Verifica l'identità della VM

Prima che un'applicazione invii informazioni sensibili a un'istanza di macchina virtuale (VM), l'applicazione può verificare l'identità dell'istanza utilizzando token di identità dell'istanza firmati da Google. Ogni istanza ha un JSON Web Token (JWT) univoco che include i dettagli dell'istanza e la firma RS256 di Google. Le tue applicazioni possono verificare la firma rispetto ai certificati OAuth2 pubblici di Google per confermare l'identità dell'istanza con cui hanno stabilito una connessione.

Compute Engine genera token istanza firmati solo quando un'istanza li richiede dai metadati dell'istanza. Le istanze possono accedere solo al proprio token univoco e non ai token di altre istanze.

Potresti voler verificare le identità delle tue istanze nei seguenti scenari:

• Quando avvii un'istanza per la prima volta, le tue applicazioni potrebbero dover assicurarsi che l'istanza a cui si sono connesse abbia un'identità valida prima di trasmettere informazioni sensibili all'istanza.
• Quando i tuoi criteri richiedono di archiviare le credenziali al di fuori dell'ambiente Compute Engine e le invii regolarmente alle tue istanze per un utilizzo temporaneo. Le tue applicazioni possono confermare l'identità delle istanze ogni volta che devono trasmettere le credenziali.

I metodi di autenticazione delle istanze di Google offrono i seguenti vantaggi:

• Compute Engine crea un token univoco ogni volta che un'istanza lo richiede e ogni token scade entro un'ora. Puoi configurare le tue applicazioni in modo che accettino il token ID di un'istanza una sola volta, il che riduce il rischio che il token possa essere riutilizzato da un sistema non autorizzato.
• I token di metadati firmati utilizzano lo standard industriale aperto RFC 7519 e il livello di identità OpenID Connect 1.0, pertanto gli strumenti e le librerie esistenti funzioneranno perfettamente con i token di identità.

Prima di iniziare

• Scopri come recuperare i valori dei metadati dell'istanza.
• Comprendere le basi dei token web JSON in modo da sapere come utilizzarli nelle tue applicazioni.
• Scopri come creare e attivare service account sulle tue istanze. Alle tue istanze deve essere associato un account di servizio in modo che possano recuperare i token identità. Il account di servizio non richiede alcuna autorizzazione IAM per recuperare questi token di identità.
• Se non l'hai ancora fatto, configura l'autenticazione. L'autenticazione è il processo mediante il quale la tua identità viene verificata per l'accesso a servizi e API di Google Cloud . Per eseguire codice o esempi da un ambiente di sviluppo locale, puoi autenticarti su Compute Engine selezionando una delle seguenti opzioni:
  

  Per utilizzare gli esempi di Python questa pagina in un ambiente di sviluppo locale, installa e inizializza gcloud CLI, quindi configura le Credenziali predefinite dell'applicazione con le tue credenziali utente.

  Installa Google Cloud CLI.

  Se utilizzi un provider di identità (IdP) esterno, devi prima accedere alla gcloud CLI con la tua identità federata.

  If you're using a local shell, then create local authentication credentials for your user account:

  gcloud auth application-default login

  You don't need to do this if you're using Cloud Shell.

  If an authentication error is returned, and you are using an external identity provider (IdP), confirm that you have signed in to the gcloud CLI with your federated identity.

  Per ulteriori informazioni, vedi Set up authentication for a local development environment.

Verificare l'identità di un'istanza

In alcuni scenari, le tue applicazioni devono verificare l'identità di un'istanza in esecuzione su Compute Engine prima di trasmettere dati sensibili a quell'istanza. In un esempio tipico, esiste un sistema in esecuzione al di fuori di Compute Engine chiamato "Host1" e un'istanza Compute Engine chiamata "VM1". VM1 può connettersi a Host1 e convalidare l'identità di questa istanza con la seguente procedura:

1. VM1 stabilisce una connessione sicura a Host1 tramite un protocollo di connessione sicura a tua scelta, ad esempio HTTPS.

2. VM1 richiede il proprio token di identità univoco dal server di metadati e specifica il pubblico del token. In questo esempio, il valore del pubblico è l'URI di Host1. La richiesta al server dei metadati include l'URI del pubblico in modo che Host1 possa controllare il valore in un secondo momento durante il passaggio di verifica del token.

3. Google genera un nuovo token di identità dell'istanza univoco in formato JWT e lo fornisce a VM1. Il payload del token include diversi dettagli sull'istanza e anche l'URI del pubblico. Leggi Contenuti del token per una descrizione completa dei contenuti del token.

4. VM1 invia il token di identità a Host1 tramite la connessione sicura esistente.

5. Host1 decodifica il token di identità per ottenere i valori dell'intestazione e del payload del token.

6. Host1 verifica che il token sia firmato da Google controllando il valore del pubblico e verificando la firma del certificato rispetto al certificato pubblico di Google.

7. Se il token è valido, Host1 procede con la trasmissione e chiude la connessione al termine. Host1 e qualsiasi altro sistema devono richiedere un nuovo token per le connessioni successive a VM1.

Ottenere il token di identità dell'istanza

Quando la tua istanza di macchina virtuale riceve una richiesta di fornire il proprio token di identità, l'istanza richiede il token dal server di metadati utilizzando la normale procedura per ottenere i metadati dell'istanza. Ad esempio, puoi utilizzare uno dei seguenti metodi:

curl -H "Metadata-Flavor: Google" \
'http://metadata/computeMetadata/v1/instance/service-accounts/default/identity?audience=AUDIENCE&format=FORMAT&licenses=LICENSES'

import requests

AUDIENCE_URL = "http://www.example.com"
METADATA_HEADERS = {"Metadata-Flavor": "Google"}
METADATA_VM_IDENTITY_URL = (
    "http://metadata.google.internal/computeMetadata/v1/"
    "instance/service-accounts/default/identity?"
    "audience={audience}&format={format}&licenses={licenses}"
)
FORMAT = "full"
LICENSES = "TRUE"


def acquire_token(
    audience: str = AUDIENCE_URL, format: str = "standard", licenses: bool = True
) -> str:
    """
    Requests identity information from the metadata server.

    Args:
        audience: the unique URI agreed upon by both the instance and the
            system verifying the instance's identity. For example, the audience
            could be a URL for the connection between the two systems.
        format: the optional parameter that specifies whether the project and
            instance details are included in the payload. Specify `full` to
            include this information in the payload or standard to omit the
            information from the payload. The default value is `standard`.
        licenses: an optional parameter that specifies whether license
            codes for images associated with this instance are included in the
            payload. Specify TRUE to include this information or FALSE to omit
            this information from the payload. The default value is FALSE.
            Has no effect unless format is `full`.

    Returns:
        A JSON Web Token signed using the RS256 algorithm. The token includes a
        Google signature and additional information in the payload. You can send
        this token to other systems and applications so that they can verify the
        token and confirm that the identity of your instance.
    """
    # Construct a URL with the audience and format.
    url = METADATA_VM_IDENTITY_URL.format(
        audience=audience, format=format, licenses=licenses
    )

    # Request a token from the metadata server.
    r = requests.get(url, headers=METADATA_HEADERS)
    # Extract and return the token from the response.
    r.raise_for_status()
    return r.text

Verifica del token

Dopo che l'applicazione riceve un token di identità dell'istanza da un'istanza Compute Engine, può verificare il token utilizzando la seguente procedura.

1. Ricevi il token dall'istanza di macchina virtuale, decodificalo utilizzando un decodificatore JWT RS256 e leggi i contenuti dell'intestazione per ottenere il valore di kid.

2. Verifica che il token sia firmato controllandolo rispetto al certificato pubblico di Google. Ogni certificato pubblico ha un valore kid che corrisponde al valore kid nell'intestazione del token.

3. Se il token è valido, confronta i contenuti del payload con i valori previsti. Se il payload del token include dettagli sull'istanza e sul progetto, la tua applicazione può controllare i valori di instance_id, project_id e zone. Questi valori sono una tupla univoca a livello globale che conferma che la tua applicazione comunica con l'istanza corretta nel progetto desiderato.

Puoi decodificare e verificare il token utilizzando qualsiasi strumento, ma un metodo comune è utilizzare le librerie per la lingua che preferisci. Ad esempio, puoi utilizzare il metodo verify_token della libreria Google OAuth 2.0 per Python. Il metodo verify_token associa il valore kid al certificato appropriato, verifica la firma, controlla l'attestazione del pubblico e restituisce i contenuti del payload dal token.

import google.auth.transport.requests
from google.oauth2 import id_token
def verify_token(token: str, audience: str) -> dict:
    """Verify token signature and return the token payload.

    Args:
        token: the JSON Web Token received from the metadata server to
            be verified.
        audience: the unique URI agreed upon by both the instance and the
            system verifying the instance's identity.

    Returns:
        Dictionary containing the token payload.
    """
    request = google.auth.transport.requests.Request()
    payload = id_token.verify_token(token, request=request, audience=audience)
    return payload

Dopo che l'applicazione verifica il token e i relativi contenuti, può procedere a comunicare con l'istanza tramite una connessione sicura e quindi chiudere la connessione al termine. Per le connessioni successive, richiedi un nuovo token dall'istanza e verifica nuovamente l'identità dell'istanza.

Contenuti del token

Il token ID istanza contiene tre parti principali:

• Intestazione
• Payload
• Firma

Intestazione

L'intestazione include il valore kid per identificare i certificati OAuth2 pubblici che devi utilizzare per verificare la firma. L'intestazione include anche il valore alg per confermare che la firma è generata utilizzando l'algoritmo RS256.

{
  "alg": "RS256",
  "kid": "511a3e85d2452aee960ed557e2666a8c5cedd8ae",
}

Payload

Il payload contiene l'attestazione del pubblico aud. Se l'istanza ha specificato format=full quando ha richiesto il token, il payload include anche rivendicazioni sull'istanza di macchina virtuale e sul relativo progetto. Quando richiedi un token in formato completo, se specifichi licenses=TRUE verranno incluse anche le rivendicazioni relative alle licenze associate all'istanza.

{
   "iss": "[TOKEN_ISSUER]",
   "iat": [ISSUED_TIME],
   "exp": [EXPIRED_TIME],
   "aud": "[AUDIENCE]",
   "sub": "[SUBJECT]",
   "azp": "[AUTHORIZED_PARTY]",
   "google": {
    "compute_engine": {
      "project_id": "[PROJECT_ID]",
      "project_number": [PROJECT_NUMBER],
      "zone": "[ZONE]",
      "instance_id": "[INSTANCE_ID]",
      "instance_name": "[INSTANCE_NAME]",
      "instance_creation_timestamp": [CREATION_TIMESTAMP],
      "instance_confidentiality": [INSTANCE_CONFIDENTIALITY],
      "license_id": [
        "[LICENSE_1]",
          ...
        "[LICENSE_N]"
      ]
    }
  }
}

Dove:

• [TOKEN_ISSUER]: un URL che identifica chi ha emesso il token. Per Compute Engine, questo valore è https://accounts.google.com.
• [ISSUED_TIME]: un timestamp Unix che indica quando è stato emesso il token. Questo valore viene aggiornato ogni volta che l'istanza richiede un token al server di metadati.
• [EXPIRED_TIME]: un timestamp Unix che indica la scadenza del token.
• [AUDIENCE]: l'URI univoco concordato sia dall'istanza sia dal sistema che verifica l'identità dell'istanza. Ad esempio, il pubblico potrebbe essere un URL per la connessione tra i due sistemi.
• [SUBJECT]: il soggetto del token, ovvero l'ID univoco del account di servizio che hai associato all'istanza.
• [AUTHORIZED_PARTY]: la parte a cui è stato emesso il token ID, ovvero l'ID univoco del account di servizio che hai associato alla tua istanza.
• [PROJECT_ID]: l'ID del progetto in cui hai creato l'istanza.
• [PROJECT_NUMBER]: il numero univoco del progetto in cui hai creato l'istanza.
• [ZONE]: la zona in cui si trova l'istanza
• [INSTANCE_ID]: l'ID univoco dell'istanza a cui appartiene questo token. Questo ID è univoco all'interno del progetto e della zona.
• [INSTANCE_NAME]: il nome dell'istanza a cui appartiene questo token. Se il tuo progetto utilizza il DNS di zona, questo nome può essere riutilizzato in più zone, quindi utilizza una combinazione dei valori project_id, zone e instance_id per identificare un ID istanza univoco. I progetti con il DNS globale abilitato hanno un nome istanza univoco in tutto il progetto.
• [CREATION_TIMESTAMP]: un timestamp Unix che indica quando hai creato l'istanza.
• [INSTANCE_CONFIDENTIALITY]: 1 se l'istanza è una VM confidenziale.
• [LICENSE_1] - [LICENSE_N]: i codici di licenza per le immagini associate a questa istanza.

Il payload potrebbe essere simile al seguente esempio:

{
  "iss": "https://accounts.google.com",
  "iat": 1496953245,
  "exp": 1496956845,
  "aud": "https://www.example.com",
  "sub": "107517467455664443765",
  "azp": "107517467455664443765",
  "google": {
    "compute_engine": {
      "project_id": "my-project",
      "project_number": 739419398126,
      "zone": "us-west1-a",
      "instance_id": "152986662232938449",
      "instance_name": "example",
      "instance_creation_timestamp": 1496952205,
      "instance_confidentiality": 1,
      "license_id": [
        "1000204"
      ]
    }
  }
}

Firma

Google genera la firma codificando in base64url l'intestazione e il payload e concatenando i due valori. Puoi confrontare questo valore con i certificati OAuth2 pubblici per verificare il token.

Passaggi successivi

• Consulta il Google Cloud Well-Architected Framework.
• Autentica i workload con altri workload tramite mTLS.