从 Google 服务帐户模拟 Azure 服务主体答案

【问题标题】：Impersonate Azure Service Principal from a Google Service Account从 Google 服务帐户模拟 Azure 服务主体
【发布时间】：2021-01-23 06:01:35
【问题描述】：

我想使用 Google 服务帐户 JWT 令牌获取 Azure 服务主体 (SP) 的临时凭据。这是从 GKE 工作负载调用 Azure API 所必需的，而无需在 GKE 中存储长期 SP 凭据。

对于 GCP -> Azure（我知道它适用于 Azure -> GCP，基于 [1] 以及 GCP -> AWS [2]）是否可以实现这种联合，以及如何实现？

【问题讨论】：

【解决方案1】：

Azure AD 在公共预览版中有一项名为“工作负载身份联合”的新功能。这将允许您使用 Google 颁发的 JWT 来获取 Azure AD 应用程序/服务主体的访问令牌。

我写了这篇博文，它提供了有关如何使其工作的更多详细信息：https://blog.identitydigest.com/azuread-federate-gcp/

【讨论】：

【解决方案2】：

假设您的工作负载是安全的，我不明白您为什么不能将凭据存储在 GKE 中。

您可能需要一个代理服务，该服务可以对其进行身份验证并获取临时凭证。在这种情况下，您无需将凭证长期存储在 GKE 中。

但是，威胁模型仍然相同，如果您的工作负载受到威胁，攻击者也可以冒充您的工作负载并使用代理服务获取凭据。

【讨论】：

谢谢 - 这个选项总是在讨论中，虽然我不同意威胁模型是相同的（否则，我们为什么需要短期凭证？）。在这种情况下，我正在寻找专门的模仿。
拥有短期访问令牌确实具有优势。也许令牌被泄露，攻击者将无法长期访问您的服务。但是，如果攻击者能够完全破坏应用程序，那么拥有短期或长期信用将产生相同的后果。所以，是的，我想你是对的。在这种情况下，拥有经纪人服务应该会有所帮助。该服务将定期发布新令牌并重新生成旧令牌。