Настройка федерации сервисных аккаунтов

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

1. Посмотрите описание команды создания федерации сервисных аккаунтов:

   yc iam workload-identity oidc federation create --help
   

2. Создайте федерацию сервисных аккаунтов в каталоге по умолчанию:

   yc iam workload-identity oidc federation create \
     --name <имя_федерации> \
     --issuer "<URL_OIDC-провайдера>" \
     --audiences "<ресурс_1>","<ресурс_2>",...,"<ресурс_n>" \
     --jwks-url "<адрес_JWKS>"
   

   Где:

   • --name — имя создаваемой федерации. Например: sample-iam-federation. Требования к имени:

     • длина — от 2 до 63 символов;
     • может содержать строчные буквы латинского алфавита, цифры и дефисы;
     • первый символ — буква, последний — не дефис.

   • --issuer — URL OIDC-провайдера.

     Чтобы узнать это значение, обратитесь к документации или в службу технической поддержки используемого OIDC-провайдера.

   • --audiences — ресурсы, для которых будет предназначен получаемый токен. Вы можете через запятую задать одновременно несколько ресурсов-получателей IAM-токена.

     Чтобы узнать это значение, обратитесь к документации или в службу технической поддержки используемого OIDC-провайдера.

   • --jwks-url — URL, по которому можно получить актуальный открытый ключ, выпущенный OIDC-провайдером и используемый для проверки подписи JWT.

     Чтобы узнать это значение, обратитесь к документации или в службу технической поддержки используемого OIDC-провайдера.

   Результат:

   id: aje2c4qv19lf********
   name: sample-iam-federation
   folder_id: b1gfq9pe6rd2********
   enabled: true
   audiences:
     - https://gitlab.example.ru
     - https://gitlab.example.com
   issuer: https://gitlab.com
   jwks_url: https://gitlab.com/oauth/discovery/keys
   created_at: "2024-12-28T16:04:31.530652473Z"
   

   Сохраните значение идентификатора созданной федерации сервисных аккаунтов, оно понадобится при создании привязки.

   Подробнее о команде yc iam workload-identity oidc federation create см. в справочнике CLI.

Terraform позволяет быстро создать облачную инфраструктуру в Yandex Cloud и управлять ею с помощью файлов конфигураций. В файлах конфигураций хранится описание инфраструктуры на языке HCL (HashiCorp Configuration Language). При изменении файлов конфигураций Terraform автоматически определяет, какая часть вашей конфигурации уже развернута, что следует добавить или удалить.

Terraform распространяется под лицензией Business Source License, а провайдер Yandex Cloud для Terraform — под лицензией MPL-2.0.

Подробную информацию о ресурсах провайдера смотрите в документации на сайте Terraform или в зеркале.

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

1. Опишите в конфигурационном файле Terraform параметры федерации, которую необходимо создать:

   resource "yandex_iam_workload_identity_oidc_federation" "wlif" {
     name        = "<имя_федерации>"
     folder_id   = "<идентификатор_каталога>"
     audiences   = ["<ресурс_1>","<ресурс_2>",...,"<ресурс_n>"]
     issuer      = "<URL_OIDC-провайдера>"
     jwks_url    = "<адрес_JWKS>"
   }
   

   Где:

   • name — имя создаваемой федерации. Например: sample-iam-federation. Требования к имени:

     • длина — от 2 до 63 символов;
     • может содержать строчные буквы латинского алфавита, цифры и дефисы;
     • первый символ — буква, последний — не дефис.

   • folder_id — идентификатор каталога, в котором создается федерация сервисных аккаунтов.

   • audiences — ресурсы, для которых будет предназначен получаемый токен. Вы можете через запятую задать одновременно несколько ресурсов-получателей IAM-токена.

     Чтобы узнать это значение, обратитесь к документации или в службу технической поддержки используемого OIDC-провайдера.

   • issuer — URL OIDC-провайдера.

     Чтобы узнать это значение, обратитесь к документации или в службу технической поддержки используемого OIDC-провайдера.

   • jwks_url — URL, по которому можно получить актуальный открытый ключ, выпущенный OIDC-провайдером и используемый для проверки подписи JWT.

     Чтобы узнать это значение, обратитесь к документации или в службу технической поддержки используемого OIDC-провайдера.

   Более подробную информацию о параметрах ресурса yandex_iam_workload_identity_oidc_federation в Terraform, см. в документации провайдера.

2. Создайте ресурсы:

   1. В терминале перейдите в папку, где вы отредактировали конфигурационный файл.

   2. Проверьте корректность конфигурационного файла с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      

   3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

   4. Примените изменения конфигурации:

      terraform apply
      

   5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

   Terraform создаст федерацию сервисных аккаунтов. Убедиться в создании федерации можно в консоли управления или с помощью команды CLI:

   yc iam workload-identity oidc federation list
   

Чтобы создать федерацию сервисных аккаунтов, воспользуйтесь методом REST API create для ресурса Federation или вызовом gRPC API FederationService/Create.

1. Посмотрите описание команды создания привязки:

   yc iam workload-identity federated-credential create --help
   

2. Создайте привязку, указав идентификатор нужного сервисного аккаунта:

   yc iam workload-identity federated-credential create \
     --service-account-id <идентификатор_сервисного_аккаунта> \
     --federation-id <идентификатор_федерации> \
     --external-subject-id "<идентификатор_внешнего_субъекта>"
   

   Где:

   • --service-account-id — идентификатор сервисного аккаунта Yandex Cloud.

     Сервисный аккаунт может быть расположен в каталоге, отличном от каталога федерации сервисных аккаунтов.

   • --federation-id — идентификатор федерации сервисных аккаунтов, полученный на предыдущем шаге.

   • --external-subject-id — идентификатор внешнего субъекта.

     Чтобы узнать это значение, обратитесь к документации или в службу технической поддержки используемого OIDC-провайдера.

   Результат:

   id: aje401v1sup8********
   service_account_id: ajek7v5j65cg********
   federation_id: aje2c4qv19lf********
   external_subject_id: project_path:root/test-iam-wlif:ref_type:branch:ref:master
   created_at: "2024-12-28T16:33:47.057632267Z"
   

   Подробнее о команде yc iam workload-identity federated-credential create см. в справочнике CLI.

1. Опишите в конфигурационном файле Terraform параметры привязки, которую необходимо создать:

   resource "yandex_iam_workload_identity_federated_credential" "fc" {
     service_account_id  = "<идентификатор_сервисного_аккаунта>"
     federation_id       = "<идентификатор_федерации>"
     external_subject_id = "<идентификатор_внешнего_субъекта>"
   }
   

   Где:

   • service_account_id — идентификатор сервисного аккаунта Yandex Cloud.

     Сервисный аккаунт может быть расположен в каталоге, отличном от каталога федерации сервисных аккаунтов.

   • federation_id — идентификатор федерации сервисных аккаунтов.

   • external_subject_id — идентификатор внешнего субъекта.

     Чтобы узнать это значение, обратитесь к документации или в службу технической поддержки используемого OIDC-провайдера.

   Более подробную информацию о параметрах ресурса yandex_iam_workload_identity_federated_credential в Terraform, см. в документации провайдера.

2. Создайте ресурсы:

   1. В терминале перейдите в папку, где вы отредактировали конфигурационный файл.

   2. Проверьте корректность конфигурационного файла с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      

   3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

   4. Примените изменения конфигурации:

      terraform apply
      

   5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

   Terraform создаст указанную привязку. Убедиться в создании привязки для сервисного аккаунта можно в консоли управления или с помощью команды CLI:

   yc iam workload-identity federated-credential list \
     --service-account-id <идентификатор_сервисного_аккаунта>
   

Чтобы создать привязку, воспользуйтесь методом REST API create для ресурса FederatedCredential или вызовом gRPC API FederatedCredentialService/Create.