Z laptopa musisz wdrożyć zasoby za pomocą Terraform, używając konta usługi; Twoja tożsamość Cloud Identity ma uprawnienia iam.serviceAccountTokenCreator. Zgodnie z najlepszymi praktykami Google, jak należy skonfigurować środowisko lokalne, aby działało jako to konto usługi?

Prawidłowa odpowiedź wykorzystuje podszywanie się pod konto usługi, co jest zgodne z najlepszymi praktykami bezpieczeństwa Google. Posiadając uprawnienia iam.serviceAccountTokenCreator, możesz generować krótkotrwałe poświadczenia dla konta usługi bez konieczności pobierania długoterminowych kluczy. Komenda gcloud config set auth/impersonateserviceaccount konfiguruje gcloud CLI do działania w imieniu konta usługi. Następnie, ustawienie zmiennej środowiskowej GOOGLEOAUTHACCESSTOKEN z tokenem dostępu uzyskanym za pomocą gcloud auth print-access-token pozwala Terraformowi używać tych krótkotrwałych poświadczeń. Opcja z pobieraniem pliku klucza JSON jest mniej bezpieczna, ponieważ klucze długoterminowe stanowią większe ryzyko w przypadku ich wycieku. Opcja z gcloud auth application-default login uwierzytelnia się jako użytkownik, a nie jako konto usługi. Opcja z Hashicorp Vault jest dobrym rozwiązaniem do zarządzania sekretami, ale nie jest to bezpośrednia metoda konfiguracji środowiska lokalnego do podszywania się pod konto usługi za pomocą gcloud CLI i Terraform.