.com/projects/DATA_COLLABORATOR_PROJECT_NUMBER/locations/global/workloadIdentityPools/DATA_COLLABORATOR_POOL_NAME/attribute.image_digest/WORKLOAD_CONTAINER_IMAGE_DIGEST" \
    --role=roles/cloudkms.cryptoKeyDecrypter

服務帳戶模擬

服務帳戶模擬方法包含下列步驟：

1. 在每個資料協作者專案中建立服務帳戶，並授予解密機密資料的權限。

2. 在每個資料協作者專案中建立 WIP，然後將剛建立的每個專案服務帳戶附加至 WIP。

3. 在每個 WIP 中建立 WIP 提供者，將工作負載服務帳戶指定為允許模擬資料協作者服務帳戶的帳戶。

設定服務帳戶來解密機密資料

1. 在資料協作者專案中建立服務帳戶：

   gcloud iam service-accounts create DATA_COLLABORATOR_SERVICE_ACCOUNT_NAME
   

   授予服務帳戶解密機密資料所需的權限。舉例來說，您可能會使用 Cloud KMS 加密 Cloud Storage 中的機密檔案，因此需要授予服務帳戶解密該資料的權限：

   gcloud kms keys add-iam-policy-binding \
       projects/DATA_COLLABORATOR_PROJECT_ID/locations/global/keyRings/DATA_COLLABORATOR_KEYRING_NAME/cryptoKeys/DATA_COLLABORATOR_KEY_NAME \
       --member=serviceAccount:DATA_COLLABORATOR_SERVICE_ACCOUNT_NAME@DATA_COLLABORATOR_PROJECT_ID.iam.gserviceaccount.com \
       --role=roles/cloudkms.cryptoKeyDecrypter
   

設定 WIP 和提供者

如要設定 WIP 和供應商，請在每個資料協作者專案中完成下列操作：

1. 建立 WIP：

   gcloud iam workload-identity-pools create DATA_COLLABORATOR_POOL_NAME \
       --location=global
   

2. 將要模擬的服務帳戶附加至 WIP，並指派 roles/iam.workloadIdentityUser 角色：

   gcloud iam service-accounts add-iam-policy-binding \
       DATA_COLLABORATOR_SERVICE_ACCOUNT_NAME@DATA_COLLABORATOR_PROJECT_ID.iam.gserviceaccount.com \
       --member="principalSet://iam.googleapis.com/projects/DATA_COLLABORATOR_PROJECT_NUMBER/locations/global/workloadIdentityPools/DATA_COLLABORATOR_POOL_NAME/*" \
       --role=roles/iam.workloadIdentityUser
   

3. 在 WIP 中建立 OIDC 供應商，並在其中定義工作負載服務帳戶，以便模擬資料協作者服務帳戶：

   gcloud iam workload-identity-pools providers create-oidc attestation-verifier \
       --location=global \
       --workload-identity-pool=DATA_COLLABORATOR_POOL_NAME \
       --issuer-uri="https://confidentialcomputing.googleapis.com/" \
       --allowed-audiences="https://sts.googleapis.com" \
       --attribute-mapping="google.subject=assertion.sub" \
       --attribute-condition="assertion.submods.container.image_digest == 'WORKLOAD_CONTAINER_IMAGE_DIGEST' \
   && 'WORKLOAD_SERVICE_ACCOUNT_NAME@WORKLOAD_OPERATOR_PROJECT_ID.iam.gserviceaccount.com' in assertion.google_service_accounts \
   && assertion.swname == 'CONFIDENTIAL_SPACE' \
   && 'STABLE' in assertion.submods.confidential_space.support_attributes"
   

   本範例使用下列值：

   • issuer-uri，也就是使用 Google Cloud Attestation 做為認證服務。https://confidentialcomputing.googleapis.com/

   • allowed-audiences 的 https://sts.googleapis.com。這是 Google 的安全權杖服務，可將憑證換成存取權杖。

   • google.subject 的 attribute-mapping，值為 assertion.sub。這是 VM 執行個體的 selfLink，如認證權杖中的 sub 聲明所定義。

     每當工作負載存取資源時，VM 執行個體 selfLink 就會顯示在 Cloud Logging 中。

   • 以下 attribute-conditions 會形成認證政策。如果這些條件與工作負載的判斷結果相符，工作負載就能以聯盟身分存取資源：

     • assertion.submods.container.image_digest == 'WORKLOAD_CONTAINER_IMAGE_DIGEST'： 確認工作負載容器映像檔摘要與預期值相符。

     • 'WORKLOAD_SERVICE_ACCOUNT_NAME@WORKLOAD_PROJECT_ID.iam.gserviceaccount.com' in assertion.google_service_accounts： 驗證附加至工作負載的服務帳戶是否與預期服務帳戶相符，然後使用該服務帳戶模擬資料協作者服務帳戶。

     • assertion.swname == 'CONFIDENTIAL_SPACE'：驗證 Confidential Space 是否為 VM 上執行的軟體，並提供所有內建安全保障。

     • 'STABLE' in assertion.submods.confidential_space.support_attributes： 確認使用的是正式版 Confidential Space 映像檔，且具有 STABLE 支援屬性。

     如要瞭解更多可用的屬性條件，請參閱「建立認證政策」。