Chaque appel API GCP transporte un identifiant, et le moyen le plus rapide d'élargir son accès est d'en récupérer davantage. Les identifiants se présentent sous forme de jetons d'accès OAuth de courte durée (issus du serveur de métadonnées ou de gcloud), de clés JSON de compte de service de longue durée, et des secrets et clés que les services renvoient lorsqu'on les lit. Chacun a ses propres caractéristiques de vol et de réutilisation, et plusieurs services génèrent de nouveaux identifiants pour quiconque peut les appeler.
Ce que cette section regroupe#
- Métadonnées d'instance : le jeton du compte de service attaché et les clés SSH depuis
metadata.google.internal, y compris via SSRF. - Secret Manager : lire les secrets stockés avec
secretmanager.versions.access. - Clés de compte de service : clés JSON exportées, et création de nouvelles clés pour un accès durable.
- Jetons d'accès : piller les identifiants
gcloudet Application Default Credentials mis en cache sur le disque. - Cloud KMS : déchiffrer des données et signer en tant que clé.
- Clés HMAC : générer une clé HMAC Cloud Storage pour un compte de service.
- Clés API : créer ou lister des clés API Google pour un accès durable et non restreint.