Menghubungkan ke penyedia identitas

Halaman ini menjelaskan cara menghubungkan Google Distributed Cloud (GDC) yang terisolasi dari internet ke penyedia identitas (IdP) yang sudah ada di organisasi Anda. IdP adalah sistem yang mengelola dan mengamankan identitas pengguna secara terpusat, serta menyediakan layanan autentikasi. Dengan terhubung ke IdP yang sudah ada, pengguna dapat mengakses GDC menggunakan kredensial organisasi mereka, tanpa perlu membuat atau mengelola akun terpisah dalam GDC. Proses ini memastikan pengalaman login yang lancar dan aman. Karena IdP adalah resource global, pengguna dapat mengakses GDC melalui IdP yang sama, terlepas dari zona tempat mereka bekerja.

Halaman ini ditujukan untuk audiens dalam grup administrator platform, seperti admin IT atau engineer keamanan, yang ingin terhubung ke IdP. Untuk mengetahui informasi selengkapnya, lihat Audiens untuk dokumentasi GDC dengan air gap.

Anda dapat terhubung ke penyedia identitas yang sudah ada menggunakan salah satu opsi berikut:

Sebelum memulai

Sebelum terhubung ke penyedia identitas yang sudah ada, Anda harus memastikan penyiapan awal telah selesai, meminta izin yang diperlukan, dan menyiapkan lingkungan Anda.

Penyiapan koneksi penyedia identitas awal

Anggota grup operator infrastruktur organisasi Anda harus mengonfigurasi koneksi IdP awal sebelum pengguna dapat mengakses cluster atau dasbor GDC.

Mereka dapat melakukannya dengan membuka tiket di sistem tiket dan memberikan informasi penyedia identitas yang diperlukan. Untuk mengetahui informasi selengkapnya, lihat Menghubungkan penyedia identitas pelanggan ke organisasi.

Meminta peran IAM

Untuk membuat, membaca, memperbarui, dan menghapus konfigurasi penyedia identitas, hubungi Admin IAM Organisasi Anda untuk meminta peran Admin Gabungan IdP (idp-federation-admin).

Pastikan admin awal yang Anda tentukan saat menghubungkan penyedia identitas memiliki peran Admin IAM Organisasi (organization-iam-admin).

Menyiapkan lingkungan Anda

Menghubungkan ke penyedia identitas yang sudah ada

Untuk menghubungkan penyedia identitas, Anda harus memiliki satu ID klien dan rahasia dari penyedia identitas Anda. Anda dapat terhubung ke penyedia OIDC atau SAML yang sudah ada.

Menghubungkan ke penyedia OIDC yang sudah ada

Untuk terhubung ke penyedia OIDC yang sudah ada, selesaikan langkah-langkah berikut:

Konsol

  1. Login ke konsol GDC. Contoh berikut menunjukkan konsol setelah login ke organisasi bernama org-1: Halaman selamat datang konsol dengan link akses cepat ke tugas umum
  2. Di menu navigasi, klik Identity and Access > Identity.
  3. Klik Add Identity Provider.

  4. Di bagian Configure identity provider, selesaikan langkah-langkah berikut:

    1. Di menu drop-down Identity provider, pilih Open ID Connect (OIDC).
    2. Masukkan Identity provider name.
    3. Di kolom Issuer URI, masukkan URL tempat permintaan otorisasi dikirim ke penyedia identitas Anda. Server Kubernetes API menggunakan URL ini untuk menemukan kunci publik agar dapat memverifikasi token. URL harus menggunakan HTTPS.
    4. Di kolom Client ID, masukkan ID untuk aplikasi klien yang membuat permintaan autentikasi ke penyedia identitas.
    5. Di kolom Client Secret, masukkan rahasia klien, yang merupakan rahasia bersama antara penyedia identitas Anda dan Distributed Cloud.

    6. Opsional: Di kolom Identity provider prefix, masukkan awalan. Awalan ditambahkan ke awal klaim pengguna dan klaim grup. Awalan digunakan untuk membedakan antara konfigurasi penyedia identitas yang berbeda. Misalnya, jika Anda menetapkan awalan myidp, klaim pengguna mungkin myidp-username@example.com dan klaim grup mungkin adalah myidp-group@example.com. Awalan juga harus disertakan saat menetapkan izin role-based access control (RBAC) ke grup.

    7. Opsional: Di bagian Encryption, pilih Enable encryption tokens.

      Untuk mengaktifkan token enkripsi, minta Admin IAM Organisasi Anda untuk memberi Anda peran Admin Gabungan IdP (idp-federation-admin).

      1. Di kolom Key ID, masukkan ID kunci Anda. ID kunci mengidentifikasi kunci publik token JSON Web Encryption (JWE). Penyedia OIDC Anda menyiapkan dan menyediakan ID kunci.
      2. Di kolom Decryption key, masukkan kunci dekripsi dalam format PEM. Kunci dekripsi adalah kunci asimetris yang digunakan untuk mendekripsi token. Penyedia OIDC Anda menyiapkan dan menyediakan kunci dekripsi.

    8. Klik Next.

  5. Di bagian Configure attributes, selesaikan langkah-langkah berikut:

    1. Di kolom Certificate authority for OIDC provider, masukkan sertifikat berenkode PEM berenkode base64 untuk penyedia identitas. Untuk mengetahui informasi selengkapnya, lihat Privacy-Enhanced Mail di Wikipedia.
      1. Untuk membuat string, enkode sertifikat, termasuk header, ke dalam base64.
      2. Sertakan string yang dihasilkan sebagai satu baris. Contoh: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tC...k1JSUN2RENDQWFT==
    2. Di kolom Group Claim, masukkan nama klaim dalam token penyedia identitas yang menyimpan informasi grup pengguna.
    3. Di kolom User Claim, masukkan klaim untuk mengidentifikasi setiap pengguna. Klaim default untuk banyak penyedia adalah sub. Anda dapat memilih klaim lain, seperti email atau name, bergantung pada penyedia identitas. Klaim selain email diberi awalan dengan URL penerbit untuk mencegah konflik penamaan.
    4. Opsional: Di bagian Custom attributes , klik Add Pair , lalu masukkan pasangan nilai kunci untuk klaim tambahan tentang pengguna, seperti URL departemen atau foto profilnya.
    5. Jika penyedia identitas Anda memerlukan cakupan tambahan, di kolom Scopes, masukkan cakupan yang dipisahkan koma untuk dikirim ke penyedia identitas.
    6. Di bagian Extra parameters, masukkan pasangan nilai kunci tambahan (dipisahkan koma) yang diperlukan oleh penyedia identitas Anda. Jika Anda mengotorisasi grup, teruskan resource=token-groups-claim.
    7. Klik Next.

  6. Di bagian Specify initial admins, selesaikan langkah-langkah berikut:

    1. Pilih apakah akan menambahkan pengguna individual atau grup sebagai administrator awal.
    2. Di kolom Username or group alias, masukkan alamat email pengguna atau grup untuk mengakses organisasi. Jika Anda adalah administrator, masukkan alamat email Anda, misalnya kiran@example.com. Awalan ditambahkan sebelum nama pengguna, seperti myidp-kiran@example.com.
    3. Klik Next.

  7. Tinjau pilihan Anda, lalu klik Setup.

Profil penyedia identitas baru tersedia dalam daftar Profil identitas.

API

Untuk menghubungkan penyedia identitas ke organisasi Anda, buat resource kustom IdentityProviderConfig global.

  1. Buat file YAML resource kustom IdentityProviderConfig, seperti pa-idp-oidc.yaml:

    apiVersion: iam.global.gdc.goog/v1
kind: IdentityProviderConfig
metadata:
  name: pa-idp-oidc
  namespace: platform
spec:
  oidc:
    certificateAuthorityData: "IDP_BASE64_ENCODED_CERTIFICATE"
    clientID: IDP_CLIENT_ID
    clientSecret: IDP_CLIENT_SECRET
    groupPrefix: IDP_GROUP_PREFIX
    groupsClaim: IDP_GROUP_CLAIM
    issuerURI: IDP_ISSUER_URI
    scopes: openid,email,profile
    userClaim: IDP_USER_CLAIM
    userPrefix: IDP_USER_PREFIX

    Ganti variabel berikut:

    • IDP_BASE64_ENCODED_CERTIFICATE: sertifikat berenkode base64 untuk IdP.
    • IDP_CLIENT_ID: ID klien untuk IdP.
    • IDP_CLIENT_SECRET: rahasia klien untuk IdP.
    • IDP_GROUP_PREFIX: awalan untuk grup di IdP.
    • IDP_GROUP_CLAIM: nama klaim dalam token IdP yang mengelompokkan informasi.
    • IDP_ISSUER_URI: URI penerbit untuk IdP.
    • IDP_USER_CLAIM: nama klaim dalam token IdP untuk pengguna.
    • IDP_USER_PREFIX: awalan untuk IdP pengguna.

  2. Terapkan resource kustom IdentityProviderConfig ke server API global:

    kubectl --kubeconfig GLOBAL_API_SERVER_KUBECONFIG apply -f pa-idp-oidc.yaml

    Ganti variabel GLOBAL_API_SERVER_KUBECONFIG dengan jalur ke file kubeconfig untuk server API global.

Menghubungkan ke penyedia SAML yang sudah ada

Untuk terhubung ke penyedia SAML yang sudah ada, selesaikan langkah-langkah berikut:

Konsol

  1. Login ke konsol GDC. Contoh berikut menunjukkan konsol setelah login ke organisasi bernama org-1: Halaman selamat datang konsol dengan link akses cepat ke tugas umum
  2. Di menu navigasi, klik Identity and Access > Identity.
  3. Klik Add Identity Provider.

  4. Di bagian Configure identity provider, selesaikan langkah-langkah berikut:

    1. Di menu drop-down Identity provider, pilih Security Assertion Markup Language (SAML).
    2. Masukkan Identity provider name.
    3. Di kolom Identity ID, masukkan ID untuk aplikasi klien yang membuat permintaan autentikasi ke penyedia identitas.
    4. Di kolom SSO URI, masukkan URL ke endpoint single sign-on penyedia. Contoh: https://www.idp.com/saml/sso.

    5. Di kolom Identity provider prefix, masukkan awalan. Awalan ditambahkan ke awal klaim pengguna dan grup. Awalan membedakan antara konfigurasi penyedia identitas yang berbeda. Contoh: Jika Anda menetapkan awalan myidp, klaim pengguna mungkin ditampilkan sebagai myidp-username@example.com dan klaim grup mungkin ditampilkan sebagai myidp-group@example.com. Anda juga harus menyertakan awalan saat menetapkan izin RBAC ke grup.

    6. Untuk meningkatkan keamanan, konfigurasi penyedia SAML Anda untuk menerbitkan pernyataan dengan masa berlaku 5 hingga 10 menit. Setelan ini dapat dikonfigurasi dalam setelan penyedia SAML Anda.

    7. Opsional: Di bagian SAML Assertions, pilih Enable encryption SAML assertions.

      Untuk mengaktifkan pernyataan SAML terenkripsi, minta Admin IAM Organisasi Anda untuk memberi Anda peran Admin Gabungan IdP (idp-federation-admin).

      1. Di kolom Encryption assertion certificate, masukkan sertifikat enkripsi Anda dalam format PEM. Anda mendapatkan sertifikat enkripsi dari penyedia SAML Anda.
      2. Di kolom Encryption assertion key, masukkan kunci pribadi Anda. Anda akan menerima kunci dekripsi setelah membuat penyedia SAML.

    8. Opsional: Di bagian SAML Signed Requests, pilih Enable signed SAML requests.

      1. Di kolom Signing certificate, masukkan sertifikat penandatanganan Anda dalam format file PEM. Penyedia SAML Anda menerbitkan sertifikat penandatanganan.
      2. Di kolom Signing key, masukkan kunci penandatanganan Anda dalam format file PEM. Penyedia SAML Anda menyiapkan dan membuat kunci penandatanganan untuk Anda.

    9. Klik Next.

  5. Di halaman Configure attributes, selesaikan langkah-langkah berikut:

    1. Di kolom IDP certificate, masukkan sertifikat berenkode PEM berenkode base64 untuk penyedia identitas. Untuk mengetahui informasi selengkapnya, lihat Privacy-Enhanced Mail di Wikipedia.
      1. Untuk membuat string, enkode sertifikat, termasuk header, ke dalam base64.
      2. Sertakan string yang dihasilkan sebagai satu baris. Contoh: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tC...k1JSUN2RENDQWFT==.
    2. Masukkan sertifikat tambahan di kolom Additional IDP certificate.
    3. Di kolom User attribute, masukkan atribut untuk mengidentifikasi setiap pengguna. Atribut default untuk banyak penyedia adalah sub. Anda dapat memilih atribut lain, seperti email atau name, bergantung pada penyedia identitas. Atribut selain email diberi awalan dengan URL penerbit untuk mencegah konflik penamaan.
    4. Di kolom Group attribute, masukkan nama atribut dalam token penyedia identitas yang menyimpan informasi grup pengguna.
    5. Opsional: Di bagian Attribute mapping , klik Add Pair , lalu masukkan pasangan nilai kunci untuk atribut tambahan tentang pengguna, seperti URL departemen atau foto profilnya.
    6. Klik Next.

  6. Di bagian Specify initial admins, selesaikan langkah-langkah berikut:

    1. Pilih apakah akan menambahkan pengguna individual atau grup sebagai administrator awal.
    2. Di kolom Username or group alias, masukkan alamat email pengguna atau grup untuk mengakses organisasi. Jika Anda adalah administrator, masukkan alamat email Anda, misalnya kiran@example.com. Awalan ditambahkan sebelum nama pengguna, seperti myidp-kiran@example.com.
    3. Klik Next.

  7. Di halaman Review, periksa semua nilai setiap konfigurasi identitas sebelum melanjutkan.

    Klik Back untuk kembali ke halaman sebelumnya dan melakukan koreksi yang diperlukan.

  8. Klik Setup.

Profil penyedia identitas baru tersedia dalam daftar Profil identitas.

API

Untuk menghubungkan penyedia identitas ke organisasi Anda, buat resource kustom IdentityProviderConfig global.

  1. Buat file YAML resource kustom IdentityProviderConfig, seperti pa-idp-saml.yaml:

    apiVersion: iam.global.gdc.goog/v1
kind: IdentityProviderConfig
metadata:
  name: pa-idp-saml
  namespace: platform
spec:
  saml:
    groupPrefix: IDP_GROUP_PREFIX
    groupsAttribute: IDP_GROUP_ATTRIBUTE
    idpCertificateDataList:
    - "IDP_BASE64_ENCODED_CERTIFICATE"
    idpEntityID: IDP_SAML_ENTITY_ID
    idpSingleSignOnURI: IDP_SAML_SSO_URI
    userAttribute: IDP_USER_ATTRIBUTE
    userPrefix: IDP_USER_PREFIX

    Ganti variabel berikut:

    • IDP_GROUP_PREFIX: awalan untuk grup di IdP.
    • IDP_GROUP_ATTRIBUTE: atribut untuk grup di IdP.
    • IDP_BASE64_ENCODED_CERTIFICATE: sertifikat berenkode base64 untuk IdP.
    • IDP_SAML_ENTITY_ID: URL atau URI untuk mengidentifikasi IdP secara unik.
    • IDP_SAML_SSO_URI: URI penerbit untuk IdP.
    • IDP_USER_ATTRIBUTE: atribut untuk pengguna IdP, seperti email.
    • IDP_USER_PREFIX: nama klaim dalam token IdP untuk pengguna.

  2. Terapkan resource kustom IdentityProviderConfig ke server API global:

    kubectl --kubeconfig GLOBAL_API_SERVER_KUBECONFIG apply -f pa-idp-saml.yaml

    Ganti variabel GLOBAL_API_SERVER_KUBECONFIG dengan jalur ke file kubeconfig untuk server API global.

Menghapus penyedia identitas yang sudah ada

Hapus penyedia identitas yang sudah ada menggunakan konsol GDC:

  1. Login ke konsol GDC.
  2. Di pemilih project, pilih organisasi tempat Anda ingin menghapus penyedia identitas.
  3. Di menu navigasi, klik Identity and Access > Identity.

  4. Centang kotak di samping nama satu atau beberapa penyedia identitas.

    Pesan akan muncul dengan jumlah penyedia identitas yang Anda pilih dan tombol Delete.

  5. Klik Delete.