워크로드 아이덴티티 풀 및 공급업체 관리

이 페이지에서는 기존 워크로드 아이덴티티 풀 및 ID 공급업체를 관리하는 방법을 설명합니다.

Google Cloud 콘솔, Google Cloud CLI 또는 REST API를 사용하여 풀과 제공업체를 관리할 수 있습니다.

시작하기 전에

워크로드 아이덴티티 풀을 만듭니다. 자세한 방법은 다음 페이지 중 하나를 참조하세요.

• AWS에서 리소스 액세스
• Microsoft Azure에서 리소스 액세스
• OIDC ID 공급업체에서 리소스 액세스
• SAML 2.0 ID 공급업체에서 리소스 액세스

필요한 역할

워크로드 아이덴티티 풀과 제공업체를 관리하는 데 필요한 권한을 얻으려면 관리자에게 프로젝트에 대한 다음 IAM 역할을 부여해 달라고 요청하세요.

• 풀과 제공업체를 보려는 경우: IAM 워크로드 아이덴티티 풀 뷰어(roles/iam.workloadIdentityPoolViewer)
• 풀과 제공업체를 보고 만들고 업데이트하고 삭제하려는 경우: IAM 워크로드 아이덴티티 풀 관리자(roles/iam.workloadIdentityPoolAdmin)

역할 부여에 대한 자세한 내용은 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.

이러한 사전 정의된 역할에는 워크로드 아이덴티티 풀과 제공업체를 관리하는 데 필요한 권한이 포함되어 있습니다. 필요한 정확한 권한을 보려면 필수 권한 섹션을 펼치세요.

커스텀 역할이나 다른 사전 정의된 역할을 사용하여 이 권한을 부여받을 수도 있습니다.

워크로드 아이덴티티 풀 관리

이 섹션에서는 워크로드 아이덴티티 풀을 관리하는 방법을 보여줍니다.

풀 만들기

프로젝트에 워크로드 아이덴티티 풀을 만들려면 다음을 수행합니다.

풀 나열

프로젝트의 모든 워크로드 아이덴티티 풀을 나열하려면 다음을 수행합니다.

풀 가져오기

특정 워크로드 아이덴티티 풀의 세부정보를 가져오려면 다음을 수행합니다.

풀 업데이트

워크로드 아이덴티티 풀을 사용 설정하거나 중지할 수 있습니다. 표시 이름이나 설명을 변경할 수도 있습니다.

기존 워크로드 아이덴티티 풀을 업데이트하려면 다음을 수행합니다.

풀 삭제

워크로드 아이덴티티 풀을 삭제하면 워크로드 아이덴티티 풀 제공업체도 삭제됩니다. 따라서 풀의 ID에서Google Cloud 리소스에 액세스할 수 없습니다.

삭제 후 최대 30일 동안 풀 삭제를 취소할 수 있습니다. 30일 후에는 영구적으로 삭제됩니다. 풀이 영구적으로 삭제될 때까지는 새 워크로드 아이덴티티 풀을 만들 때 해당 이름을 다시 사용할 수 없습니다.

워크로드 아이덴티티 풀 및 ID 공급업체를 삭제하려면 다음을 수행합니다.

풀 삭제 취소

삭제된 워크로드 아이덴티티 풀은 삭제 후 최대 30일 이내에 복구할 수 있습니다.

풀을 삭제 취소하려면 다음을 수행합니다.

워크로드 아이덴티티 풀 제공업체 관리

이 섹션에서는 워크로드 아이덴티티 풀 제공업체를 관리하는 방법을 보여줍니다.

공급업체 만들기

기존 워크로드 아이덴티티 풀에서 워크로드 아이덴티티 풀 제공업체를 만들려면 다음을 수행합니다.

공급업체 나열

프로젝트의 워크로드 아이덴티티 풀 공급업체를 나열하려면 다음을 수행합니다.

공급업체 가져오기

특정 워크로드 아이덴티티 풀 제공업체의 세부정보를 가져오려면 다음을 수행합니다.

공급업체 업데이트

워크로드 아이덴티티 풀 제공업체를 사용 설정하거나 중지할 수 있습니다. 계정 정보, 속성 매핑, 표시 이름 및 설명을 업데이트할 수도 있습니다.

기존 워크로드 아이덴티티 풀 제공업체를 업데이트하려면 다음을 수행합니다.

공급업체 삭제

워크로드 아이덴티티 풀 공급업체를 삭제하면 공급업체의 ID에서 Google Cloud 리소스에 더 이상 액세스할 수 없습니다.

삭제 후 최대 30일 동안 공급업체 삭제를 취소할 수 있습니다. 30일 후에는 영구적으로 삭제됩니다. 공급업체가 영구적으로 삭제될 때까지는 새 공급업체를 만들 때 해당 이름을 재사용할 수 없습니다.

워크로드 아이덴티티 풀 공급업체를 삭제하려면 다음을 수행합니다.

공급업체 삭제 취소

삭제된 워크로드 아이덴티티 풀 제공업체를 삭제 후 최대 30일 이내에 복구할 수 있습니다. 공급업체 삭제를 취소하려면 다음 안내를 따르세요.

워크로드 아이덴티티 제휴 제약 조건 관리

조직 정책 제약조건을 사용하여 Google Cloud 조직의 리소스 사용 방법을 제한할 수 있습니다.

이 섹션에서는 워크로드 아이덴티티 제휴를 사용할 때 권장되는 제약 조건을 설명합니다.

ID 공급업체 구성 제한

조직 관리자는 조직에서 제휴할 수 있는 ID 공급업체를 결정할 수 있습니다.

허용되는 ID 공급업체를 관리하려면 조직의 조직 정책에서 constraints/iam.workloadIdentityPoolProviders 목록 제약을 사용 설정하세요. 이 제약은 허용된 제공업체의 발급기관 URI를 지정합니다. Google Cloud 콘솔 또는 Google Cloud CLI를 사용하여 이 제약조건을 사용 설정할 수 있습니다.

AWS에서의 제휴만 허용하려면 URI https://sts.amazonaws.com으로 단일 제약조건을 만듭니다. 다음 예시에서는 gcloud CLI를 사용하여 이 제약조건을 만드는 방법을 보여줍니다.

gcloud resource-manager org-policies allow constraints/iam.workloadIdentityPoolProviders \
     https://sts.amazonaws.com --organization=ORGANIZATION_NUMBER

Google Cloud 리소스에 액세스할 수 있는 AWS 계정 ID를 지정할 수도 있습니다. 계정 ID를 지정하려면 constraints/iam.workloadIdentityPoolAwsAccounts 목록 제약조건을 사용합니다.

gcloud resource-manager org-policies allow constraints/iam.workloadIdentityPoolAwsAccounts \
    ACCOUNT_ID --organization=ORGANIZATION_NUMBER

하나의 OIDC 공급업체의 제휴만 허용하려면 허용되는 공급업체의 issuer_uri를 사용하여 단일 제약조건을 만듭니다. 예를 들어 다음은 특정 Azure 테넌트의 제휴만 허용합니다.

gcloud resource-manager org-policies allow constraints/iam.workloadIdentityPoolProviders \
     https://sts.windows.net/AZURE_TENANT_ID --organization=ORGANIZATION_NUMBER

SAML ID 공급업체의 제휴는 특별한 경우입니다. 어설션 유효성을 검사하는 데 사용되는 공개 키가 ID 공급업체에서 직접 가져오는 대신 구성 시간에 제공되기 때문입니다. 따라서 악의적인 사용자가 조직의 ID 공급업체의 항목 ID와 비공개 키에 대한 액세스 권한이 있는 공개 키를 사용하여 SAML 메타데이터 문서를 업로드하려고 할 수 있습니다. 이 시나리오에서 제휴를 항목 ID별로 제한하면 보안이 취약한 것입니다. 따라서 조직이 중앙에서 관리하는 Google Cloud 프로젝트에서 SAML 제휴를 허용하는 워크로드 아이덴티티 풀 생성만 허용하는 것이 좋습니다. 그런 다음 해당 워크로드 아이덴티티 풀의 외부 ID에 조직 전체의 리소스에 대한 액세스 권한을 부여할 수 있습니다.

SAML ID 공급업체에서 제휴를 허용하려면 특수 키워드 KEY_UPLOAD를 허용하는 제약조건을 만듭니다.

gcloud resource-manager org-policies allow constraints/iam.workloadIdentityPoolProviders \
     KEY_UPLOAD --organization=ORGANIZATION_NUMBER

이 명령어를 반복하여 다른 공급업체의 제휴를 허용할 수 있습니다.

모든 공급업체에서 제휴를 차단하려면 다음 안내를 따르세요.

1. 다음을 포함하는 YAML 파일을 만듭니다.

   constraint: constraints/iam.workloadIdentityPoolProviders
   listPolicy:
     allValues: DENY

2. 파일을 gcloud resource-manager org-policies set-policy 명령어에 전달합니다.

   gcloud resource-manager org-policies set-policy FILE_NAME.yaml \
       --organization=ORGANIZATION_NUMBER

서비스 계정 키 생성 제한

워크로드 아이덴티티 제휴를 사용하면 서비스 계정 키를 사용하지 않고도 Google Cloud 외부에서 Google Cloud 리소스에 액세스할 수 있습니다. 서비스 계정 키를 사용하여 인증하지 않는 경우 키 생성을 중지하여 위험을 줄일 수 있습니다.

서비스 계정 키 생성을 중지하려면 조직의 조직 정책에 iam.disableServiceAccountKeyCreation 불리언 제약을 적용합니다. 또한 iam.disableServiceAccountKeyUpload 부울 제약을 적용하여 서비스 계정에 대한 공개 키 업로드를 사용 중지할 수도 있습니다.

Google Cloud 콘솔 또는 gcloud CLI를 사용하여 이러한 제약조건을 사용 설정할 수 있습니다. 예를 들어 다음 gcloud CLI 명령어는 두 제약조건을 모두 사용 설정합니다.

gcloud resource-manager org-policies enable-enforce \
    constraints/iam.disableServiceAccountKeyCreation \
    --organization=ORGANIZATION_NUMBER
gcloud resource-manager org-policies enable-enforce \
    constraints/iam.disableServiceAccountKeyUpload \
    --organization=ORGANIZATION_NUMBER

워크로드 아이덴티티 제휴 모니터링

Cloud Monitoring 측정항목을 사용하여 워크로드 아이덴티티 풀과 제공업체의 인증 이벤트를 모니터링할 수 있습니다. 사용 가능한 측정항목 목록은 IAM 측정항목을 참조하세요.

다음 단계

워크로드 아이덴티티 제휴 자세히 알아보기