Cuentas de servicio en Google Cloud: creación y autenticación

Objetivo del profesor

El objetivo de esta clase era que los estudiantes comprendieran qué son las cuentas de servicio en Google Cloud, cuándo utilizarlas y cómo implementarlas prácticamente a través de la generación y uso de llaves JSON para autenticación automática.

Habilidades desarrolladas

• Gestión de cuentas de servicio: Crear y configurar cuentas de servicio en Google Cloud.
• Administración de políticas organizacionales: Modificar políticas de seguridad a nivel de organización.
• Autenticación programática: Implementar autenticación usando llaves JSON.
• Uso de Cloud Shell: Manipular archivos y ejecutar comandos de autenticación.
• Gestión de permisos IAM: Asignar roles específicos a cuentas de servicio.

Conceptos clave

• Cuenta de servicio: Cuenta gestionada por Google Cloud para acceso automático de aplicaciones y servicios.
• Llaves JSON: Método de autenticación que permite a aplicaciones actuar en nombre de una cuenta de servicio.
• Workload Identity: Método más seguro y recomendado para autenticación (mencionado como alternativa).
• Políticas de organización: Reglas de seguridad aplicadas a nivel organizacional.
• Vector de ataque: Vulnerabilidades de seguridad relacionadas con el mal uso de llaves JSON.

Palabras clave importantes

• Service Account
• JSON Keys
• IAM (Identity and Access Management)
• Cloud Shell
• Workload Identity
• Organization Policies
• Backend services
• Autenticación automática
• gcloud auth

Hechos importantes

• [00:27] Las cuentas de servicio son como "robots" que actúan automáticamente.
• [01:34] Las máquinas virtuales siempre actúan a nombre de cuentas de servicio.
• [02:06] Las cuentas de servicio tienen emails únicos con formato: @[proyecto-id].iam.gserviceaccount.com
• [02:41] Las cuentas de servicio no tienen autenticación de doble factor, lo que las convierte en vectores de ataque potenciales.
• [04:22] Por defecto, las organizaciones nuevas tienen políticas que impiden crear llaves JSON.
• [07:09] Muchas compañías han filtrado llaves JSON en repositorios GitHub públicos.
• [07:32] Google recomienda Workload Identity sobre llaves JSON por seguridad.
• [08:21] Cualquier persona con acceso a una llave JSON puede usar los permisos de la cuenta de servicio.

Principales puntos de datos

• [04:09] Tipos de llaves disponibles: JSON y P12 (JSON es el más utilizado).
• [05:32] Rol requerido: "Administrador de Políticas de la Organización".
• [05:54] Política a deshabilitar: "Disable Service Account Key Creation".
• [06:29] Tiempo de aplicación de políticas: 2-3 minutos aproximadamente.
• [09:06] Comando para activar cuenta de servicio: gcloud auth activate-service-account --key-file=key2.json
• [09:27] Comando para listar cuentas autenticadas: gcloud auth list