Cuentas de servicio en Google Cloud: creación y autenticación

Objetivo del profesor

El objetivo de esta clase era que los estudiantes comprendieran qué son las cuentas de servicio en Google Cloud, cuándo utilizarlas y cómo implementarlas prácticamente a través de la generación y uso de llaves JSON para autenticación automática.

Habilidades desarrolladas

• Gestión de cuentas de servicio: Crear y configurar cuentas de servicio en Google Cloud
• Administración de políticas organizacionales: Modificar políticas de seguridad a nivel de organización
• Autenticación programática: Implementar autenticación usando llaves JSON
• Uso de Cloud Shell: Manipular archivos y ejecutar comandos de autenticación
• Gestión de permisos IAM: Asignar roles específicos a cuentas de servicio

Conceptos clave

• Cuenta de servicio: Cuenta gestionada por Google Cloud para acceso automático de aplicaciones y servicios
• Llaves JSON: Método de autenticación que permite a aplicaciones actuar en nombre de una cuenta de servicio
• Workload Identity: Método más seguro y recomendado para autenticación (mencionado como alternativa)
• Políticas de organización: Reglas de seguridad aplicadas a nivel organizacional
• Vector de ataque: Vulnerabilidades de seguridad relacionadas con el mal uso de llaves JSON

Palabras clave importantes

• Service Account
• JSON Keys
• IAM (Identity and Access Management)
• Cloud Shell
• Workload Identity
• Organization Policies
• Backend services
• Autenticación automática
• gcloud auth

Hechos importantes

• [00:27] Las cuentas de servicio son como "robots" que actúan automáticamente
• [01:34] Las máquinas virtuales siempre actúan a nombre de cuentas de servicio
• [02:06] Las cuentas de servicio tienen emails únicos con formato: @[proyecto-id].iam.gserviceaccount.com
• [02:41] Las cuentas de servicio no tienen autenticación de doble factor, lo que las convierte en vectores de ataque potenciales
• [04:22] Por defecto, las organizaciones nuevas tienen políticas que impiden crear llaves JSON
• [07:09] Muchas compañías han filtrado llaves JSON en repositorios GitHub públicos
• [07:32] Google recomienda Workload Identity sobre llaves JSON por seguridad
• [08:21] Cualquier persona con acceso a una llave JSON puede usar los permisos de la cuenta de servicio

Principales puntos de datos

• [04:09] Tipos de llaves disponibles: JSON y P12 (JSON es el más utilizado)
• [05:32] Rol requerido: "Administrador de Políticas de la Organización"
• [05:54] Política a deshabilitar: "Disable Service Account Key Creation"
• [06:29] Tiempo de aplicación de políticas: 2-3 minutos aproximadamente
• [09:06] Comando para activar cuenta de servicio: gcloud auth activate-service-account --key-file=key2.json
• [09:27] Comando para listar cuentas autenticadas: gcloud auth list