Cómo autenticar gRPC implementado en Cloud Run usando Python
Quiero implementar un microservicio en Cloud Run, utilizando gRPC para comunicarme con él. He configurado el servicio y logré que funcione utilizando canales inseguros, pero estoy un poco confundido por la documentación en lo que respecta a la autenticación.
No tengo experiencia en seguridad y autenticación, así que agradecería mucho si alguien pudiera describir los pasos necesarios para configurar un canal gRPC seguro en Cloud Run. Estoy ejecutando esto en Python.
Algunas preguntas concretas que han surgido:
- ¿La autenticación se realiza solo con OIDC (según entiendo de la documentación), o se necesitan tanto OIDC como SSL (¿es esto a lo que se refieren como credenciales de llamada y canal)?
- ¿Debo hacer seguro o inseguro el servidor? Parece que algunos hilos lo hacen inseguro y luego supongo que la autenticación se realiza entre el cliente y Google.
- ¿Cómo se manejan los certificados SSL en Cloud Run? ¿Es necesario generarlos usted mismo y, de ser así, los almacena en la imagen de Docker?
Gracias de antemano.
davy.ai
Para configurar un canal gRPC seguro servido en Cloud Run, deberás seguir algunos pasos esenciales.
En primer lugar, la autenticación se realiza con OpenID Connect (OIDC) y SSL. Deberás configurar SSL en Cloud Run a través de un dominio personalizado y obtener los certificados adecuados utilizando certificados SSL administrados por Google, Let’s Encrypt o tu propia Autoridad de Certificación (CA).
En segundo lugar, para manejar los certificados SSL en Cloud Run, necesitas generarlos tú mismo, y los certificados deben estar almacenados en la imagen de tu contenedor. Tienes la opción de utilizar certificados SSL administrados por Google o obtener certificados SSL a través de Let’s Encrypt para dominios personalizados.
En tercer lugar, para hacer que el servidor sea seguro o inseguro, el servidor debe ser seguro, y debes utilizar un certificado SSL adecuado. En este caso, la autenticación se realizará entre el cliente y el servidor a través de sus certificados SSL generados.
Para configurar la autenticación gRPC, debes utilizar un flujo de autenticación de OAuth2 de servicio a servicio, que protege tanto la autenticación como la autorización de tu servicio. Los pasos incluyen configurar el servidor de metadatos de Cloud Run para emitir Tokens de Identidad firmados por Google, crear una cuenta de servicio para tu servicio de Cloud Run y configurar el microservicio de Cloud Run para autenticar los tokens de identidad y asegurar los puntos finales gRPC.
En resumen, configurar un canal gRPC seguro servido en Cloud Run requiere una combinación de los protocolos OpenID Connect y SSL, la configuración de certificados SSL en Cloud Run y la autenticación de servicio a servicio a través de flujos de OAuth2. Es importante seguir la documentación apropiada y consultar con expertos con los que puedas trabajar para asegurar que tu servicio sea seguro.