Autenticación de VM GCE en Google Cloud

Autenticación de VM GCE en Google Cloud

Cuando trabajas con Google Compute Engine, la autenticación segura es esencial para acceder y administrar tus máquinas virtuales. Según el sistema operativo, el método varía: en Windows se usa usuario y contraseña; en Linux, autenticación SSH basada en claves.

Windows VMs autenticación con usuario y contraseña. Puedes generar credenciales desde Google Cloud Console o establecer y restablecer contraseñas con gcloud CLI. Una vez listas, te conectas por RDP. Es ideal para administradores que prefieren el inicio de sesión gráfico clásico.

Linux VMs autenticación SSH basada en claves. Puedes generar un par de claves con ssh-keygen y subir la clave pública a la metadata del proyecto o de la instancia, o dejar que Google Cloud las gestione de forma automática al conectarte desde la consola o con gcloud compute ssh. Este método es el predeterminado y recomendado para Linux por su solidez criptográfica.

Opciones de autenticación SSH en Linux GCE

Opción 1 Consola de Google Cloud botón SSH. Compute Engine genera claves SSH efímeras solo para la sesión del navegador. La clave privada se guarda en tu sesión local del navegador y Google no tiene acceso a ella. El acceso expira a los pocos minutos y se renueva al abrir una nueva sesión.

Opción 2 gcloud CLI. Compute Engine crea un nombre de usuario y un par de claves persistente en tu entorno local, reutilizable para conexiones futuras con gcloud compute ssh.

Flujo con metadata administrada automáticamente a nivel de proyecto. De forma predeterminada, Compute Engine usa la metadata del proyecto o de la instancia para configurar las claves SSH. Si activas OS Login, se deshabilita el uso de claves en metadata. Al usar el botón SSH del navegador, se sube temporalmente tu clave pública y nombre de usuario a la metadata, se crea el usuario en el sistema y se añade la clave a ~/.ssh/authorized_keys en la VM. La clave del navegador expira a los cinco minutos.

Crear una VM de ejemplo. En Cloud Shell ejecuta: span gcloud config set project PROJECT_ID span gcloud compute instances create vm1 --zone=us-central1-a --machine-type=e2-micro --network-interface=subnet=default --tags=http-server --metadata-from-file=startup-script=webserver-install.sh

Conexión por navegador. En Compute Engine entra a VM Instances, elige la VM y pulsa SSH abrir en nueva ventana. Observa en Compute Engine configuración metadata SSH Keys que el usuario suele derivarse del correo del Console eliminado el dominio por ejemplo devops.samira para devops.samira@gmail.com. Las claves efímeras expiran y se regeneran al relanzar la sesión.

Cambio de nombre de usuario Linux automático. En la ventana SSH del navegador ve a ajustes cambiar nombre de usuario Linux e introduce el nuevo. El sistema generará nuevas claves efímeras en el navegador y las aplicará en metadata para ese usuario.

Conexión con gcloud desde Cloud Shell. Usa el comando span gcloud compute ssh vm1 --zone=us-central1-a --project=PROJECT_ID para abrir sesión. gcloud gestionará tu par de claves persistente y lo añadirá automáticamente a la VM.

Opción 3 Claves personalizadas gestionadas por metadata. 1 Genera un par de claves con span ssh-keygen -t rsa -f ssh-keys-custom -C sshcustomuser1 2 Restringe permisos con span chmod 400 ssh-keys-custom 3 Copia el contenido de ssh-keys-custom.pub 4 Sube la clave pública a Metadata del proyecto en Compute Engine Metadata SSH Keys o a la metadata de la instancia en Editar VM SSH Keys 5 Conéctate desde tu equipo con span ssh -i ssh-keys-custom sshcustomuser1@IP_PUBLICA_VM

Metadata a nivel de proyecto. Al añadir la clave a nivel de proyecto, todas las VMs que no bloqueen claves de proyecto aceptarán esa clave. Conéctate así span ssh -i ssh-keys-custom sshcustomuser1@104.198.236.153

Metadata a nivel de instancia. En la VM ve a Editar SSH Keys añade la clave pública y marca bloquear claves de proyecto si quieres que solo valgan las de la instancia. Conéctate con span ssh -i ssh-keys-instance-level sshinstanceleveluser1@104.198.236.153. Si intentas acceder con la clave de proyecto y está bloqueada, verás permiso denegado. Limpieza recomendada elimina claves en metadata de proyecto e instancia cuando ya no se necesiten.

Opción 4 OS Login gestionado por IAM recomendado. Activa la metadata enable-oslogin TRUE a nivel de proyecto o de instancia. Puedes acceder por el botón SSH del navegador o con gcloud. Con OS Login el usuario del sistema se deriva de tu identidad de Google y las claves se asocian a tu perfil, no a la metadata. Conexión por gcloud span gcloud compute ssh vm1 --zone=us-central1-a --project=PROJECT_ID. Diferencia clave el formato del usuario incluye el dominio, por ejemplo usuario_dominio_com.

Opción 5 Claves personalizadas con OS Login. 1 Activa enable-oslogin TRUE 2 Genera claves en Cloud Shell span mkdir ssh-oslogin; cd ssh-oslogin; ssh-keygen -t rsa -f ssh-keys-oslogin -C latchudevops; chmod 400 ssh-keys-oslogin 3 Asocia tu clave pública al perfil OS Login con span gcloud compute os-login ssh-keys add --key-file=ssh-keys-oslogin.pub --ttl=0 4 Verifica con span gcloud compute os-login ssh-keys list y consulta tu perfil con span gcloud compute os-login describe-profile 5 Conéctate desde tu equipo span ssh -i ssh-keys-oslogin latchudevops@104.198.236.153 6 Para quitar claves usa span gcloud compute os-login ssh-keys remove --key=HUELLA

Por qué preferir OS Login. Evita gestionar claves en metadata para cada VM o proyecto, escala mejor para equipos grandes y múltiples proyectos, admite verificación en dos pasos y se integra con IAM para separar accesos de usuario y administrador. Roles necesarios para SSH con OS Login usuario roles/compute.osLogin o administrador roles/compute.osAdminLogin.

Buenas prácticas. Usa OS Login siempre que sea posible. Limita el acceso mediante IAM y grupos. Activa MFA. Bloquea claves de proyecto en VMs sensibles si usas claves a nivel de instancia. Rota y limpia claves caducadas. Registra y audita accesos con Cloud Logging y Policy Intelligence.

Cómo puede ayudarte Q2BSTUDIO. En Q2BSTUDIO somos una empresa de desarrollo de software a medida y aplicaciones a medida, especialistas en inteligencia artificial, ciberseguridad, agentes IA y servicios cloud. Diseñamos arquitecturas seguras para GCE, GKE y entornos híbridos, automatizamos el ciclo de vida de claves, integramos OS Login con IAM y reforzamos el cumplimiento normativo. Si buscas modernizar tu plataforma con alta disponibilidad y seguridad, descubre nuestros servicios cloud AWS y Azure. Y si tu prioridad es blindar el acceso y evaluar vulnerabilidades, explora nuestra oferta de ciberseguridad y pentesting.

SEO y valor para negocio. Un enfoque integral que combina software a medida, ia para empresas, servicios inteligencia de negocio y power bi te permite un gobierno de accesos robusto, observabilidad unificada y automatización de procesos. Aplicando mejores prácticas de autenticación en GCE, reducimos riesgos y aceleramos la entrega de funcionalidades con pipelines DevSecOps y políticas reproducibles como código.

Comandos de referencia rápidos. Crear VM span gcloud compute instances create vm1 --zone=us-central1-a --machine-type=e2-micro Conectar con gcloud span gcloud compute ssh vm1 --zone=us-central1-a Activar OS Login a nivel de proyecto en metadata span enable-oslogin TRUE Generar claves locales span ssh-keygen -t rsa -f llave -C usuario Agregar clave a OS Login span gcloud compute os-login ssh-keys add --key-file=llave.pub --ttl=0 Conexión SSH desde equipo span ssh -i llave usuario@IP_PUBLICA

Con esto tendrás un mapa claro para elegir y operar el método de autenticación adecuado en Google Compute Engine, al tiempo que elevas la seguridad y la eficiencia operativa de tus cargas de trabajo en la nube.