Verbindung zu einem Identitätsanbieter herstellen

Auf dieser Seite wird beschrieben, wie Sie Google Distributed Cloud (GDC) mit Air Gap mit dem vorhandenen Identitätsanbieter (IdP) Ihrer Organisation verbinden. Ein IdP ist ein System, das Nutzeridentitäten zentral verwaltet und sichert und Authentifizierungsdienste bereitstellt. Durch die Verbindung mit einem vorhandenen IdP können Nutzer mit den Anmeldedaten ihrer Organisation auf GDC zugreifen, ohne separate Konten in GDC erstellen oder verwalten zu müssen. Dieser Prozess sorgt für eine nahtlose und sichere Anmeldung. Da ein IdP eine globale Ressource ist, können Nutzer unabhängig von der Zone, in der sie arbeiten, über denselben IdP auf die GDC zugreifen.

Diese Seite richtet sich an Zielgruppen innerhalb der Gruppe der Plattformadministratoren, z. B. IT-Administratoren oder Sicherheitstechniker, die eine Verbindung zu einem IdP herstellen möchten. Weitere Informationen finden Sie unter Dokumentation zu Zielgruppen für GDC mit Air Gap.

Sie können eine Verbindung zu einem vorhandenen Identitätsanbieter herstellen, indem Sie eine der folgenden Optionen verwenden:

Hinweis

Bevor Sie eine Verbindung zu einem vorhandenen Identitätsanbieter herstellen, müssen Sie die Ersteinrichtung abschließen, die erforderlichen Berechtigungen anfordern und Ihre Umgebung vorbereiten.

Erstmalige Einrichtung der Verbindung mit dem Identitätsanbieter

Ein Mitglied der Infrastrukturbetreibergruppe Ihrer Organisation muss die erste IdP-Verbindung konfigurieren, bevor Nutzer auf GDC-Cluster oder -Dashboards zugreifen können.

Dazu müssen sie ein Ticket in dem Ticketsystem erstellen und die erforderlichen Informationen zum Identitätsanbieter angeben. Weitere Informationen finden Sie unter Kundenidentitätsanbieter mit der Organisation verbinden.

IAM-Rollen anfordern

Wenn Sie Konfigurationen für Identitätsanbieter erstellen, lesen, aktualisieren und löschen möchten, wenden Sie sich an Ihren IAM-Admin der Organisation, um die Rolle IdP-Föderationsadministrator (idp-federation-admin) anzufordern.

Achten Sie darauf, dass der ursprüngliche Administrator, den Sie beim Verbinden des Identitätsanbieters angeben, die Rolle IAM-Organisationsadministrator (organization-iam-admin) hat.

Umgebung vorbereiten

Verbindung zu einem vorhandenen Identitätsanbieter herstellen

Zum Verbinden des Identitätsanbieters benötigen Sie eine einzelne Client-ID und ein Secret von Ihrem Identitätsanbieter. Sie können entweder eine Verbindung zu einem vorhandenen OIDC- oder einem SAML-Anbieter herstellen.

Mit einem vorhandenen OIDC-Anbieter verbinden

So stellen Sie eine Verbindung zu einem vorhandenen OIDC-Anbieter her:

Console

  1. Melden Sie sich in der GDC-Konsole an. Das folgende Beispiel zeigt die Console nach der Anmeldung bei einer Organisation mit dem Namen org-1: Willkommensseite der Console mit Schnellzugriffslinks zu häufigen Aufgaben
  2. Klicken Sie im Navigationsmenü auf Identität und Zugriff > Identität.
  3. Klicken Sie auf Add Identity Provider (Identitätsanbieter hinzufügen).

  4. Führen Sie im Abschnitt Identitätsanbieter konfigurieren die folgenden Schritte aus:

    1. Wählen Sie im Drop-down-Menü Identitätsanbieter die Option Open ID Connect (OIDC) aus.
    2. Geben Sie einen Namen für den Identitätsanbieter ein.
    3. Geben Sie im Feld Aussteller-URI die URL ein, über die Autorisierungsanfragen an Ihren Identitätsanbieter gesendet werden. Der Kubernetes API-Server nutzt diese URL, um öffentliche Schlüssel zum Verifizieren von Tokens zu ermitteln. Die URL muss HTTPS verwenden.
    4. Geben Sie im Feld Client-ID die ID für die Clientanwendung ein, die Authentifizierungsanfragen an den Identitätsanbieter sendet.
    5. Geben Sie im Feld Clientschlüssel den Clientschlüssel ein. Dies ist ein gemeinsamer Schlüssel zwischen Ihrem Identitätsanbieter und Distributed Cloud.

    6. Optional: Geben Sie im Feld Präfix des Identitätsanbieters ein Präfix ein. Das Präfix wird am Anfang von Nutzer- und Gruppenanforderungen hinzugefügt. Präfixe werden verwendet, um zwischen verschiedenen Identitätsanbieterkonfigurationen zu unterscheiden. Wenn Sie beispielsweise das Präfix myidp festlegen, könnte eine Nutzerforderung myidp-username@example.com und eine Gruppenforderung myidp-group@example.com sein. Das Präfix muss auch enthalten sein, wenn Gruppen Berechtigungen für die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC) zugewiesen werden.

    7. Optional: Wählen Sie im Abschnitt Verschlüsselung die Option Verschlüsselungstokens aktivieren aus.

      Bitten Sie Ihren IAM-Admin der Organisation, Ihnen die Rolle „IdP Federation Admin“ (idp-federation-admin) zuzuweisen, um Verschlüsselungstokens zu aktivieren.

      1. Geben Sie im Feld Schlüssel-ID Ihre Schlüssel-ID ein. Die Schlüssel-ID identifiziert den öffentlichen Schlüssel eines JWE-Tokens (JSON Web Encryption). Ihr OIDC-Anbieter richtet eine Schlüssel-ID ein und stellt sie bereit.
      2. Geben Sie im Feld Entschlüsselungsschlüssel den Entschlüsselungsschlüssel im PEM-Format ein. Der Entschlüsselungsschlüssel ist ein asymmetrischer Schlüssel, der zum Entschlüsseln von Tokens verwendet wird. Ihr OIDC-Anbieter richtet einen Entschlüsselungsschlüssel ein und stellt ihn bereit.

    8. Klicken Sie auf Weiter.

  5. Führen Sie im Abschnitt Attribute konfigurieren die folgenden Schritte aus:

    1. Geben Sie im Feld Zertifizierungsstelle für OIDC-Anbieter ein base64- und PEM-codiertes Zertifikat für den Identitätsanbieter ein. Weitere Informationen finden Sie unter Privacy-Enhanced Mail auf Wikipedia.
      1. Codieren Sie das Zertifikat samt Headern in base64, um den String zu erstellen.
      2. Fügen Sie den resultierenden String als eine Zeile ein. Beispiel: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tC...k1JSUN2RENDQWFT==
    2. Geben Sie im Feld Gruppenanforderung den Namen der Anforderung im Identitätsanbieter-Token ein, das die Gruppeninformationen des Nutzers enthält.
    3. Geben Sie im Feld User Claim (Nutzeranspruch) den Anspruch ein, um jeden Nutzer zu identifizieren. Der Standard-Claim für viele Anbieter ist sub. Je nach Identitätsanbieter können Sie andere Anforderungen auswählen, beispielsweise email oder name. Anderen Anforderungen als email wird die Aussteller-URL vorangestellt, um Namenskonflikte zu vermeiden.
    4. Optional: Klicken Sie im Bereich Benutzerdefinierte Attribute auf Paar hinzufügen und geben Sie Schlüssel/Wert-Paare für zusätzliche Anforderungen zu einem Nutzer ein, z. B. die Abteilung oder die URL des Profilbilds.
    5. Wenn Ihr Identitätsanbieter zusätzliche Bereiche erfordert, geben Sie im Feld Bereiche die kommagetrennten Bereiche ein, die an den Identitätsanbieter gesendet werden sollen.
    6. Geben Sie im Abschnitt Zusätzliche Parameter alle zusätzlichen Schlüssel/Wert-Paare (kommagetrennt) ein, die von Ihrem Identitätsanbieter benötigt werden. Wenn Sie eine Gruppe autorisieren, übergeben Sie resource=token-groups-claim.
    7. Klicken Sie auf Weiter.

  6. Führen Sie im Abschnitt Erste Administratoren angeben die folgenden Schritte aus:

    1. Wählen Sie aus, ob Sie einzelne Nutzer oder Gruppen als erste Administratoren hinzufügen möchten.
    2. Geben Sie im Feld Nutzername oder Gruppenalias die E‑Mail-Adresse des Nutzers oder der Gruppe ein, um auf die Organisation zuzugreifen. Wenn Sie der Administrator sind, geben Sie Ihre E-Mail-Adresse ein, z. B. kiran@example.com. Das Präfix wird vor dem Nutzernamen hinzugefügt, z. B. myidp-kiran@example.com.
    3. Klicken Sie auf Weiter.

  7. Prüfen Sie Ihre Auswahl und klicken Sie auf Einrichten.

Das neue Identitätsanbieterprofil ist in der Liste der Identitätsprofile verfügbar.

API

Erstellen Sie die globale benutzerdefinierte Ressource IdentityProviderConfig, um Ihren Identitätsanbieter mit Ihrer Organisation zu verbinden.

  1. Erstellen Sie eine YAML-Datei für die benutzerdefinierte Ressource IdentityProviderConfig, z. B. pa-idp-oidc.yaml:

    apiVersion: iam.global.gdc.goog/v1
kind: IdentityProviderConfig
metadata:
  name: pa-idp-oidc
  namespace: platform
spec:
  oidc:
    certificateAuthorityData: "IDP_BASE64_ENCODED_CERTIFICATE"
    clientID: IDP_CLIENT_ID
    clientSecret: IDP_CLIENT_SECRET
    groupPrefix: IDP_GROUP_PREFIX
    groupsClaim: IDP_GROUP_CLAIM
    issuerURI: IDP_ISSUER_URI
    scopes: openid,email,profile
    userClaim: IDP_USER_CLAIM
    userPrefix: IDP_USER_PREFIX

    Ersetzen Sie die folgenden Variablen:

    • IDP_BASE64_ENCODED_CERTIFICATE: das base64-codierte Zertifikat für den IdP.
    • IDP_CLIENT_ID: die Client-ID für den IdP.
    • IDP_CLIENT_SECRET: der Clientschlüssel für den IdP.
    • IDP_GROUP_PREFIX: das Präfix für Gruppen im IdP.
    • IDP_GROUP_CLAIM: der Name der Anforderung im IdP-Token, das Informationen gruppiert.
    • IDP_ISSUER_URI: der Aussteller-URI für den IdP.
    • IDP_USER_CLAIM: der Name der Anforderung im IdP-Token für den Nutzer.
    • IDP_USER_PREFIX: das Präfix für den Nutzer-IdP.

  2. Wenden Sie die benutzerdefinierte Ressource IdentityProviderConfig auf den globalen API-Server an:

    kubectl --kubeconfig GLOBAL_API_SERVER_KUBECONFIG apply -f pa-idp-oidc.yaml

    Ersetzen Sie die Variable GLOBAL_API_SERVER_KUBECONFIG durch den Pfad zur kubeconfig-Datei für den globalen API-Server.

Mit einem vorhandenen SAML-Anbieter verbinden

So stellen Sie eine Verbindung zu einem vorhandenen SAML-Anbieter her:

Console

  1. Melden Sie sich in der GDC-Konsole an. Das folgende Beispiel zeigt die Console nach der Anmeldung bei einer Organisation mit dem Namen org-1: Willkommensseite der Console mit Schnellzugriffslinks zu häufigen Aufgaben
  2. Klicken Sie im Navigationsmenü auf Identität und Zugriff > Identität.
  3. Klicken Sie auf Add Identity Provider (Identitätsanbieter hinzufügen).

  4. Führen Sie im Abschnitt Identitätsanbieter konfigurieren die folgenden Schritte aus:

    1. Wählen Sie im Drop-down-Menü Identitätsanbieter die Option Security Assertion Markup Language (SAML) aus.
    2. Geben Sie einen Namen für den Identitätsanbieter ein.
    3. Geben Sie im Feld Identitäts-ID die ID für die Clientanwendung ein, die Authentifizierungsanfragen an den Identitätsanbieter sendet.
    4. Geben Sie im Feld SSO-URI die URL zum SSO-Endpunkt des Anbieters ein. Beispiel: https://www.idp.com/saml/sso

    5. Geben Sie im Feld Präfix des Identitätsanbieters ein Präfix ein. Das Präfix wird am Anfang von Nutzer- und Gruppenanforderungen hinzugefügt. Präfixe unterscheiden zwischen verschiedenen Identitätsanbieterkonfigurationen. Beispiel: Wenn Sie das Präfix myidp festlegen, wird eine Nutzeranforderung möglicherweise als myidp-username@example.com und eine Gruppenanforderung als myidp-group@example.com angezeigt. Sie müssen das Präfix auch angeben, wenn Sie Gruppen RBAC-Berechtigungen zuweisen.

    6. Konfigurieren Sie Ihren SAML-Anbieter so, dass er Assertions mit einer Lebensdauer von 5 bis 10 Minuten ausgibt, um die Sicherheit zu erhöhen. Diese Einstellung kann in den Einstellungen Ihres SAML-Anbieters konfiguriert werden.

    7. Optional: Wählen Sie im Abschnitt SAML-Assertions die Option Verschlüsselung von SAML-Assertions aktivieren aus.

      Wenn Sie verschlüsselte SAML-Assertions aktivieren möchten, bitten Sie Ihren IAM-Admin der Organisation, Ihnen die Rolle „IdP Federation Admin“ (idp-federation-admin) zuzuweisen.

      1. Geben Sie im Feld Verschlüsselungszertifikat für Assertion Ihr Verschlüsselungszertifikat im PEM-Format ein. Sie erhalten Ihr Verschlüsselungszertifikat von Ihrem SAML-Anbieter.
      2. Geben Sie im Feld Verschlüsselungsschlüssel für Assertion Ihren privaten Schlüssel ein. Sie erhalten Ihren Entschlüsselungsschlüssel, nachdem Sie den SAML-Anbieter generiert haben.

    8. Optional: Wählen Sie im Abschnitt Signierte SAML-Anfragen die Option Signierte SAML-Anfragen aktivieren aus.

      1. Geben Sie im Feld Signaturzertifikat Ihr Signaturzertifikat im PEM-Dateiformat ein. Ihr SAML-Anbieter stellt ein Signaturzertifikat aus.
      2. Geben Sie im Feld Signaturschlüssel Ihren Signaturschlüssel im PEM-Dateiformat ein. Ihr SAML-Anbieter richtet einen Signaturschlüssel ein und erstellt ihn für Sie.

    9. Klicken Sie auf Weiter.

  5. Führen Sie auf der Seite Attribute konfigurieren die folgenden Schritte aus:

    1. Geben Sie im Feld IDP-Zertifikat ein base64- und PEM-codiertes Zertifikat für den Identitätsanbieter ein. Weitere Informationen finden Sie unter Privacy-Enhanced Mail auf Wikipedia.
      1. Codieren Sie das Zertifikat samt Headern in base64, um den String zu erstellen.
      2. Fügen Sie den resultierenden String als eine Zeile ein. Beispiel: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tC...k1JSUN2RENDQWFT==.
    2. Geben Sie alle zusätzlichen Zertifikate in das Feld Zusätzliches IdP-Zertifikat ein.
    3. Geben Sie im Feld Nutzerattribut das Attribut ein, mit dem jeder Nutzer identifiziert werden soll. Das Standardattribut für viele Anbieter ist sub. Je nach Identitätsanbieter können Sie andere Attribute auswählen, z. B. email oder name. Anderen Attributen als email wird die Aussteller-URL vorangestellt, um Namenskonflikte zu vermeiden.
    4. Geben Sie im Feld Gruppenattribut den Namen des Attributs im Identitätsanbieter-Token ein, das die Gruppeninformationen des Nutzers enthält.
    5. Optional: Klicken Sie im Bereich Attributzuordnung auf Paar hinzufügen und geben Sie Schlüssel/Wert-Paare für zusätzliche Attribute eines Nutzers ein, z. B. die Abteilung oder die URL des Profilbilds.
    6. Klicken Sie auf Weiter.

  6. Führen Sie im Abschnitt Erste Administratoren angeben die folgenden Schritte aus:

    1. Wählen Sie aus, ob Sie einzelne Nutzer oder Gruppen als erste Administratoren hinzufügen möchten.
    2. Geben Sie im Feld Nutzername oder Gruppenalias die E‑Mail-Adresse des Nutzers oder der Gruppe ein, um auf die Organisation zuzugreifen. Wenn Sie der Administrator sind, geben Sie Ihre E-Mail-Adresse ein, z. B. kiran@example.com. Das Präfix wird vor dem Nutzernamen hinzugefügt, z. B. myidp-kiran@example.com.
    3. Klicken Sie auf Weiter.

  7. Prüfen Sie auf der Seite Überprüfen alle Werte der einzelnen Identitätskonfigurationen, bevor Sie fortfahren.

    Klicken Sie auf Zurück, um zu den vorherigen Seiten zurückzukehren und die erforderlichen Korrekturen vorzunehmen.

  8. Klicken Sie auf Einrichten.

Das neue Identitätsanbieterprofil ist in der Liste der Identitätsprofile verfügbar.

API

Erstellen Sie die globale benutzerdefinierte Ressource IdentityProviderConfig, um Ihren Identitätsanbieter mit Ihrer Organisation zu verbinden.

  1. Erstellen Sie eine YAML-Datei für die benutzerdefinierte Ressource IdentityProviderConfig, z. B. pa-idp-saml.yaml:

    apiVersion: iam.global.gdc.goog/v1
kind: IdentityProviderConfig
metadata:
  name: pa-idp-saml
  namespace: platform
spec:
  saml:
    groupPrefix: IDP_GROUP_PREFIX
    groupsAttribute: IDP_GROUP_ATTRIBUTE
    idpCertificateDataList:
    - "IDP_BASE64_ENCODED_CERTIFICATE"
    idpEntityID: IDP_SAML_ENTITY_ID
    idpSingleSignOnURI: IDP_SAML_SSO_URI
    userAttribute: IDP_USER_ATTRIBUTE
    userPrefix: IDP_USER_PREFIX

    Ersetzen Sie die folgenden Variablen:

    • IDP_GROUP_PREFIX: das Präfix für Gruppen im IdP.
    • IDP_GROUP_ATTRIBUTE: das Attribut für Gruppen im IdP.
    • IDP_BASE64_ENCODED_CERTIFICATE: das base64-codierte Zertifikat für den IdP.
    • IDP_SAML_ENTITY_ID: die URL oder der URI zur eindeutigen Identifizierung des IdP.
    • IDP_SAML_SSO_URI: der Aussteller-URI für den IdP.
    • IDP_USER_ATTRIBUTE: das Attribut für den IdP-Nutzer, z. B. eine E-Mail-Adresse.
    • IDP_USER_PREFIX: der Name der Anforderung im IdP-Token für den Nutzer.

  2. Wenden Sie die benutzerdefinierte Ressource IdentityProviderConfig auf den globalen API-Server an:

    kubectl --kubeconfig GLOBAL_API_SERVER_KUBECONFIG apply -f pa-idp-saml.yaml

    Ersetzen Sie die Variable GLOBAL_API_SERVER_KUBECONFIG durch den Pfad zur kubeconfig-Datei für den globalen API-Server.

Vorhandenen Identitätsanbieter löschen

So löschen Sie einen vorhandenen Identitätsanbieter über die GDC-Konsole:

  1. Melden Sie sich in der GDC-Konsole an.
  2. Wählen Sie in der Projektauswahl die Organisation aus, in der Sie den Identitätsanbieter löschen möchten.
  3. Klicken Sie im Navigationsmenü auf Identität und Zugriff > Identität.

  4. Klicken Sie das Kästchen neben dem Namen eines oder mehrerer Identitätsanbieter an.

    Es wird eine Meldung mit der Anzahl der ausgewählten Identitätsanbieter und der Schaltfläche Löschen angezeigt.

  5. Klicken Sie auf Löschen.