‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

הגדרת אורך פעולה מורחב לאיחוד שירותי אימות הזהות של כוח העבודה

כברירת מחדל, משך הזמן המקסימלי של סשנים באיחוד שירותי אימות הזהות של כוח העבודה הוא 12 שעות. הגדרה של אורך סשן מורחב מאפשרת לארגונים להגדיר סשנים ארוכים שנמשכים עד 90 ימים ב-Looker (ליבת Google Cloud) ובאפליקציית Gemini Enterprise לנייד:

‫Looker (Google Cloud core): מוגדר באמצעות היקפי פרויקטים (restricted_project). סשנים מורחבים מאפשרים למשתמשים בכוח העבודה לשמור על חיבור רציף ל-Looker (Google Cloud core) בלי צורך באימות מחדש מדי יום מול ספק הזהויות (IdP) החיצוני. האינטראקציה של המשתמשים ב-Looker (Google Cloud Core)‎ ממשיכה להיות כפופה להגדרה של משך הסשן ב-Looker (Google Cloud Core)‎.
אפליקציית Gemini Enterprise לנייד: מוגדרת באמצעות היקפי אפליקציה (restricted_client_application). סשנים מורחבים מאפשרים למשתמשים בכוח העבודה לשמור על חיבור רציף לאפליקציית Gemini Enterprise לנייד בלי שיידרשו לאימות מחדש יומי מול ספק הזהויות החיצוני (IdP).

כדי לשמור על אבטחה לאורך הפעלות ממושכות, Google Cloud התוסף מסנכרן מעת לעת את מאפייני המשתמשים והמינויים לקבוצות ישירות מספק הזהויות (IdP) החיצוני שלכם ברקע.

במאמר הזה מוסבר איך להגדיר מדיניות להארכת משך הסשן באמצעות Access Context Manager API עם אמצעי בקרה בהיקף הפרויקט (ל-Looker (Google Cloud core)) ואמצעי בקרה בהיקף האפליקציה (לאפליקציית Gemini Enterprise לנייד), איך להגדיר את ספק מאגר כוח העבודה ואיך לנהל את ההרשאות הפעילות.

סקירה כללית

באיחוד שירותי אימות הזהות של כוח העבודה, משתמשים בקישורי גישה של Access Context Manager Google Cloud כדי להגדיר משך סשן ארוך יותר:

Google Cloud קישור גישה: האדמינים מגדירים מדיניות של משך סשן באמצעות Access Context Manager, שחלה על כל מאגרי כוח העבודה בארגון. כללי מדיניות מעניקים סשנים מורחבים של עד 90 יום באמצעות אחת מהאפשרויות הבאות:
- היקף הפרויקט (restricted_project): החלת סשנים מורחבים על מכונות Looker (Google Cloud core) בפרויקט המיועד.
- היקף האפליקציה (restricted_client_application): חל על סשנים מורחבים באפליקציית Gemini Enterprise לנייד.
סנכרון מאפיינים ברקע:
- ‫OIDC: נתמך באמצעות הרשאה באמצעות קוד OIDC עם היקף ההרשאה offline_access (שימוש בטוקני רענון כדי לרענן מעת לעת את מאפייני המשתמשים וחברי הקבוצה מה-IdP החיצוני ברקע) או באמצעות הקצאת הרשאות SCIM.
- ‫SAML: בספקי SAML, מאפייני המשתמשים והחברויות בקבוצות נשמרים מעודכנים באמצעות הקצאת הרשאות ידנית ב-SCIM.
הגנה מפני חוסר עדכניות: אם אי אפשר לרענן את מאפייני המשתמשים מ-IdP החיצוני תוך 24 שעות (לדוגמה, אם ניהול ההרשאות של המשתמש בוטל או שהאישורים בוטלו ב-IdP),המערכת של Google Cloud מסיימת את הסשן.

לפני שמתחילים

לפני שמגדירים משך סשן ארוך יותר, צריך לוודא שיש לכם את ההרשאות הנדרשות לניהול זהויות והרשאות גישה (IAM) ושהפעלתם את ממשקי ה-API הבאים:

תפקידים והרשאות נדרשים

כדי לקבל את ההרשאות שנדרשות להגדרת משך הסשן המורחב, צריך לבקש מהאדמין להקצות לכם את תפקידי ה-IAM הבאים:

הגדרת ספקים של מאגרי זהויות של כוח עבודה: אדמין של מאגר כוח עבודה (roles/iam.workforcePoolAdmin) במאגר כוח העבודה או בארגון.
ניהול קישורי גישה לענן של Access Context Manager: אדמין של קישורי גישה לענן (roles/accesscontextmanager.gcpAccessAdmin) ברמת הארגון. התפקיד הזה מספק את ההרשאות שנדרשות כדי ליצור, להציג, לעדכן ולמחוק קישורי גישה ב-Access Context Manager.

הפעלת ממשקי ה-API

מפעילים בפרויקט את Access Context Manager API ואת IAM API:

gcloud services enable \
    accesscontextmanager.googleapis.com \
    iam.googleapis.com

מגבלות ודרישות

לפני שמגדירים משך סשן ארוך יותר, חשוב לעיין בדרישות ובמגבלות הבאות:

אפליקציות נתמכות: משך הסשן המורחב חל רק על:
- ‫Looker (Google Cloud Core)‎ (מוגדר באמצעות היקפי פרויקט)
- אפליקציית Gemini Enterprise לנייד (מוגדרת באמצעות היקפי הרשאות של אפליקציות)
דרישת רשימת ההיתרים לאפליקציית Gemini Enterprise לנייד: משך הסשן המורחב לאפליקציית Gemini Enterprise לנייד זמין רק ברשימת ההיתרים. כדי לבקש גישה לרשימת ההיתרים במהלך גרסת טרום-ההשקה (Preview), פנו לאיש הקשר (POC) שלכם בתמיכה של Google Cloud .
סוגי היקפים: צריך להגדיר את הגדרות הסשן ב-scopedAccessSettings באמצעות אחד מהיקפי הלקוח הבאים:
- ‫היקף הפרויקט (restricted_project): מציין את הפרויקט ב- Google Cloud שבבעלותו המכונה של Looker (Google Cloud core) (projects/{PROJECT_NUMBER}). רק מכונות של Looker (Google Cloud core) שבבעלות הפרויקט המיועד מושפעות.
- היקף האפליקציה (restricted_client_application): מציין את האפליקציה לפי name הקנוני שלה.
- כדי להגדיר היקפי אפליקציה לאפליקציית Gemini Enterprise לנייד, צריך להשתמש במפורש באחד משמות האפליקציות הבאים או בשניהם:
  - "Gemini Enterprise mobile Android"
  - "Gemini Enterprise mobile IOS"
- אי אפשר להגדיר את היקף ההרשאות לפי מזהה לקוח OAuth‏ (clientId) בקישורים של איחוד שירותי אימות הזהות של כוח העבודה, וההגדרה תידחה. צריך לזהות את האפליקציה באמצעות השדה name.
טווח משך הסשן: משך הסשן צריך להיות בין שעה אחת (3600s) לכל הפחות לבין 90 ימים (7776000s) לכל היותר.
דרישות הפרמטרים של הגדרות הסשן:
- ‫session_length_enabled: צריך להיות מוגדר ל-true.
- ‫session_length: משך הזמן הנדרש הוא בין שעה אחת (3600s) ל-90 ימים (7776000s).
- ‫session_reauth_method: צריך להיות לא מוגדר או מוגדר ל-LOGIN.
- ‫use_oidc_max_age: צריך להיות לא מוגדר או מוגדר ל-false.
- ‫max_inactivity: צריך להיות לא מוגדר (או ברירת המחדל 0s). אין תמיכה בזמן קצוב לתפוגה של סשנים לא פעילים בקישורי restricted_project ובקישורי restricted_client_application.
ספקי זהויות נתמכים:
- ‫OIDC: נדרש ספק OIDC שמוגדר עם הרשאה באמצעות קוד והיקף offline_access להנפקת טוקני רענון, או שמוגדר עם הקצאת הרשאות SCIM.
- ‫SAML 2.0: צריך להפעיל הקצאת הרשאות ידנית באמצעות SCIM בספק של מאגר כוח העבודה.
סף התיישנות של מאפיינים: אנחנו אוכפים סף התיישנות קבוע של 24 שעות. אם Google Cloud לא יכול לרענן את מאפייני המשתמש מ-IdP תוך 24 שעות, הסשן יבוטל והמשתמש יצטרך לבצע אימות מחדש.
אילוצים של Access Context Manager:
- קישור ארגוני יחיד: קישורים של משך הפעלה מורחב למאגרי כוח עבודה צריכים להיות מכוונים אל החשבון הראשי principalSet://cloudresourcemanager.googleapis.com/organizations/{ORG_ID}/type/WorkforcePool 'כל מאגרי כוח העבודה' של הארגון. מכיוון שמזהה החשבון הראשי המאוחד הזה חל על כל מאגרי כוח העבודה בארגון, יכול להיות רק קישור אחד כזה לכל ארגון. כדי להגדיר סשנים מורחבים לכמה פרויקטים של Looker (Google Cloud core), לאפליקציית Gemini Enterprise לנייד או לשילוב של שניהם, צריך לכלול כמה בלוקים של היקפי הרשאות מסוג restricted_project ו-restricted_client_application ברשימת scopedAccessSettings של הקישור היחיד.
- רמות גישה (access_levels, dry_run_access_levels) לא נתמכות בהרשאות של מאגר כוח העבודה.
- אי אפשר להשתמש ב-sessionSettings ברמה העליונה ישירות ב-GcpUserAccessBinding בשביל קישורי מאגר עובדים. צריך להגדיר את ההגדרות בתוך scopedAccessSettings.activeSettings.sessionSettings.

הגדרת ספק של מאגר כוח עבודה

כדי לאפשר משך סשן ארוך יותר, צריך להגדיר את הספק של מאגר הזהויות של כוח העבודה כך שיתמוך ברענון מאפיינים ברקע. אתם יכולים להגדיר את הספק לשימוש בפרוטוקול OIDC או בפרוטוקול SAML.

הגדרת ספק OIDC

אפשר לטפל ברענון מאפיינים ברקע עבור ספקי OIDC באמצעות טוקני רענון (היקף offline_access) או הקצאת הרשאות SCIM. אם משתמשים ברענון מאפיינים מבוסס-טוקן:

ב-IdP החיצוני, מגדירים אפליקציית OIDC עם הרשאה באמצעות קוד ומפעילים גישה אופליין כדי שאסימון רענון יוחזר.
ב- Google Cloud, מוסיפים את offline_access להיקפים הנוספים בספק של מאגר איחוד שירותי אימות הזהות של כוח עבודה ב-OIDC.

כדי שהמדיניות של משך הסשן המורחב תפעל כמו שצריך, צריך להגדיר גישה אופליין בכל מאגרי הזהויות של כוח העבודה בארגון ב- Google Cloud .

gcloud

אם לספק שלכם כבר יש היקפי הרשאות נוספים, צריך לכלול אותם לצד offline_access כדי שלא יוחלפו:

gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_NAME \
    --location=global \
    --web-sso-additional-scopes="offline_access[,EXISTING_ADDITIONAL_SCOPES]"

מחליפים את מה שכתוב בשדות הבאים:

‫PROVIDER_ID: השם של ספק מאגר הזהויות של כוח העבודה.
‫WORKFORCE_POOL_NAME: השם של מאגר הזהויות של כוח העבודה.
‫EXISTING_ADDITIONAL_SCOPES: היקפים נוספים שמופרדים בפסיקים שהוגדרו קודם אצל הספק. אם אין לכם היקפי הרשאות נוספים, אתם יכולים להשמיט את הפרמטר הזה.

‫API בארכיטקטורת REST

שולחים בקשת PATCH כדי לעדכן את הספק. כוללים את כל ההיקפים הנוספים הקיימים לצד offline_access:

PATCH https://iam.googleapis.com/v1/locations/global/workforcePools/WORKFORCE_POOL_NAME/providers/PROVIDER_ID?updateMask=oidc.webSsoConfig.additionalScopes

גוף הבקשה:

{
  "oidc": {
    "webSsoConfig": {
      "additionalScopes": [
        "offline_access"
      ]
    }
  }
}

מחליפים את מה שכתוב בשדות הבאים:

‫WORKFORCE_POOL_NAME: השם של מאגר הזהויות של כוח העבודה.
‫PROVIDER_ID: המזהה של ספק הזהויות של כוח העבודה.

הגדרת ספק SAML

בספקי SAML, כדי לרענן מאפיינים ברקע צריך להקצות הרשאות באמצעות SCIM:

מגדירים דייר SCIM לספק של מאגר כוח העבודה.
מגדירים הקצאת משתמשים וקבוצות מספק הזהויות ב-SAML לנקודת הקצה של SCIM.

הוראות מפורטות זמינות במאמר הקצאת SCIM לאיחוד שירותי אימות הזהות של כוח עבודה.

דוגמה להגדרת מדיניות ב-Looker (Google Cloud core)

יוצרים משאב GcpUserAccessBinding שמקצה את המדיניות של משך הסשן המורחב למאגר של כוח העבודה בארגון, ומגדירים את היקף המדיניות לפרויקט שמארח את המכונה של Looker (Google Cloud core).

gcloud

מגדירים את המדיניות בקובץ YAML בשם esl-binding.yaml:

scopedAccessSettings:
- scope:
    clientScope:
      restrictedProject:
        name: projects/PROJECT_NUMBER
  activeSettings:
    sessionSettings:
      sessionLength: 7776000s
      sessionLengthEnabled: true
      sessionReauthMethod: LOGIN

יוצרים את קישור הגישה:

gcloud access-context-manager cloud-bindings create \
    --organization=ORG_ID \
    --federated-principal="principalSet://cloudresourcemanager.googleapis.com/organizations/ORG_ID/type/WorkforcePool" \
    --binding-file="esl-binding.yaml"

מחליפים את מה שכתוב בשדות הבאים:

‫ORG_ID: מזהה הארגון ב- Google Cloud (לדוגמה, 123456789012).
‫PROJECT_NUMBER: מספר הפרויקט שבבעלותו מכונה היעד של Looker (Google Cloud core) (לדוגמה, 987654321098). רק אפליקציות Looker (Google Cloud core) שבבעלות הפרויקט הזה מקבלות את משך הסשן המורחב.
‫sessionLength: משך הסשן בשניות, ואחריו s. לדוגמה, 7776000s מציין סשן של 90 יום.
‫sessionLengthEnabled: מוגדר ל-true.
‫sessionReauthMethod: מגדירים את הערך LOGIN (או משאירים את השדה ריק).

‫API בארכיטקטורת REST

שליחת בקשת POST אל Access Context Manager API:

POST https://accesscontextmanager.googleapis.com/v1/organizations/ORG_ID/gcpUserAccessBindings

גוף בקשת JSON:

{
  "principal": {
    "federatedPrincipal": "principalSet://cloudresourcemanager.googleapis.com/organizations/ORG_ID/type/WorkforcePool"
  },
  "scopedAccessSettings": [
    {
      "scope": {
        "clientScope": {
          "restrictedProject": {
            "name": "projects/PROJECT_NUMBER"
          }
        }
      },
      "activeSettings": {
        "sessionSettings": {
          "sessionLength": "7776000s",
          "sessionLengthEnabled": true,
          "sessionReauthMethod": "LOGIN"
        }
      }
    }
  ]
}

מחליפים את מה שכתוב בשדות הבאים:

‫ORG_ID: מזהה הארגון ב- Google Cloud (לדוגמה, 123456789012).
‫PROJECT_NUMBER: מספר הפרויקט שבבעלותו מופע היעד של Looker (Google Cloud Core)‎ (לדוגמה, 987654321098). רק אפליקציות Looker (Google Cloud Core)‎ שבבעלות הפרויקט הזה יקבלו את משך הסשן המורחב.
‫sessionLength: משך הסשן בשניות, ואחריו s. לדוגמה, 7776000s מציין סשן של 90 יום.
‫sessionLengthEnabled: מוגדר ל-true.
‫sessionReauthMethod: מגדירים את הערך LOGIN (או משאירים את השדה ריק).

דוגמה להגדרת מדיניות לאפליקציית Gemini Enterprise לנייד

יוצרים משאב GcpUserAccessBinding שמקצה את המדיניות של משך הסשן המורחב למאגר כוח העבודה של הארגון, ומגדירים את היקף המדיניות לאפליקציית Gemini Enterprise לנייד באמצעות ההיקף restricted_client_application. אתם צריכים לזהות את האפליקציות באמצעות השמות המוצגים הקנוניים המדויקים שלהן: "Gemini Enterprise mobile Android" ו-"Gemini Enterprise mobile IOS".

gcloud

מגדירים את המדיניות בקובץ YAML בשם esl-app-binding.yaml:

scopedAccessSettings:
- scope:
    clientScope:
      restrictedClientApplication:
        name: "Gemini Enterprise mobile Android"
  activeSettings:
    sessionSettings:
      sessionLength: 7776000s
      sessionLengthEnabled: true
      sessionReauthMethod: LOGIN
- scope:
    clientScope:
      restrictedClientApplication:
        name: "Gemini Enterprise mobile IOS"
  activeSettings:
    sessionSettings:
      sessionLength: 7776000s
      sessionLengthEnabled: true
      sessionReauthMethod: LOGIN

יוצרים את קישור הגישה:

gcloud access-context-manager cloud-bindings create \
    --organization=ORG_ID \
    --federated-principal="principalSet://cloudresourcemanager.googleapis.com/organizations/ORG_ID/type/WorkforcePool" \
    --binding-file="esl-app-binding.yaml"

מחליפים את מה שכתוב בשדות הבאים:

‫ORG_ID: מזהה הארגון ב- Google Cloud (לדוגמה, 123456789012).
‫name: הערך צריך להיות "Gemini Enterprise mobile Android" או "Gemini Enterprise mobile IOS". אי אפשר לזהות אפליקציות לפי מזהה לקוח ב-OAuth (clientId) במאגרי כוח עבודה.
‫sessionLength: משך הסשן בשניות, ואחריו s (בין 3600s ל-7776000s).
‫sessionLengthEnabled: מוגדר לערך true.
‫sessionReauthMethod: מגדירים את הערך LOGIN (או משאירים את השדה ריק).

‫API בארכיטקטורת REST

שליחת בקשת POST אל Access Context Manager API:

POST https://accesscontextmanager.googleapis.com/v1/organizations/ORG_ID/gcpUserAccessBindings

גוף בקשת JSON:

{
  "principal": {
    "federatedPrincipal": "principalSet://cloudresourcemanager.googleapis.com/organizations/ORG_ID/type/WorkforcePool"
  },
  "scopedAccessSettings": [
    {
      "scope": {
        "clientScope": {
          "restrictedClientApplication": {
            "name": "Gemini Enterprise mobile Android"
          }
        }
      },
      "activeSettings": {
        "sessionSettings": {
          "sessionLength": "7776000s",
          "sessionLengthEnabled": true,
          "sessionReauthMethod": "LOGIN"
        }
      }
    },
    {
      "scope": {
        "clientScope": {
          "restrictedClientApplication": {
            "name": "Gemini Enterprise mobile IOS"
          }
        }
      },
      "activeSettings": {
        "sessionSettings": {
          "sessionLength": "7776000s",
          "sessionLengthEnabled": true,
          "sessionReauthMethod": "LOGIN"
        }
      }
    }
  ]
}

מחליפים את מה שכתוב בשדות הבאים:

‫ORG_ID: מזהה הארגון ב- Google Cloud (לדוגמה, 123456789012).
‫name: הערך חייב להיות "Gemini Enterprise mobile Android" או "Gemini Enterprise mobile IOS". אי אפשר לזהות אפליקציות לפי מזהה לקוח ב-OAuth (clientId) במאגרי כוח עבודה.
‫sessionLength: משך הסשן בשניות, ואחריו s. לדוגמה, 7776000s מציין סשן של 90 יום.
‫sessionLengthEnabled: מוגדר ל-true.
‫sessionReauthMethod: מגדירים את הערך LOGIN (או משאירים את השדה ריק).

הצגה ופירוט של קישורים

מכיוון שהקישור חל על כל מאגרי כוח העבודה בארגון, יש לכל היותר קישור גישה אחד לכל ארגון.

הצגת רשימה של קישורים פעילים

כדי להציג את רשימת הקישורים של הרשאות הגישה למאגר כוח העבודה בארגון, משתמשים במסנן principal:federatedPrincipal:

gcloud

gcloud access-context-manager cloud-bindings list \
    --organization=ORG_ID \
    --filter="principal:federatedPrincipal"

‫API בארכיטקטורת REST

GET https://accesscontextmanager.googleapis.com/v1/organizations/ORG_ID/gcpUserAccessBindings?filter=principal:federated_principal

קבלת פרטי הקישור

כדי לראות את הפרטים של קישור גישה ספציפי למאגר של כוח עבודה:

gcloud

gcloud access-context-manager cloud-bindings describe \
    --binding=BINDING_NAME

מחליפים את BINDING_NAME בשם המשאב המלא של הקישור (לדוגמה, organizations/123456789012/gcpUserAccessBindings/b1234567890).

‫API בארכיטקטורת REST

GET https://accesscontextmanager.googleapis.com/v1/organizations/ORG_ID/gcpUserAccessBindings/BINDING_ID

מחליפים את מה שכתוב בשדות הבאים:

‫ORG_ID: מזהה הארגון ב- Google Cloud (לדוגמה, 123456789012).
‫BINDING_ID: המזהה של הרשאת הגישה (לדוגמה, b1234567890).

עדכון של קישור גישה

אתם יכולים לעדכן קישור גישה קיים למאגר של כוח עבודה כדי לשנות את משך הסשנים, להוסיף היקפים חדשים של פרויקטים או אפליקציות, או להסיר היקפים קיימים.

gcloud

מגדירים את המדיניות המעודכנת בקובץ YAML בשם updated-esl-binding.yaml:

scopedAccessSettings:
- scope:
    clientScope:
      restrictedProject:
        name: projects/PROJECT_NUMBER
  activeSettings:
    sessionSettings:
      sessionLength: 2592000s
      sessionLengthEnabled: true
      sessionReauthMethod: LOGIN

מחילים את המדיניות המעודכנת:
- החלפת הגדרות הגישה המוגבלת: כדי להחליף את היקפי הגישה הקיימים בהגדרה שמוגדרת ב-updated-esl-binding.yaml:
```
gcloud access-context-manager cloud-bindings update \
    --binding=BINDING_NAME \
    --binding-file="updated-esl-binding.yaml"
```
- הוספה להגדרות קיימות: כדי להוסיף את ההיקפים שמוגדרים ב-updated-esl-binding.yaml להיקפים הקיימים של הקישור בלי להחליף אותם, מעבירים את הדגל --append:
```
gcloud access-context-manager cloud-bindings update \
    --binding=BINDING_NAME \
    --binding-file="updated-esl-binding.yaml" \
    --append
```

מחליפים את הערכים הבאים: * BINDING_NAME: שם המשאב המלא של הקישור (לדוגמה, organizations/123456789012/gcpUserAccessBindings/b1234567890). * PROJECT_NUMBER: מספר הפרויקט שבבעלותו מכונה היעד של Looker (Google Cloud core). ‫* sessionLength: משך הסשן המעודכן (לדוגמה, 2592000s למשך 30 ימים).

‫API בארכיטקטורת REST

שולחים בקשת PATCH כדי לעדכן את הקישור.

החלפת הגדרות הגישה בהיקף: כדי להחליף את ההיקפים הקיימים:

PATCH https://accesscontextmanager.googleapis.com/v1/organizations/ORG_ID/gcpUserAccessBindings/BINDING_ID?updateMask=scopedAccessSettings

הוספה להגדרות קיימות: כדי להוסיף היקפים חדשים בלי להחליף את הקיימים, מגדירים את הפרמטר של השאילתה append=true:

PATCH https://accesscontextmanager.googleapis.com/v1/organizations/ORG_ID/gcpUserAccessBindings/BINDING_ID?updateMask=scopedAccessSettings&append=true

גוף בקשת JSON:

{
"scopedAccessSettings": [
  {
    "scope": {
      "clientScope": {
        "restrictedProject": {
          "name": "projects/PROJECT_NUMBER"
        }
      }
    },
    "activeSettings": {
      "sessionSettings": {
        "sessionLength": "2592000s",
        "sessionLengthEnabled": true,
        "sessionReauthMethod": "LOGIN"
      }
    }
  }
]
}

מחליפים את הערכים הבאים: * ORG_ID: Google Cloud מזהה הארגון (לדוגמה, 123456789012). * BINDING_ID: המזהה של קישור הגישה (לדוגמה, b1234567890). * PROJECT_NUMBER: מספר הפרויקט שבבעלותו מופע היעד של Looker (Google Cloud core). ‫* sessionLength: משך הסשן המעודכן (לדוגמה, 2592000s למשך 30 ימים).

מחיקת קישור לגישה

אם תמחקו את הקישור לגישה למאגר כוח העבודה, משך הסשן המורחב יושבת בכל מאגרי כוח העבודה בארגון.

gcloud

gcloud access-context-manager cloud-bindings delete \
    --binding=BINDING_NAME

מחליפים את BINDING_NAME בשם המשאב המלא של הקישור.

‫API בארכיטקטורת REST

שולחים בקשת DELETE כדי להסיר את הקישור:

DELETE https://accesscontextmanager.googleapis.com/v1/organizations/ORG_ID/gcpUserAccessBindings/BINDING_ID

מחליפים את מה שכתוב בשדות הבאים:

‫ORG_ID: מזהה הארגון ב- Google Cloud .
‫BINDING_ID: המזהה של קישור הגישה שרוצים למחוק.

הגדרת אורך פעולה מורחב לאיחוד שירותי אימות הזהות של כוח העבודה קל לארגן דפים בעזרת אוספים אפשר לשמור ולסווג תוכן על סמך ההעדפות שלך.

סקירה כללית

לפני שמתחילים

תפקידים והרשאות נדרשים

הפעלת ממשקי ה-API

מגבלות ודרישות

הגדרת ספק של מאגר כוח עבודה

הגדרת ספק OIDC

gcloud

‫API בארכיטקטורת REST

הגדרת ספק SAML

דוגמה להגדרת מדיניות ב-Looker (Google Cloud core)

gcloud

‫API בארכיטקטורת REST

דוגמה להגדרת מדיניות לאפליקציית Gemini Enterprise לנייד

gcloud

‫API בארכיטקטורת REST

הצגה ופירוט של קישורים

הצגת רשימה של קישורים פעילים

gcloud

‫API בארכיטקטורת REST

קבלת פרטי הקישור

gcloud

‫API בארכיטקטורת REST

עדכון של קישור גישה

gcloud

‫API בארכיטקטורת REST

מחיקת קישור לגישה

gcloud

‫API בארכיטקטורת REST

הגדרת אורך פעולה מורחב לאיחוד שירותי אימות הזהות של כוח העבודה