Verbindung zu einem Identitätsanbieter herstellen

Auf dieser Seite wird erläutert, wie Sie Google Distributed Cloud (GDC) mit Air Gap mit dem vorhandenen Identitätsanbieter (IdP) Ihrer Organisation verbinden. Ein IdP ist ein System, das Nutzeridentitäten zentral verwaltet und schützt und Authentifizierungsdienste bereitstellt. Wenn Sie eine Verbindung zu einem vorhandenen IdP herstellen, können Nutzer mit den Anmeldedaten ihrer Organisation auf GDC zugreifen, ohne separate Konten in GDC erstellen oder verwalten zu müssen. Dieser Prozess sorgt für eine nahtlose und sichere Anmeldung. Da ein IdP eine globale Ressource ist, können Nutzer unabhängig von der Zone, in der sie arbeiten, über denselben IdP auf GDC zugreifen.

Diese Seite richtet sich an Zielgruppen in der Gruppe der Plattformadministratoren, z. B. IT-Administratoren oder Sicherheitstechniker, die eine Verbindung zu einem IdP herstellen möchten. Weitere Informationen finden Sie unter Dokumentation zu Zielgruppen für GDC mit Air Gap.

Sie können mit einer der folgenden Methoden eine Verbindung zu einem vorhandenen Identitätsanbieter herstellen:

Hinweis

Bevor Sie eine Verbindung zu einem vorhandenen Identitätsanbieter herstellen, müssen Sie sicherstellen, dass die Ersteinrichtung abgeschlossen ist, die erforderlichen Berechtigungen anfordern und Ihre Umgebung vorbereiten.

Ersteinrichtung der Identitätsanbieterverbindung

Ein Mitglied der Infrastruktur-Operatorgruppe Ihrer Organisation muss die erste IdP-Verbindung konfigurieren, bevor Nutzer auf GDC-Cluster oder -Dashboards zugreifen können.

Dazu kann es ein Ticket im Ticketsystem öffnen und die erforderlichen Informationen zum Identitätsanbieter angeben. Weitere Informationen finden Sie unter Identitätsanbieter des Kunden mit der Organisation verbinden.

IAM-Rollen anfordern

Wenn Sie Konfigurationen für Identitätsanbieter erstellen, lesen, aktualisieren und löschen möchten, wenden Sie sich an Ihren IAM-Administrator der Organisation und fordern Sie die Rolle IdP Federation Admin (idp-federation-admin) an.

Der erste Administrator, den Sie beim Verbinden des Identitätsanbieters angeben, muss die Rolle Organization IAM Admin (organization-iam-admin) haben.

Umgebung vorbereiten

Verbindung zu einem vorhandenen Identitätsanbieter herstellen

Um den Identitätsanbieter zu verbinden, benötigen Sie eine einzelne Client-ID und ein Secret von Ihrem Identitätsanbieter. Sie können entweder eine Verbindung zu einem vorhandenen OIDC oder einem SAML Anbieter herstellen.

Verbindung zu einem vorhandenen OIDC-Anbieter herstellen

So stellen Sie eine Verbindung zu einem vorhandenen OIDC-Anbieter her:

Console

  1. Melden Sie sich in der GDC Console an. Das folgende Beispiel zeigt die Console nach der Anmeldung in einer Organisation namens org-1: Willkommensseite der Konsole mit Direktlinks zu häufigen Aufgaben
  2. Klicken Sie im Navigationsmenü auf Identität und Zugriff > Identität.
  3. Klicken Sie auf Identitätsanbieter hinzufügen.

  4. Führen Sie im Abschnitt Identitätsanbieter konfigurieren die folgenden Schritte aus:

    1. Wählen Sie im Drop-down-Menü Identitätsanbieter die Option OpenID Connect (OIDC) aus.
    2. Geben Sie einen Namen für den Identitätsanbieter ein.
    3. Geben Sie im Feld Aussteller-URI die URL ein, an die Autorisierungsanfragen an Ihren Identitätsanbieter gesendet werden. Der Kubernetes API-Server nutzt diese URL, um öffentliche Schlüssel zum Verifizieren von Tokens zu ermitteln. Die URL muss HTTPS verwenden.
    4. Geben Sie im Feld Client-ID die ID für die Clientanwendung ein, die Authentifizierungsanfragen an den Identitätsanbieter sendet.
    5. Geben Sie im Feld Clientschlüssel den Clientschlüssel ein. Das ist ein gemeinsames Secret zwischen Ihrem Identitätsanbieter und Distributed Cloud.

    6. Optional: Geben Sie im Feld Präfix des Identitätsanbieters ein Präfix ein. Das Präfix wird am Anfang von Nutzer- und Gruppenansprüchen hinzugefügt. Präfixe werden verwendet, um zwischen verschiedenen Konfigurationen von Identitätsanbietern zu unterscheiden. Wenn Sie beispielsweise das Präfix myidp festlegen, könnte ein Nutzer anspruch myidp-username@example.com und ein Gruppenanspruch myidp-group@example.com lauten. Das Präfix muss auch enthalten sein, wenn Sie Gruppen RBAC-Berechtigungen zuweisen.

    7. Optional: Wählen Sie im Abschnitt Verschlüsselung die Option Verschlüsselungstokens aktivieren aus.

      Wenn Sie Verschlüsselungstokens aktivieren möchten, bitten Sie Ihren IAM-Administrator der Organisation, Ihnen die Rolle „IdP Federation Admin“ (idp-federation-admin) zuzuweisen.

      1. Geben Sie im Feld Schlüssel-ID Ihre Schlüssel-ID ein. Die Schlüssel-ID identifiziert den öffentlichen Schlüssel eines JWE-Tokens (JSON Web Encryption). Ihr OIDC-Anbieter richtet eine Schlüssel-ID ein und stellt sie bereit.
      2. Geben Sie im Feld Entschlüsselungsschlüssel den Entschlüsselungsschlüssel im PEM-Format ein. Der Entschlüsselungsschlüssel ist ein asymmetrischer Schlüssel, der zum Entschlüsseln von Tokens verwendet wird. Ihr OIDC-Anbieter richtet einen Entschlüsselungsschlüssel ein und stellt ihn bereit.

    8. Klicken Sie auf Weiter.

  5. Führen Sie im Abschnitt Attribute konfigurieren die folgenden Schritte aus:

    1. Geben Sie im Feld Zertifizierungsstelle für OIDC-Anbieter ein base64-codiertes PEM-codiertes Zertifikat für den Identitätsanbieter ein. Weitere Informationen finden Sie unter Privacy-Enhanced Mail auf Wikipedia.
      1. Codieren Sie das Zertifikat samt Header in base64, um den String zu erstellen.
      2. Fügen Sie den resultierenden String als eine Zeile ein. Beispiel: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tC...k1JSUN2RENDQWFT==
    2. Geben Sie im Feld Gruppenanspruch den Namen des Anspruchs im Identitätsanbietertoken ein, der die Gruppeninformationen des Nutzers enthält.
    3. Geben Sie im Feld Nutzeranspruch den Anspruch ein, mit dem jeder Nutzer identifiziert wird. Der Standardanspruch für viele Anbieter ist sub. Je nach Identitätsanbieter können Sie andere Ansprüche wie email oder name auswählen. Anderen Ansprüchen als email wird die Aussteller-URL vorangestellt, um Namenskonflikte zu vermeiden.
    4. Optional: Klicken Sie im Abschnitt Benutzerdefinierte Attribute auf Paar hinzufügen und geben Sie Schlüssel/Wert-Paare für zusätzliche Ansprüche zu einem Nutzer ein, z. B. seine Abteilung oder die URL des Profilbilds.
    5. Wenn Ihr Identitätsanbieter zusätzliche Bereiche erfordert, geben Sie im Feld Bereiche die durch Kommas getrennten Bereiche ein, die an den Identitätsanbieter gesendet werden sollen.
    6. Geben Sie im Abschnitt Zusätzliche Parameter alle zusätzlichen Schlüssel/Wert-Paare (durch Kommas getrennt) ein, die von Ihrem Identitätsanbieter benötigt werden. Wenn Sie eine Gruppe autorisieren, geben Sie resource=token-groups-claim ein.
    7. Klicken Sie auf Weiter.

  6. Führen Sie im Abschnitt Erste Administratoren angeben die folgenden Schritte aus:

    1. Wählen Sie aus, ob Sie einzelne Nutzer oder Gruppen als erste Administratoren hinzufügen möchten.
    2. Geben Sie im Feld Nutzername oder Gruppenalias die E-Mail-Adresse des Nutzers oder der Gruppe ein, um auf die Organisation zuzugreifen. Wenn Sie der Administrator sind, geben Sie Ihre E-Mail-Adresse ein, z. B. kiran@example.com. Das Präfix wird vor dem Nutzernamen hinzugefügt, z. B. myidp-kiran@example.com.
    3. Klicken Sie auf Weiter.

  7. Überprüfen Sie Ihre Auswahl und klicken Sie auf Einrichten.

Das neue Identitätsanbieterprofil ist in der Liste der Identitätsprofile verfügbar.

API

Wenn Sie Ihren Identitätsanbieter mit Ihrer Organisation verbinden möchten, erstellen Sie die globale benutzerdefinierte Ressource IdentityProviderConfig.

  1. Erstellen Sie eine YAML-Datei für die benutzerdefinierte Ressource IdentityProviderConfig, z. B. pa-idp-oidc.yaml:

    apiVersion: iam.global.gdc.goog/v1
kind: IdentityProviderConfig
metadata:
  name: pa-idp-oidc
  namespace: platform
spec:
  oidc:
    certificateAuthorityData: "IDP_BASE64_ENCODED_CERTIFICATE"
    clientID: IDP_CLIENT_ID
    clientSecret: IDP_CLIENT_SECRET
    groupPrefix: IDP_GROUP_PREFIX
    groupsClaim: IDP_GROUP_CLAIM
    issuerURI: IDP_ISSUER_URI
    scopes: openid,email,profile
    userClaim: IDP_USER_CLAIM
    userPrefix: IDP_USER_PREFIX

    Ersetzen Sie die folgenden Variablen:

    • IDP_BASE64_ENCODED_CERTIFICATE: das base64-codierte Zertifikat für den IdP.
    • IDP_CLIENT_ID: die Client-ID für den IdP.
    • IDP_CLIENT_SECRET: der Clientschlüssel für den IdP.
    • IDP_GROUP_PREFIX: das Präfix für Gruppen im IdP.
    • IDP_GROUP_CLAIM: der Name des Anspruchs im IdP-Token, der Gruppeninformationen enthält.
    • IDP_ISSUER_URI: der Aussteller-URI für den IdP.
    • IDP_USER_CLAIM: der Name des Anspruchs im IdP-Token für den Nutzer.
    • IDP_USER_PREFIX: das Präfix für den Nutzer-IdP.

  2. Wenden Sie die benutzerdefinierte Ressource IdentityProviderConfig auf den globalen API-Server an:

    kubectl --kubeconfig GLOBAL_API_SERVER_KUBECONFIG apply -f pa-idp-oidc.yaml

    Ersetzen Sie die Variable GLOBAL_API_SERVER_KUBECONFIG durch den Pfad zur kubeconfig-Datei für den globalen API-Server.

Verbindung zu einem vorhandenen SAML-Anbieter herstellen

So stellen Sie eine Verbindung zu einem vorhandenen SAML-Anbieter her:

Console

  1. Melden Sie sich in der GDC Console an. Das folgende Beispiel zeigt die Console nach der Anmeldung in einer Organisation namens org-1: Willkommensseite der Konsole mit Direktlinks zu häufigen Aufgaben
  2. Klicken Sie im Navigationsmenü auf Identität und Zugriff > Identität.
  3. Klicken Sie auf Identitätsanbieter hinzufügen.

  4. Führen Sie im Abschnitt Identitätsanbieter konfigurieren die folgenden Schritte aus:

    1. Wählen Sie im Drop-down-Menü Identitätsanbieter die Option Security Assertion Markup Language (SAML) aus.
    2. Geben Sie einen Namen für den Identitätsanbieter ein.
    3. Geben Sie im Feld Identitäts-ID die ID für die Clientanwendung ein, die Authentifizierungsanfragen an den Identitätsanbieter sendet.
    4. Geben Sie im Feld SSO-URI die URL zum SSO-Endpunkt des Anbieters ein. Beispiel: https://www.idp.com/saml/sso.

    5. Geben Sie im Feld Präfix des Identitätsanbieters ein Präfix ein. Das Präfix wird am Anfang von Nutzer- und Gruppenansprüchen hinzugefügt. Präfixe werden verwendet, um zwischen verschiedenen Konfigurationen von Identitätsanbietern zu unterscheiden. Wenn Sie beispielsweise das Präfix myidp festlegen, könnte ein Nutzeranspruch myidp-username@example.com und ein Gruppenanspruch myidp-group@example.com lauten. Das Präfix muss auch enthalten sein, wenn Sie Gruppen RBAC-Berechtigungen zuweisen.

    6. Konfigurieren Sie Ihren SAML-Anbieter für mehr Sicherheit so, dass er Assertions mit einer Lebensdauer von 5 bis 10 Minuten ausgibt. Diese Einstellung kann in den Einstellungen Ihres SAML-Anbieters konfiguriert werden.

    7. Optional: Wählen Sie im Abschnitt SAML-Assertions die Option SAML-Assertions verschlüsseln aus.

      Wenn Sie verschlüsselte SAML-Assertions aktivieren möchten, bitten Sie Ihren IAM-Administrator der Organisation, Ihnen die Rolle „IdP Federation Admin“ (idp-federation-admin) zuzuweisen.

      1. Geben Sie im Feld Zertifikat für die Verschlüsselungsassertion Ihr Verschlüsselungszertifikat im PEM-Format ein. Sie erhalten Ihr Verschlüsselungszertifikat von Ihrem SAML-Anbieter.
      2. Geben Sie im Feld Schlüssel für die Verschlüsselungsassertion Ihren privaten Schlüssel ein. Sie erhalten Ihren Entschlüsselungsschlüssel, nachdem Sie den SAML-Anbieter generiert haben.

    8. Optional: Wählen Sie im Abschnitt Signierte SAML-Anfragen die Option Signierte SAML-Anfragen aktivieren aus.

      1. Geben Sie im Feld Signaturzertifikat Ihr Signaturzertifikat im PEM-Dateiformat ein. Ihr SAML-Anbieter stellt ein Signaturzertifikat aus.
      2. Geben Sie im Feld Signaturschlüssel Ihren Signaturschlüssel im PEM-Dateiformat ein. Ihr SAML-Anbieter richtet einen Signaturschlüssel ein und stellt ihn bereit.

    9. Klicken Sie auf Weiter.

  5. Führen Sie auf der Seite Attribute konfigurieren die folgenden Schritte aus:

    1. Geben Sie im Feld IdP-Zertifikat ein base64-codiertes PEM-codiertes Zertifikat für den Identitätsanbieter ein. Weitere Informationen finden Sie unter Privacy-Enhanced Mail auf Wikipedia.
      1. Codieren Sie das Zertifikat samt Header in base64, um den String zu erstellen.
      2. Fügen Sie den resultierenden String in als eine Zeile ein. Beispiel: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tC...k1JSUN2RENDQWFT==.
    2. Geben Sie im Feld Zusätzliches IdP-Zertifikat alle zusätzlichen Zertifikate ein.
    3. Geben Sie im Feld Nutzerattribut das Attribut ein, mit dem jeder Nutzer identifiziert wird. Das Standardattribut für viele Anbieter ist sub. Je nach Identitätsanbieter können Sie andere Attribute wie email oder name auswählen. Anderen Attributen als email wird die Aussteller-URL vorangestellt, um Namenskonflikte zu vermeiden.
    4. Geben Sie im Feld Gruppenattribut den Namen des Attributs im Identitätsanbietertoken ein, das die Gruppeninformationen des Nutzers enthält.
    5. Optional: Klicken Sie im Abschnitt Attributzuordnung auf Paar hinzufügen und geben Sie Schlüssel/Wert-Paare für zusätzliche Attribute zu einem Nutzer ein, z. B. seine Abteilung oder die URL des Profilbilds.
    6. Klicken Sie auf Weiter.

  6. Führen Sie im Abschnitt Erste Administratoren angeben die folgenden Schritte aus:

    1. Wählen Sie aus, ob Sie einzelne Nutzer oder Gruppen als erste Administratoren hinzufügen möchten.
    2. Geben Sie im Feld Nutzername oder Gruppenalias die E-Mail-Adresse des Nutzers oder der Gruppe ein, um auf die Organisation zuzugreifen. Wenn Sie der Administrator sind, geben Sie Ihre E-Mail-Adresse ein, z. B. kiran@example.com. Das Präfix wird vor dem Nutzernamen hinzugefügt, z. B. myidp-kiran@example.com.
    3. Klicken Sie auf Weiter.

  7. Prüfen Sie auf der Seite Überprüfung alle Werte der einzelnen Identitätskonfigurationen, bevor Sie fortfahren.

    Klicken Sie auf Zurück , um zu den vorherigen Seiten zurückzukehren und die erforderlichen Korrekturen vorzunehmen.

  8. Klicken Sie auf Einrichten.

Das neue Identitätsanbieterprofil ist in der Liste der Identitätsprofile verfügbar.

API

Wenn Sie Ihren Identitätsanbieter mit Ihrer Organisation verbinden möchten, erstellen Sie die globale benutzerdefinierte Ressource IdentityProviderConfig.

  1. Erstellen Sie eine YAML-Datei für die benutzerdefinierte Ressource IdentityProviderConfig, z. B. pa-idp-saml.yaml:

    apiVersion: iam.global.gdc.goog/v1
kind: IdentityProviderConfig
metadata:
  name: pa-idp-saml
  namespace: platform
spec:
  saml:
    groupPrefix: IDP_GROUP_PREFIX
    groupsAttribute: IDP_GROUP_ATTRIBUTE
    idpCertificateDataList:
    - "IDP_BASE64_ENCODED_CERTIFICATE"
    idpEntityID: IDP_SAML_ENTITY_ID
    idpSingleSignOnURI: IDP_SAML_SSO_URI
    userAttribute: IDP_USER_ATTRIBUTE
    userPrefix: IDP_USER_PREFIX

    Ersetzen Sie die folgenden Variablen:

    • IDP_GROUP_PREFIX: das Präfix für Gruppen im IdP.
    • IDP_GROUP_ATTRIBUTE: das Attribut für Gruppen im IdP.
    • IDP_BASE64_ENCODED_CERTIFICATE: das base64-codierte Zertifikat für den IdP.
    • IDP_SAML_ENTITY_ID: die URL oder der URI zur eindeutigen Identifizierung des IdP.
    • IDP_SAML_SSO_URI: der Aussteller-URI für den IdP.
    • IDP_USER_ATTRIBUTE: das Attribut für den IdP-Nutzer, z. B. eine E-Mail-Adresse.
    • IDP_USER_PREFIX: der Name des Anspruchs im IdP-Token für den Nutzer.

  2. Wenden Sie die benutzerdefinierte Ressource IdentityProviderConfig auf den globalen API-Server an:

    kubectl --kubeconfig GLOBAL_API_SERVER_KUBECONFIG apply -f pa-idp-saml.yaml

    Ersetzen Sie die Variable GLOBAL_API_SERVER_KUBECONFIG durch den Pfad zur kubeconfig-Datei für den globalen API-Server.

Vorhandenen Identitätsanbieter löschen

So löschen Sie einen vorhandenen Identitätsanbieter über die GDC Console:

  1. Melden Sie sich in der GDC Console an.
  2. Wählen Sie in der Projektauswahl die Organisation aus, in der Sie den Identitätsanbieter löschen möchten.
  3. Klicken Sie im Navigationsmenü auf Identität und Zugriff > Identität.

  4. Klicken Sie das Kästchen neben dem Namen eines oder mehrerer Identitätsanbieter an.

    Eine Meldung mit der Anzahl der ausgewählten Identitätsanbieter und der Schaltfläche Löschen wird angezeigt.

  5. Klicken Sie auf Löschen.