設定 Workload Identity Federation 與其他身分提供者

OIDC

• IdP 支援 OpenID Connect 1.0。

• IdP 具有核發者 URI。

• Google Cloud 可存取包含 JSON Web Key (JWK) 的 JSON Web Key Set (JWKS)。JWK 用於驗證 OIDC 宣告權杖。您可以透過下列其中一種方法提供 JWKS 存取權：

  • Google Cloud 透過公開、知名且可透過網際網路存取的導覽網址，從 IdP 下載 OIDC 中繼資料。在中繼資料內，JWKS 網址必須使用 SSL 和 TLS 保護。JWKS 網址開頭必須是 https://。 Google Cloud 不支援以自行簽署憑證保護的 JWKS 網址。

    根據預設， Google Cloud 會將 /.well-known/openid-configuration 附加至核發者 URI，以找出導覽網址。如果 IdP 將探索中繼資料託管在自訂端點，您可以指定自訂探索 URI (--discovery-uri) (預先發布版)。

    自訂探索 URI 必須符合下列規定：

    • URI 的開頭須為 https://。
    • URI 不得超過 2,000 個字元。
    • 配置、主機和通訊埠必須與核發者 URI 相符。
    • URI 路徑必須包含 /.well-known/<suffix> (其中 <suffix> 不得為空白，例如 openid-configuration)，並符合下列其中一種核發者網址拓撲：
    • 系統會在核發者路徑前插入 well-known 路徑區隔 (例如 https://example.com/tenant1 核發者的 https://example.com/.well-known/openid-configuration/tenant1)。
    • 已知路徑區隔會附加在核發者路徑下方 (例如 https://example.com/tenant1 核發者的 https://example.com/tenant1/.well-known/openid-configuration)。

    Google Cloud 會使用這些端點網址下載 IdP 的 JSON Web Key (JWK)，並使用這些金鑰驗證權杖。Google Cloud 不會限制可下載的金鑰數量。

  • 建立或更新 OIDC workload identity pool 提供者時，您可以直接將 OIDC JWKS 檔案上傳至 Google Cloud 。為此，您可以使用 --jwk-json-path 提供 JWKS 檔案的路徑。如果 IdP 的 OIDC 中繼資料端點網址不公開，您可以使用這個方法。 Google Cloud最多可上傳 8 個金鑰。建議的最佳做法是更新 JWKS 檔案，定期輪替 JWKS 金鑰。

• 如果您使用 AWS 傳出身分聯合，從 AWS 聯合工作負載，AWS 會做為 OIDC IdP。如要準備 AWS 環境，請按照下列步驟操作：

  1. 在 AWS 帳戶設定中啟用傳出身分聯合，產生專屬的 OIDC 核發者網址。

  2. 確認 AWS 工作負載 (例如 EC2 執行個體設定檔或 ECS 任務角色) 具備必要的 AWS IAM 政策，可授予取得 JSON Web Token (JWT) 的權限。

SAML

• IdP 支援 SAML 2.0。

• IdP 會提供 SAML SP 中繼資料文件，說明 SAML 服務供應商設定，並包含 IdP 的簽署憑證。

  Google Cloud 會使用這組憑證驗證 SAML 宣告和回應。

• IdP 簽署憑證必須包含 X.509 v3 憑證中的 ECDSA 或 RSA 金鑰。

• 建議的簽署演算法包括：

  • ECDSAwithSHA256
  • RSAwithSHA256：支援的金鑰大小為 2048、3072 和 4096 位元。

• 簽署憑證必須符合下列效期規定：

  • notBefore：時間戳記，最多為未來 7 天
  • notAfter：時間戳記，不得超過未來 25 年

設定 SAML workload identity pool 提供者時，最多可同時使用三個 SAML 簽署憑證。這項限制不適用於其他 workload identity pool 提供者類型，例如 OIDC 和 X.509。如果有多個憑證， Google Cloud 會逐一檢查，並嘗試使用每個未過期的憑證來完成權杖交換要求。

基於安全性最佳做法，強烈建議您不要與其他服務重複使用相同的金鑰組。

OIDC

設定 IdP，讓工作負載取得符合下列條件的 ID 權杖：

• 權杖會使用 RS256 或 ES256 演算法簽署。

• 權杖包含 aud 宣告，其值如下：

  https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID
  

  更改下列內容：

  • PROJECT_NUMBER：用於建立 workload identity pool 的 Google Cloud 專案編號。
  • POOL_ID：您選擇用來識別 workload identity pool 的 ID。稍後建立 workload identity pool 時，必須使用相同 ID。
  • WORKLOAD_PROVIDER_ID：您選擇的 ID，用於識別 workload identity pool 提供者。稍後建立 workload identity pool 提供者時，必須使用相同的 ID。

  或者，您也可以將 workload identity pool 提供者設定為預期自訂目標對象。

• 權杖包含未來的 exp 宣告和過去的 iat 宣告。

  exp 的值必須大於 iat 的值，且兩者相差最多 24 小時。

• 憑證繫結權杖 (預先發布版)：權杖可選擇包含 cnf (確認) 宣告，其中含有 SHA-256 憑證指紋 (x5t#S256)：

  "cnf": {
    "x5t#S256": "BASE64URL_SHA256_CERT_FINGERPRINT"
  }
  

  x5t#S256 的值必須是 SHA-256 雜湊，且該雜湊是採用 base64url 編碼，並以 DER 編碼用戶端的 X.509 憑證。當包含這項憑證資訊的權杖透過雙向 TLS (mTLS) 連線 (sts.mtls.googleapis.com) 傳送至 Workload Identity Federation 時，Security Token Service 會驗證指紋是否與 TLS 握手期間提供的用戶端憑證相符，並核發以加密方式繫結至憑證的短期存取權杖。

  如要保護資源，防範權杖竊取和重送攻擊，請設定情境感知存取權政策，強制執行繫結憑證的權杖。

一般來說，執行權杖交換時，最好使用 ID 權杖，因為 ID 權杖會反映使用者身分。如果決定改用存取權杖，請確認存取權杖符合下列額外規定：

• 存取權杖採用 JSON Web Token 格式。

• 存取權杖包含 ISSUER 宣告，因此網址 ISSUER/.well-known/openid-configuration 會指向 IdP 的 OIDC 中繼資料端點。

• 如要上傳本機 JWK 金鑰，請參閱「管理 OIDC JWK」。

SAML

設定 IdP，讓 SAML 聲明包含符合下列條件的元素：

• Issuer 元素，設為 workload identity pool 提供者中設定的實體 ID。核發者格式必須省略或設為 urn:oasis:names:tc:SAML:2.0:nameid-format:entity。
• Subject 元素，包含：
  • NameID 元素。
  • 一個 SubjectConfirmation 元素，且 Method 設為 urn:oasis:names:tc:SAML:2.0:cm:bearer。
  • SubjectConfirmationData 元素，其中 NotOnOrAfter 設為未來的時間戳記，且沒有 NotBefore 值。

• Conditions 元素，包含：

  • NotBefore 遭省略或已過期。
  • NotOnOrAfter已省略或在未來。

  • Audience，格式如下：

    https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID
    

    更改下列內容：

    • PROJECT_NUMBER：用於建立 workload identity pool 的 Google Cloud 專案編號。
    • POOL_ID：您選擇用來識別 workload identity pool 的 ID。稍後建立 workload identity pool 時，必須使用相同 ID。
    • WORKLOAD_PROVIDER_ID：您選擇的 ID，用於識別 workload identity pool 提供者。稍後建立 workload identity pool 提供者時，必須使用相同的 ID。

• 至少一個 AuthnStatement 元素。

• SessionNotOnOrAfter 元素的時間戳記在未來。或者，也可以省略這個元素。

對於 SAML 回應中包含的 SAML 斷言，SAML 回應必須包含：

• 只有一個斷言符合本節稍早所述的 SAML 斷言條件。
• IssueInstant 屬性的值小於 1 小時。
• StatusCode urn:oasis:names:tc:SAML:2.0:status:Success。

SAML 斷言和/或回應必須經過簽署。

OIDC

屬性對應可以使用外部 IdP 核發的 ID 權杖或存取權杖中嵌入的宣告。

您必須將其中一項要求對應至 google.subject，才能識別不重複的使用者。為防範假冒威脅，請選擇具有不變唯一值的聲明。

許多 IdP 會在 sub 宣告中填入不重複且不可變更的 ID。對於這些 IdP，建議將 sub 宣告對應至 google.subject：

google.subject=assertion.sub

請避免使用「email」這類聲明。電子郵件地址通常可以重新指派或變更，因此無法永久識別不重複的使用者。

使用身分委派功能對應執行者屬性 (預先發布版)： 使用身分委派功能時，Security Token Service 會合併主體宣告和執行者宣告，並在 act 宣告物件下公開執行者宣告。您可以使用 assertion.act.<claim_name>，在屬性對應中參照 actor 宣告。

執行委派權杖交換時，系統只會評估及套用主體提供者的屬性對應和屬性條件。系統會忽略在執行者提供者上設定的所有屬性對應或屬性條件。

舉例來說，您可以將執行者的主體 ID 和核發者 URI 對應至自訂 Google 屬性：

attribute.actor_subject=assertion.act.sub,attribute.actor_issuer=assertion.act.iss

如果使用多躍點委派，上游執行者會以巢狀結構列在 assertion.act.act 中。不過，巢狀結構的宣告順序不一定相同。

SAML

屬性對應可以使用外部 IdP 核發的斷言中嵌入的 <Subject> 和 <Attribute> 元素。您可以使用下列關鍵字參照 SAML 屬性：

• assertion.subject 包含在 <Subject> 元素中找到的已驗證使用者 NameID。
• assertion.attributes['ATTRIBUTE_NAME'] 包含同名 <Attribute> 的值清單。

您必須將其中一項要求對應至 google.subject，才能識別不重複的使用者。為防範假冒威脅，請選擇具有不重複且無法變更值的聲明。

許多 IdP 會在 NameId 中填入不重複且不可變更的 ID。對於這些 IdP，請考慮將 NameId 屬性對應至 google.subject：

google.subject=assertion.subject

請避免使用 http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress 等屬性。電子郵件地址通常可以重新指派或變更，因此無法永久且明確地識別使用者。

OIDC

您可以使用屬性條件，限制哪些使用者可以透過 Workload Identity Federation 取得短期 Google Cloud權杖。

舉例來說，下列條件會限制存取權，僅限包含自訂 service_account 宣告且值為 true 的權杖：

assertion.service_account==true

身分委派 (執行者權杖) 條件 (預先發布版)：使用身分委派時，您可以使用 CEL 屬性條件，限制哪些執行者可以代表主體執行作業，或對執行者權杖強制執行特定聲明。

舉例來說，下列條件要求必須有執行者權杖，且執行者來自預期的核發者：

has(assertion.act) && assertion.act.iss == 'https://actor-idp.example.com'

如要限制特定執行者主體 ID 的存取權，請按照下列步驟操作：

assertion.act.sub == 'authorized-agent-worker'

SAML

您可以使用屬性條件，限制哪些使用者可以透過 Workload Identity Federation 取得短期 Google Cloud權杖。

舉例來說，下列條件會限制存取包含自訂 https://example.com/SAML/Attributes/AllowGcpFederation 屬性且值為 true 的斷言：

assertion.attributes['https://example.com/SAML/Attributes/AllowGcpFederation'][0]=='true'

控制台

1. 前往 Google Cloud 控制台的「New workload provider and pool」(新增工作負載提供者和集區) 頁面。

   前往「New workload provider and pool」(新增工作負載提供者和集區)

2. 在「建立身分集區」下方，輸入下列內容：

   • 名稱：集區名稱。這個名稱也會做為集區 ID。集區 ID 設定後即無法變更。
   • 說明：說明集區用途的文字。

3. 按一下「繼續」。

4. 按照下列方式設定提供者：

   OIDC

   • 在「選取提供者」中，選取「OpenID Connect (OIDC)」。
   • 在「Provider name」(供應商名稱) 中，輸入供應商名稱。這個名稱也會做為供應商 ID。提供者建立後，即無法變更提供者 ID。
   • 在「Issuer URL」中，輸入 IdP 的核發者網址。網址開頭必須是 https://
   • 選用：在「JWK file (JSON)」中，選擇要上傳的 JWK 檔案。如未提供這個欄位， Google Cloud 會嘗試從核發者擷取 JWK。
   • 允許的目標對象：ID 權杖的預期目標對象。

   SAML

   • 在「Select a provider」中，選取「SAML」。
   • 在「Provider name」(供應商名稱) 中，輸入供應商名稱。這個名稱也會做為供應商 ID。提供者建立後，即無法變更提供者 ID。
   • 在「IDP Metadata file (XML)」中，上傳 IdP 提供的 SAML 中繼資料 XML 文件。

5. 按一下「繼續」。

6. 在「Configure provider attributes」(設定提供者屬性) 下方，新增您在本指南稍早確定的屬性對應。

7. 在「Attribute conditions」(屬性條件) 下方，輸入您稍早在本指南中找到的屬性條件。如果沒有屬性條件，請將欄位留空。

8. 如要建立 workload identity pool 和提供者，請按一下「Save」(儲存)。

gcloud

1. 如要建立新的 workload identity pool，請執行下列指令：

   gcloud iam workload-identity-pools create POOL_ID \
       --location="global" \
       --description="DESCRIPTION" \
       --display-name="DISPLAY_NAME"
   

   更改下列內容：

   • POOL_ID：集區的專屬 ID。
   • DISPLAY_NAME：集區名稱。
   • DESCRIPTION：所選集區的說明。授予集區身分的存取權時，會顯示這段說明。

2. 如要新增 workload identity pool 提供者，請按照下列步驟操作：

   OIDC

   如要新增 OIDC workload identity pool 提供者，請執行下列指令：

   gcloud iam workload-identity-pools providers create-oidc WORKLOAD_PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="POOL_ID" \
       --issuer-uri="ISSUER" \
       --discovery-uri="DISCOVERY_URI" \
       --allowed-audiences="AUDIENCE" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS" \
       --jwk-json-path="JWK_JSON_PATH" \
       --actor-providers="ACTOR_PROVIDERS"
   

   更改下列內容：

   • WORKLOAD_PROVIDER_ID：您選擇的不重複 workload identity pool 提供者 ID。
   • POOL_ID：您先前建立的 workload identity pool ID。
   • ISSUER：OIDC 中繼資料中定義的核發者 URI。
   • DISCOVERY_URI 預先發布版：如果 IdP 未在 https://<issuer_url>/.well-known/openid-configuration 託管已知的 OIDC 探索端點，則可選擇自訂探索網址，擷取 OIDC 中繼資料。配置、主機和通訊埠必須與 ISSUER 相符，路徑則必須符合核發者網址拓撲 (包含 /.well-known/<suffix>)。
   • AUDIENCE：ID 權杖的預期目標對象，對許多供應商來說，這與用戶端 ID 相符。
   • MAPPINGS：以半形逗號分隔的清單，列出您在本指南稍早建立的屬性對應。
   • CONDITIONS：您在本指南稍早建立的選用屬性條件。如果沒有屬性條件，請移除參數。
   • JWK_JSON_PATH：在本機上傳的 OIDC JWK 的選用路徑。如未提供這項參數， Google Cloud 會改用導覽網址 (DISCOVERY_URI 或 IdP 的 /.well-known/openid-configuration 路徑)，尋找含有公開金鑰的 JWK。
   • ACTOR_PROVIDERS 預先發布版：選用清單，以逗號分隔相同集區中 workload identity pool 提供者的完整資源名稱，這些提供者有權為這個提供者核發 actor 權杖 (例如 projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/ACTOR_PROVIDER_ID)。資源名稱中的專案容器 ID 必須與主體提供者使用的格式相符 (兩者皆使用數字專案編號，或皆使用專案 ID)。最多可以指定三個執行者供應商。詳情請參閱「設定身分委派和執行者權杖」。

   SAML

   如要新增 SAML workload identity pool 提供者，請執行下列指令：

   gcloud iam workload-identity-pools providers create-saml WORKLOAD_PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="POOL_ID" \
       --idp-metadata-path="IDP_METADATA_PATH" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
   

   更改下列內容：

   • POOL_ID：集區 ID
   • IDP_METADATA_PATH：SAML IdP 中繼資料文件的本機路徑
   • MAPPINGS：以半形逗號分隔的清單，列出您先前在本指南中建立的屬性對應
   • CONDITIONS：選用：您稍早依本指南建立的屬性條件

   前置字串 gcp- 為保留字串，不得用於員工身分集區或員工身分集區提供者 ID。

   選用：接受來自 IdP 的加密 SAML 宣告

   如要讓 SAML 2.0 IdP 產生 Workload Identity Federation 可接受的加密 SAML 宣告，請按照下列步驟操作：

   • 在 Workload Identity Federation 中，執行下列操作：
   • 為 workload identity pool 提供者建立非對稱金鑰組。
   • 下載內含公開金鑰的憑證檔案。
   • 設定 SAML IdP，使用公開金鑰加密其核發的 SAML 宣告。
   • 在 IdP 中執行下列操作：
   • 啟用斷言加密 (又稱權杖加密)。
   • 上傳您在 workload identity federation 中建立的公開金鑰。
   • 確認 IdP 會產生加密的 SAML 斷言。

   請注意，即使已設定 SAML 加密提供者金鑰，Workload Identity Federation 仍可處理明文斷言。

   建立 Workload Identity Federation SAML 斷言加密金鑰

   本節將引導您建立非對稱金鑰組，讓 Workload Identity Federation 接受加密的 SAML 斷言。

   Google Cloud 會使用私密金鑰解密 IdP 核發的 SAML 宣告。如要建立非對稱金鑰組，用於 SAML 加密，請執行下列指令。詳情請參閱「支援的 SAML 加密演算法」。

   gcloud iam workload-identity-pools providers keys create KEY_ID \
       --workload-identity-pool WORKLOAD_POOL_ID \
       --provider WORKLOAD_PROVIDER_ID \
       --location global \
       --use encryption \
       --spec KEY_SPECIFICATION

   替換下列內容：

   • KEY_ID：您選擇的金鑰名稱
   • WORKLOAD_POOL_ID：集區 ID
   • WORKLOAD_PROVIDER_ID：員工身分集區提供者 ID
   • KEY_SPECIFICATION：金鑰規格，可以是 rsa-2048、rsa-3072 和 rsa-4096 其中之一。

   建立金鑰組後，請執行下列指令，將公開金鑰下載至憑證檔案。只有 Workload Identity Federation 才能存取私密金鑰。

   gcloud iam workload-identity-pools providers keys describe KEY_ID \
       --workload-identity-pool WORKLOAD_POOL_ID \
       --provider WORKLOAD_PROVIDER_ID \
       --location global \
       --format "value(keyData.key)" \
       > CERTIFICATE_PATH

   替換下列內容：

   • KEY_ID：金鑰名稱
   • WORKLOAD_POOL_ID：集區 ID
   • WORKLOAD_PROVIDER_ID：員工身分集區提供者 ID
   • CERTIFICATE_PATH：憑證寫入路徑，例如 saml-certificate.cer 或 saml-certificate.pem

   設定符合 SAML 2.0 規範的 IdP，以便核發加密的 SAML 宣告

   設定 SAML IdP，使用上一步下載的公開憑證，加密其發出的 SAML 宣告。如需具體操作說明，請洽詢 IdP 團隊。

   將 IdP 設為加密 SAML 斷言後，建議您確認系統產生的斷言確實經過加密。即使設定了 SAML 斷言加密，workload identity federation 仍可處理明文斷言。

   刪除 Workload Identity Federation 加密金鑰

   如要刪除 SAML 加密金鑰，請執行下列指令：

     gcloud iam workload-identity-pools providers keys delete KEY_ID \
         --workload-identity-pool WORKLOAD_POOL_ID \
         --provider WORKLOAD_PROVIDER_ID \
         --location global

   替換下列內容：

   • KEY_ID：金鑰名稱
   • WORKLOAD_POOL_ID：集區 ID
   • WORKLOAD_PROVIDER_ID：員工身分集區提供者 ID

   支援的 SAML 加密演算法

   Workload Identity Federation 支援下列金鑰傳輸演算法：

   • http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p
   • http://www.w3.org/2009/xmlenc11#rsa-oaep"
   • http://www.w3.org/2001/04/xmlenc#rsa-1_5"

   Workload Identity Federation 支援下列區塊加密演算法：

   • http://www.w3.org/2001/04/xmlenc#aes128-cbc
   • http://www.w3.org/2001/04/xmlenc#aes192-cbc
   • http://www.w3.org/2001/04/xmlenc#aes256-cbc
   • http://www.w3.org/2009/xmlenc11#aes128-gcm
   • http://www.w3.org/2009/xmlenc11#aes256-gcm

直接存取資源

您可以使用 Google Cloud 控制台或 gcloud CLI，直接授予聯合身分資源存取權。

服務帳戶模擬

1. 如要為外部工作負載建立服務帳戶，請執行下列操作：

   1. 啟用 IAM、Security Token Service 和 Service Account Credentials API (如果尚未啟用)。

      啟用 API 所需的角色

      您必須具備 serviceusage.services.enable 權限，才能啟用 API。如果您建立了專案，可能已透過「擁有者」角色 (roles/owner) 取得這項權限。否則，您可以透過「Service Usage 管理員」角色 (roles/serviceusage.serviceUsageAdmin) 取得這項權限。瞭解如何授予角色。

      啟用 API

   2. 建立代表工作負載的服務帳戶。建議您為每項工作負載使用專屬服務帳戶。服務帳戶不一定要與 workload identity pool 位於相同專案，但您必須參照含有服務帳戶的專案。

   3. 授予服務帳戶存取權，讓外部身分存取所需資源。

2. 如要允許聯合身分模擬服務帳戶，請按照下列步驟操作：

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE"

可執行檔來源憑證

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --service-account-token-lifetime-seconds=SERVICE_ACCOUNT_TOKEN_LIFETIME \
    --sts-location=REGION \
    --output-file=FILEPATH.json \
    --executable-command=EXECUTABLE_COMMAND \
    --executable-timeout-millis=EXECUTABLE_TIMEOUT \
    --executable-output-file=EXECUTABLE_OUTPUT_FILE

更改下列內容：

• PROJECT_NUMBER：Workload Identity Pool 所在專案的專案編號。
• POOL_ID：workload identity pool 的 ID。
• WORKLOAD_PROVIDER_ID：workload identity pool 提供者的 ID。
• SERVICE_ACCOUNT_EMAIL：如果使用服務帳戶模擬功能，請替換為服務帳戶的電子郵件地址。如果不使用服務帳戶模擬功能，請省略這個旗標。
• SERVICE_ACCOUNT_TOKEN_LIFETIME：如果使用服務帳戶模擬功能，請替換為服務帳戶存取權杖的生命週期 (以秒為單位)；如未提供，則預設為一小時。如果不使用服務帳戶模擬功能，請省略這個旗標。如要指定超過一小時的生命週期，您必須設定 constraints/iam.allowServiceAccountCredentialLifetimeExtension 組織政策限制。
• REGION：選用。指定區域 Security Token Service 端點的區域 (如有)。
• FILEPATH：要儲存設定的檔案。
• EXECUTABLE_COMMAND：要執行以擷取 OIDC ID 權杖的完整指令 (包括引數)，例如 --executable-command="/path/to/command --foo=bar"。
• EXECUTABLE_TIMEOUT：等待執行檔執行的時間長度 (選用，以毫秒為單位，預設為 30 秒)。
• EXECUTABLE_OUTPUT_FILE：指向執行檔產生的 3PI 憑證的路徑。這項功能適合用於快取憑證。指定這個路徑後，Auth 程式庫會先檢查路徑是否存在，再執行可執行檔。

檔案來源憑證

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --service-account-token-lifetime-seconds=SERVICE_ACCOUNT_TOKEN_LIFETIME \
    --sts-location=REGION \
    --output-file=FILEPATH.json \
    --credential-source-file=TOKEN_FILEPATH \
    --credential-source-type=SOURCE_TYPE \
    --credential-source-field-name=FIELD_NAME

更改下列內容：

• PROJECT_NUMBER：Workload Identity Pool 所在專案的專案編號。
• POOL_ID：workload identity pool 的 ID。
• WORKLOAD_PROVIDER_ID：workload identity pool 提供者的 ID。
• SERVICE_ACCOUNT_EMAIL：如果您使用服務帳戶模擬功能，請替換為服務帳戶的電子郵件地址。如果您不使用服務帳戶模擬功能，請省略這個旗標。
• SERVICE_ACCOUNT_TOKEN_LIFETIME：如果使用服務帳戶模擬功能，請替換為服務帳戶存取權杖的生命週期 (以秒為單位)；如未提供，則預設為一小時。如果不使用服務帳戶模擬功能，請省略這個旗標。如要指定超過一小時的生命週期，您必須設定 constraints/iam.allowServiceAccountCredentialLifetimeExtension 組織政策限制。
• REGION：選用。指定區域 Security Token Service 端點的區域 (如有)。
• FILEPATH：要儲存設定的檔案。
• TOKEN_FILEPATH：儲存 OIDC ID 權杖的路徑。
• SOURCE_TYPE：OIDC ID 權杖檔案的格式，設為 text (預設) 或 json。
• FIELD_NAME：文字檔案中包含權杖的欄位 (如果 SOURCE_TYPE 為 json)。

網址來源憑證

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --service-account-token-lifetime-seconds=SERVICE_ACCOUNT_TOKEN_LIFETIME \
    --sts-location=REGION \
    --output-file=FILEPATH.json \
    --credential-source-url="TOKEN_URL" \
    --credential-source-headers="KEY_1=VALUE_1,KEY_2=VALUE_2" \
    --credential-source-type=SOURCE_TYPE \
    --credential-source-field-name=FIELD_NAME

更改下列內容：

• PROJECT_NUMBER：Workload Identity Pool 所在專案的專案編號。
• POOL_ID：workload identity pool 的 ID。
• WORKLOAD_PROVIDER_ID：workload identity pool 提供者的 ID
• SERVICE_ACCOUNT_EMAIL：如果您使用服務帳戶模擬功能，請替換為服務帳戶的電子郵件地址。如果您不使用服務帳戶模擬功能，請省略這個旗標。
• SERVICE_ACCOUNT_TOKEN_LIFETIME：如果使用服務帳戶模擬功能，請替換為服務帳戶存取權杖的生命週期 (以秒為單位)；如未提供，則預設為一小時。如果不使用服務帳戶模擬功能，請省略這個旗標。如要指定超過一小時的生命週期，您必須設定 constraints/iam.allowServiceAccountCredentialLifetimeExtension 組織政策限制。
• REGION：選用。指定區域 Security Token Service 端點的區域 (如有)。
• FILEPATH：要儲存設定的檔案。
• TOKEN_URL：擷取 OIDC ID 權杖的網址
• KEY_n、VALUE_n：要加入傳送至 TOKEN_URL 的 HTTP 要求的自訂標頭
• SOURCE_TYPE：OIDC ID 權杖檔案的格式，設為 text (預設) 或 json
• FIELD_NAME：文字檔案中包含權杖的欄位 (如果 SOURCE_TYPE 為 json)