קישור של ספק זהויות קיים

בדף הזה מוסבר איך לחבר מכשיר Google Distributed Cloud ‏ (GDC) עם פער אוויר לספק הזהויות (IdP) הקיים של הארגון. ספק זהויות (IdP) הוא מערכת שמנהלת ומאבטחת באופן מרכזי את זהויות המשתמשים, ומספקת שירותי אימות. התחברות לספק זהויות קיים מאפשרת למשתמשים לגשת ל-GDC באמצעות פרטי הכניסה של הארגון שלהם, בלי ליצור או לנהל חשבונות נפרדים ב-GDC. התהליך הזה מבטיח חוויית התחברות חלקה ומאובטחת. מכיוון שספק IdP הוא משאב גלובלי, משתמשים יכולים לגשת ל-GDC דרך אותו ספק IdP, ללא קשר לאזור שבו הם עובדים.

אחרי שמגדירים את ספק הזהויות הראשוני ומקשרים אותו לספק זהויות, אפשר לקשר ספקי זהויות קיימים נוספים באמצעות מסוף GDC.

אפשר להתחבר לספק זהויות קיים באמצעות אחת מהאפשרויות הבאות:

לפני שמתחילים

לפני שמתחברים לספק זהויות קיים, צריך לוודא שההגדרה הראשונית הושלמה, לבקש את ההרשאות הנדרשות ולהכין את הסביבה.

הגדרה ראשונית של חיבור לספק זהויות

חבר בקבוצת מפעילים של התשתית בארגון שלכם צריך להגדיר את החיבור הראשוני לספק הזהויות לפני שהמשתמשים יוכלו לגשת לאשכולות או ללוחות בקרה של GDC. כדי לעשות זאת, הם יכולים לפתוח כרטיס ב- ServiceNow מערכת לניהול פניות לתמיכה ולספק את המידע הנדרש על ספק הזהויות.

שליחת בקשה לתפקידים ב-IAM

כדי ליצור, לקרוא, לעדכן ולמחוק הגדרות של ספק זהויות, צריך לפנות לאדמין IAM בארגון ולבקש את התפקיד אדמין של איחוד ספקי זהויות (idp-federation-admin).

חשוב לוודא שהאדמין הראשוני שמציינים כשמחברים את ספק הזהויות קיבל את התפקיד אדמין IAM ארגוני (organization-iam-admin).

הכנת הסביבה

חיבור לספק זהויות קיים

כדי לחבר את ספק הזהויות, צריך מזהה לקוח יחיד וסוד מספק הזהויות. אפשר להתחבר לספק OIDC או SAML קיים באמצעות המסוף.

חיבור לספק OIDC קיים

  1. נכנסים למסוף GDC. בדוגמה הבאה מוצג המסוף אחרי כניסה לארגון שנקרא org-1: דף הפתיחה של המסוף עם קישורים לגישה מהירה למשימות נפוצות.
  2. בתפריט הניווט, לוחצים על זהות וגישה > זהות.
  3. לוחצים על הגדרת ספק זהויות חדש.

  4. בקטע Configure identity provider (הגדרת ספק זהויות), מבצעים את השלבים הבאים ולוחצים על Next (הבא):

    1. ברשימה ספק הזהויות, בוחרים באפשרות Open ID Connect (OIDC).
    2. מזינים שם של ספק זהויות.
    3. בשדה Google Distributed Cloud URL, מזינים את כתובת ה-URL שמשמשת לגישה ל-GDC.
    4. בשדה מזהה URI של מנפיק מזינים את כתובת ה-URL שאליה נשלחות בקשות הרשאה לספק הזהויות. שרת ה-API של Kubernetes משתמש בכתובת ה-URL הזו כדי לגלות מפתחות ציבוריים לאימות אסימונים. כתובת ה-URL חייבת להשתמש ב-HTTPS.
    5. בשדה מזהה לקוח, מזינים את המזהה של אפליקציית הלקוח ששולחת בקשות אימות לספק הזהויות.
      1. בקטע Client secret, בוחרים באפשרות Configure client secret (Recommended).
      2. בשדה Client secret (סוד הלקוח), מזינים את סוד הלקוח, שהוא סוד משותף בין ספק הזהויות לבין מכשיר GDC עם בידוד פיזי.

    6. אופציונלי: בשדה Prefix, מזינים קידומת. הקידומת היא בשדה קידומת של ספק הזהויות, מזינים קידומת. הקידומת מתווספת לתחילת הטענות לגבי משתמשים ולטענות לגבי קבוצות. הקידומות משמשות להבחנה בין הגדרות שונות של ספקי זהויות. לדוגמה, אם מגדירים קידומת של myidp, טענת משתמש יכולה להיות myidpusername@example.com וטענת קבוצה יכולה להיות myidpgroup@example.com. צריך לכלול את הקידומת גם כשמקצים הרשאות של בקרת גישה מבוססת-תפקידים (RBAC) לקבוצות.

    7. אופציונלי: בקטע הצפנה, בוחרים באפשרות הפעלת טוקנים מוצפנים.

      כדי להפעיל אסימוני הצפנה, צריכה להיות לכם הרשאת אדמין של שילוב ספק הזהויות. צריך לבקש מאדמין IAM בארגון להקצות לכם את התפקיד IdP Federation Admin (אדמין איחוד ספקי זהויות) (idp-federation-admin).

      1. בשדה Key ID (מזהה המפתח), מזינים את מזהה המפתח. מזהה המפתח הוא מפתח ציבורי של אסימון הצפנה באינטרנט מסוג JSON‏ (JWT). ספק ה-OIDC מגדיר ומקצה מזהה מפתח.
      2. בשדה מפתח פענוח, מזינים את מפתח הפענוח בפורמט PEM. מפתח הפענוח הוא מפתח אסימטרי שמפענח הצפנה. ספק ה-OIDC מגדיר ומקצה מפתח פענוח.

  5. בקטע Configure attributes (הגדרת מאפיינים), מבצעים את השלבים הבאים ולוחצים על Next (הבא):

    1. בשדה Certificate authority for OIDC provider, מזינים אישור בקידוד PEM בקידוד base64 עבור ספק הזהויות. מידע נוסף זמין בכתובת https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail.
      1. כדי ליצור את המחרוזת, מקודדים את האישור, כולל הכותרות, ל-base64.
      2. כוללים את המחרוזת שמתקבלת כשורה אחת. לדוגמה: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tC...k1JSUN2RENDQWFT==
    2. בשדה Group claim, מזינים את שם הטענה באסימון של ספק הזהויות שמכילה את פרטי הקבוצה של המשתמש.
    3. בשדה User claim, מזינים את הטענה לזיהוי כל משתמש. ערך ברירת המחדל של הרבה ספקים הוא sub. אפשר לבחור הצהרות אחרות, כמו email או name, בהתאם לספק הזהויות. לכל התביעות מלבד email יש קידומת של כתובת ה-URL של המנפיק כדי למנוע התנגשויות בשמות.
    4. אופציונלי: אם ספק הזהויות שלכם משתמש בשירות הזהויות של GKE, בקטע 'מאפיינים בהתאמה אישית' לוחצים על הוספה ומזינים זוגות של מפתח/ערך לטענות נוספות לגבי משתמש, כמו המחלקה שלו או כתובת ה-URL של תמונת הפרופיל שלו.
    5. אם ספק הזהויות דורש היקפי הרשאה נוספים, בשדה Scopes מזינים את היקפי ההרשאה המופרדים בפסיקים לשליחה לספק הזהויות. לדוגמה, שירותי Microsoft Azure ו-Okta דורשים את היקף ההרשאות offline_access.
    6. בקטע Extra parameters (פרמטרים נוספים), מזינים צמדי מפתח/ערך נוספים (מופרדים בפסיקים) שספק הזהויות דורש. אם מאשרים קבוצה, מעבירים את הערך resource=token-groups-claim. אם שרת ההרשאות שלכם מבקש הסכמה לאימות באמצעות Microsoft Azure ו-Okta, צריך להגדיר את prompt=consent. ב-Cloud Identity, מגדירים את prompt=consent,access_type=offline.

  6. בקטע Specify initial admins (ציון אדמינים ראשוניים), מבצעים את השלבים הבאים ולוחצים על Next (הבא):

    1. בוחרים אם להוסיף משתמשים יחידים או קבוצות כמנהלים ראשוניים.
    2. בשדה שם משתמש או אימייל חלופי של קבוצה, מזינים את כתובת האימייל של המשתמש או הקבוצה כדי לגשת לארגון. אם אתם האדמינים, אתם צריכים להזין את כתובת האימייל שלכם, למשל sally@example.com. התחילית מתווספת לפני שם המשתמש, למשל myidp-sally@example.com.

  7. בודקים את האפשרויות שנבחרו ולוחצים על הגדרה.

פרופיל ספק הזהויות החדש זמין ברשימת פרופילי הזהויות.

חיבור לספק SAML קיים

  1. נכנסים למסוף GDC.
  2. בתפריט הניווט, לוחצים על Identity and Access > Identity (זהות וגישה > זהות).

  3. בקטע Configure identity provider (הגדרת ספק זהויות), מבצעים את השלבים הבאים ולוחצים על Next (הבא):

    1. בתפריט הנפתח ספק זהויות, בוחרים באפשרות שפת סימון טענות אבטחה (SAML).
    2. מזינים שם של ספק זהויות.
    3. בשדה מזהה הזהות, מזינים את המזהה של אפליקציית הלקוח ששולחת בקשות אימות לספק הזהויות.
    4. בשדה SSO URI, מזינים את כתובת ה-URL של נקודת הקצה של הספק לכניסה יחידה. לדוגמה: https://www.idp.com/saml/sso.

    5. בשדה Identity provider prefix (קידומת של ספק הזהויות), מזינים קידומת. הקידומת מתווספת לתחילת הטענות לגבי משתמשים וקבוצות. הקידומות מבחינות בין הגדרות שונות של ספקי זהויות. לדוגמה: אם מגדירים קידומת של myidp, טענת משתמש עשויה להופיע כ-myidpusername@example.com וטענת קבוצה עשויה להופיע כ-myidpgroup@example.com. כשמקצים הרשאות RBAC לקבוצות, צריך לכלול גם את הקידומת.

    6. אופציונלי: בקטע SAML Assertions, בוחרים באפשרות Enable encrypted SAML assertions.

      כדי להפעיל טענות נכונות מוצפנות של SAML, צריך להיות לכם תפקיד אדמין באיחוד ספקי הזהויות. תצטרכו לבקש מאדמין IAM בארגון להקצות לכם את התפקיד IdP Federation Admin (אדמין איחוד ספקי זהויות) (idp-federation-admin).

      1. בשדה אישור הצפנה, מזינים את אישור ההצפנה בפורמט PEM. אחרי שיוצרים את ספק ה-SAML, מקבלים את אישור ההצפנה.
      2. בשדה Decryption key (מפתח פענוח), מזינים את מפתח הפענוח. מקבלים את מפתח הפענוח אחרי שיוצרים את ספק SAML.

    7. אופציונלי: בקטע SAML Signed requests, מסמנים את התיבה Enable signed SAML requests.

      1. בשדה אישור חתימה, מזינים את אישור החתימה בפורמט קובץ PEM. ספק SAML מגדיר ומפיק אישור חתימה.
      2. בשדה מפתח חתימה, מזינים את מפתח החתימה בפורמט קובץ PEM. ספק ה-SAML מגדיר ומפיק בשבילכם מפתח חתימה.

  4. בדף Configure attributes (הגדרת מאפיינים), מבצעים את השלבים הבאים ולוחצים על Next (הבא):

    1. בשדה IDP certificate (אישור ספק הזהויות), מזינים אישור בקידוד PEM בקידוד base64 עבור ספק הזהויות. מידע נוסף זמין בכתובת https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail.
      1. כדי ליצור את המחרוזת, מקודדים את האישור, כולל הכותרות, ל-base64.
      2. כוללים את המחרוזת שמתקבלת כשורה אחת. לדוגמה: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tC...k1JSUN2RENDQWFT==.
    2. מזינים אישורים נוספים בשדה אישור IDP נוסף.
    3. בשדה User attribute, מזינים את המאפיין לזיהוי כל משתמש. מאפיין ברירת המחדל של הרבה ספקים הוא sub. אתם יכולים לבחור מאפיינים אחרים, כמו email או name, בהתאם לספק הזהויות. למאפיינים אחרים מלבד email מתווספת קידומת של כתובת ה-URL של המנפיק כדי למנוע התנגשויות בשמות.
    4. בשדה מאפיין קבוצה, מזינים את שם המאפיין בטוקן של ספק הזהויות שמכיל את פרטי הקבוצה של המשתמש.
    5. אופציונלי: אם ספק הזהויות שלכם משתמש בשירות הזהויות של GKE, באזור מיפוי מאפיינים לוחצים על הוספה ומזינים צמדי מפתח/ערך למאפיינים נוספים לגבי משתמש, כמו המחלקה שלו או כתובת ה-URL של תמונת הפרופיל שלו.

  5. בקטע Specify initial admins (ציון אדמינים ראשוניים), מבצעים את השלבים הבאים ולוחצים על Next (הבא):

    1. בוחרים אם להוסיף משתמשים יחידים או קבוצות כמנהלים ראשוניים.
    2. בשדה שם משתמש, מזינים את כתובת האימייל של המשתמש או הקבוצה כדי לגשת לארגון. אם אתם האדמינים, אתם צריכים להזין את כתובת האימייל שלכם, למשל kiran@example.com. התחילית מתווספת לפני שם המשתמש, למשל myidp-kiran@example.com.

  6. בדף בדיקה, בודקים את כל הערכים של כל הגדרת זהות לפני שממשיכים. לוחצים על הקודם כדי לחזור לדפים הקודמים ולבצע את התיקונים הנדרשים. אחרי שמגדירים את כל הערכים לפי המפרט, לוחצים על הגדרה.