Connettersi a un provider di identità

Questa pagina spiega come connettere Google Distributed Cloud (GDC) air-gapped al provider di identità (IdP) esistente della tua organizzazione. Un IdP è un sistema che gestisce e protegge centralmente le identità degli utenti, fornendo servizi di autenticazione. La connessione a un IdP esistente consente agli utenti di accedere a GDC utilizzando le credenziali della propria organizzazione, senza dover creare o gestire account separati all'interno di GDC. Questa procedura garantisce un'esperienza di accesso semplice e sicura. Poiché un IdP è una risorsa globale, gli utenti possono accedere a GDC tramite lo stesso IdP indipendentemente dalla zona in cui lavorano.

Questa pagina è rivolta ai membri del gruppo di amministratori della piattaforma, come amministratori IT o ingegneri della sicurezza, che vogliono connettersi a un IdP. Per saperne di più, consulta Pubblico della documentazione di GDC con air gap.

Puoi connetterti a un provider di identità esistente utilizzando uno dei seguenti:

Prima di iniziare

Prima di connetterti a un provider di identità esistente, devi assicurarti che la configurazione iniziale sia completa, richiedere le autorizzazioni necessarie e preparare l'ambiente.

Configurazione iniziale della connessione al provider di identità

Un membro del gruppo di operatori dell'infrastruttura della tua organizzazione deve configurare la connessione IdP iniziale prima che gli utenti possano accedere ai cluster o alle dashboard di GDC.

Per farlo, può aprire un ticket nel sistema di ticketing e fornire le informazioni richieste sul provider di identità. Per saperne di più, consulta Connettere il provider di identità del cliente all'organizzazione.

Richiedere i ruoli IAM

Per creare, leggere, aggiornare ed eliminare le configurazioni del provider di identità, contatta l'amministratore IAM dell'organizzazione per richiedere il ruolo Amministratore della federazione IdP (idp-federation-admin).

Assicurati che l'amministratore iniziale specificato durante la connessione del provider di identità abbia il ruolo Amministratore IAM dell'organizzazione (organization-iam-admin).

Prepara l'ambiente

Connettersi a un provider di identità esistente

Per connettere il provider di identità, devi disporre di un singolo ID client e di un client secret del provider di identità. Puoi connetterti a un provider OIDC o SAML esistente.

Connettersi a un provider OIDC esistente

Per connetterti a un provider OIDC esistente, completa i seguenti passaggi:

Console

  1. Accedi alla console GDC. L'esempio seguente mostra la console dopo l'accesso a un'organizzazione denominata org-1: Pagina di benvenuto della console con link di accesso rapido alle attività comuni
  2. Nel menu di navigazione, fai clic su Identità e accesso > Identità.
  3. Fai clic su Aggiungi provider di identità.

  4. Nella sezione Configura provider di identità, completa i seguenti passaggi:

    1. Nel menu a discesa Provider di identità, seleziona OpenID Connect (OIDC).
    2. Inserisci un nome del provider di identità.
    3. Nel campo URI emittente, inserisci l'URL a cui vengono inviate le richieste di autorizzazione al tuo provider di identità. Il server API Kubernetes utilizza questo URL per scoprire le chiavi pubbliche per la verifica dei token. L'URL deve utilizzare HTTPS.
    4. Nel campo ID client, inserisci l'ID per l'applicazione client che effettua richieste di autenticazione al provider di identità.
    5. Nel campo Client secret, inserisci il client secret, che è un secret condiviso tra il tuo provider di identità e Distributed Cloud.

    6. (Facoltativo) Nel campo Prefisso del provider di identità, inserisci un prefisso. Il prefisso viene aggiunto all'inizio delle attestazioni utente e delle attestazioni di gruppo. I prefissi vengono utilizzati per distinguere tra diverse configurazioni del provider di identità. Ad esempio, se imposti un prefisso myidp, un'attestazione utente potrebbe essere myidp-username@example.com e un'attestazione di gruppo potrebbe essere myidp-group@example.com. Il prefisso deve essere incluso anche quando si assegnano le autorizzazioni di controllo dell'accesso basato sui ruoli (RBAC) ai gruppi.

    7. (Facoltativo) Nella sezione Crittografia, seleziona Attiva token di crittografia.

      Per attivare i token di crittografia, chiedi all'amministratore IAM dell'organizzazione di concederti il ruolo Amministratore della federazione IdP (idp-federation-admin).

      1. Nel campo ID chiave, inserisci l'ID della chiave. L'ID chiave identifica la chiave pubblica di un token JSON Web Encryption (JWE). Il provider OIDC configura e fornisce un ID chiave.
      2. Nel campo Chiave di decrittografia, inserisci la chiave di decrittografia in formato PEM. La chiave di decrittografia è una chiave asimmetrica utilizzata per decriptare i token. Il provider OIDC configura e fornisce una chiave di decrittografia.

    8. Fai clic su Avanti.

  5. Nella sezione Configura attributi, completa i seguenti passaggi:

    1. Nel campo Autorità di certificazione per il provider OIDC, inserisci un certificato con codifica PEM base64 per il provider di identità. Per saperne di più, consulta Privacy-Enhanced Mail su Wikipedia.
      1. Per creare la stringa, codifica il certificato (incluse le intestazioni) in formato base64.
      2. Includi la stringa risultante come riga singola. Esempio: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tC...k1JSUN2RENDQWFT==
    2. Nel campo Attestazione gruppo, inserisci il nome dell'attestazione nel token del provider di identità che contiene le informazioni del gruppo dell'utente.
    3. Nel campo Attestazione utente, inserisci l'attestazione per identificare ogni utente. L'attestazione predefinita per molti provider è sub. Puoi scegliere altre attestazioni, ad esempio email o name, a seconda del provider di identità. Alle attestazioni diverse da email viene aggiunto come prefisso l'URL dell'emittente per evitare conflitti di denominazione.
    4. (Facoltativo) Nella sezione Attributi personalizzati, fai clic su Aggiungi coppia e inserisci coppie chiave-valore per attestazioni aggiuntive su un utente, ad esempio il suo reparto o l'URL dell'immagine del profilo.
    5. Se il tuo provider di identità richiede ambiti aggiuntivi, nel campo Ambiti, inserisci gli ambiti separati da virgole da inviare al provider di identità.
    6. Nella sezione Parametri aggiuntivi, inserisci eventuali coppie chiave-valore aggiuntive (separate da virgole) richieste dal tuo provider di identità. Se stai autorizzando un gruppo, passa resource=token-groups-claim.
    7. Fai clic su Avanti.

  6. Nella sezione Specifica amministratori iniziali, completa i seguenti passaggi:

    1. Scegli se aggiungere singoli utenti o gruppi come amministratori iniziali.
    2. Nel campo Nome utente o alias del gruppo, inserisci l'indirizzo email dell'utente o del gruppo per accedere all'organizzazione. Se sei l'amministratore, inserisci il tuo indirizzo email, ad esempio kiran@example.com. Il prefisso viene aggiunto prima del nome utente, ad esempio myidp-kiran@example.com.
    3. Fai clic su Avanti.

  7. Esamina le selezioni e fai clic su Configura.

Il nuovo profilo del provider di identità è disponibile nell'elenco Profili di identità.

API

Per connettere il provider di identità alla tua organizzazione, crea la risorsa personalizzata IdentityProviderConfig globale.

  1. Crea un file YAML della risorsa personalizzata IdentityProviderConfig, ad esempio pa-idp-oidc.yaml:

    apiVersion: iam.global.gdc.goog/v1
kind: IdentityProviderConfig
metadata:
  name: pa-idp-oidc
  namespace: platform
spec:
  oidc:
    certificateAuthorityData: "IDP_BASE64_ENCODED_CERTIFICATE"
    clientID: IDP_CLIENT_ID
    clientSecret: IDP_CLIENT_SECRET
    groupPrefix: IDP_GROUP_PREFIX
    groupsClaim: IDP_GROUP_CLAIM
    issuerURI: IDP_ISSUER_URI
    scopes: openid,email,profile
    userClaim: IDP_USER_CLAIM
    userPrefix: IDP_USER_PREFIX

    Sostituisci le seguenti variabili:

    • IDP_BASE64_ENCODED_CERTIFICATE: il certificato con codifica base64 per l'IdP.
    • IDP_CLIENT_ID: l'ID client per l'IdP.
    • IDP_CLIENT_SECRET: il client secret per l'IdP.
    • IDP_GROUP_PREFIX: il prefisso per i gruppi nell'IdP.
    • IDP_GROUP_CLAIM: il nome dell'attestazione nel token IdP che contiene le informazioni dei gruppi.
    • IDP_ISSUER_URI: l'URI emittente per l'IdP.
    • IDP_USER_CLAIM: il nome dell'attestazione nel token IdP per l'utente.
    • IDP_USER_PREFIX: il prefisso per l'IdP utente.

  2. Applica la risorsa personalizzata IdentityProviderConfig al server API globale:

    kubectl --kubeconfig GLOBAL_API_SERVER_KUBECONFIG apply -f pa-idp-oidc.yaml

    Sostituisci la variabile GLOBAL_API_SERVER_KUBECONFIG con il percorso del file kubeconfig per il server API globale.

Connettersi a un provider SAML esistente

Per connetterti a un provider SAML esistente, completa i seguenti passaggi:

Console

  1. Accedi alla console GDC. L'esempio seguente mostra la console dopo l'accesso a un'organizzazione denominata org-1: Pagina di benvenuto della console con link di accesso rapido alle attività comuni
  2. Nel menu di navigazione, fai clic su Identità e accesso > Identità.
  3. Fai clic su Aggiungi provider di identità.

  4. Nella sezione Configura provider di identità, completa i seguenti passaggi:

    1. Nel menu a discesa Provider di identità, seleziona Security Assertion Markup Language (SAML).
    2. Inserisci un nome del provider di identità.
    3. Nel campo ID identità, inserisci l'ID per l'applicazione client che effettua richieste di autenticazione al provider di identità.
    4. Nel campo URI SSO, inserisci l'URL dell'endpoint Single Sign-On del provider. Ad esempio: https://www.idp.com/saml/sso.

    5. Nel campo Prefisso del provider di identità, inserisci un prefisso. Il prefisso viene aggiunto all'inizio delle attestazioni utente e di gruppo. I prefissi distinguono tra diverse configurazioni del provider di identità. Ad esempio, se imposti un prefisso myidp, un'attestazione utente potrebbe essere myidp-username@example.com e un'attestazione di gruppo potrebbe essere myidp-group@example.com. Devi includere il prefisso anche quando assegni le autorizzazioni RBAC ai gruppi.

    6. Per una maggiore sicurezza, configura il provider SAML in modo che emetta asserzioni con una durata compresa tra 5 e 10 minuti. Questa impostazione è configurabile nelle impostazioni del provider SAML.

    7. (Facoltativo) Nella sezione Asserzioni SAML, seleziona Attiva asserzioni SAML di crittografia.

      Per attivare le asserzioni SAML criptate, chiedi all'amministratore IAM dell'organizzazione di concederti il ruolo Amministratore della federazione IdP (idp-federation-admin).

      1. Nel campo Certificato di asserzione di crittografia, inserisci il certificato di crittografia in formato PEM. Ottieni il certificato di crittografia dal provider SAML.
      2. Nel campo Chiave di asserzione di crittografia, inserisci la chiave privata. Riceverai la chiave di decrittografia dopo aver generato il provider SAML.

    8. (Facoltativo) Nella sezione Richieste firmate SAML, seleziona Attiva richieste SAML firmate.

      1. Nel campo Certificato di firma, inserisci il certificato di firma in formato file PEM. Il provider SAML emette un certificato di firma.
      2. Nel campo Chiave di firma, inserisci la chiave di firma in formato file PEM. Il provider SAML configura e genera una chiave di firma.

    9. Fai clic su Avanti.

  5. Nella pagina Configura attributi, completa i seguenti passaggi:

    1. Nel campo Certificato IdP, inserisci un certificato con codifica PEM base64 per il provider di identità. Per saperne di più, consulta Privacy-Enhanced Mail su Wikipedia.
      1. Per creare la stringa, codifica il certificato (incluse le intestazioni) in formato base64.
      2. Includi la stringa risultante come riga singola. Ad esempio: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tC...k1JSUN2RENDQWFT==.
    2. Inserisci eventuali certificati aggiuntivi nel campo Certificato IdP aggiuntivo.
    3. Nel campo Attributo utente, inserisci l'attributo per identificare ogni utente. L'attributo predefinito per molti provider è sub. Puoi scegliere altri attributi, ad esempio email o name, a seconda del provider di identità. Agli attributi diversi da email viene aggiunto come prefisso l'URL dell'emittente per evitare conflitti di denominazione.
    4. Nel campo Attributo di gruppo, inserisci il nome dell'attributo nel token del provider di identità che contiene le informazioni del gruppo dell'utente.
    5. (Facoltativo) Nella sezione Mappatura attributi, fai clic su Aggiungi coppia e inserisci coppie chiave-valore per attributi aggiuntivi su un utente, ad esempio il suo reparto o l'URL dell'immagine del profilo.
    6. Fai clic su Avanti.

  6. Nella sezione Specifica amministratori iniziali, completa i seguenti passaggi:

    1. Scegli se aggiungere singoli utenti o gruppi come amministratori iniziali.
    2. Nel campo Nome utente o alias del gruppo, inserisci l'indirizzo email dell'utente o del gruppo per accedere all'organizzazione. Se sei l'amministratore, inserisci il tuo indirizzo email, ad esempio kiran@example.com. Il prefisso viene aggiunto prima del nome utente, ad esempio myidp-kiran@example.com.
    3. Fai clic su Avanti.

  7. Nella pagina Esamina, controlla tutti i valori di ogni configurazione di identità prima di continuare.

    Fai clic su Indietro per tornare alle pagine precedenti e apportare le correzioni necessarie.

  8. Fai clic su Configura.

Il nuovo profilo del provider di identità è disponibile nell'elenco Profili di identità.

API

Per connettere il provider di identità alla tua organizzazione, crea la risorsa personalizzata IdentityProviderConfig globale.

  1. Crea un file YAML della risorsa personalizzata IdentityProviderConfig, ad esempio pa-idp-saml.yaml:

    apiVersion: iam.global.gdc.goog/v1
kind: IdentityProviderConfig
metadata:
  name: pa-idp-saml
  namespace: platform
spec:
  saml:
    groupPrefix: IDP_GROUP_PREFIX
    groupsAttribute: IDP_GROUP_ATTRIBUTE
    idpCertificateDataList:
    - "IDP_BASE64_ENCODED_CERTIFICATE"
    idpEntityID: IDP_SAML_ENTITY_ID
    idpSingleSignOnURI: IDP_SAML_SSO_URI
    userAttribute: IDP_USER_ATTRIBUTE
    userPrefix: IDP_USER_PREFIX

    Sostituisci le seguenti variabili:

    • IDP_GROUP_PREFIX: il prefisso per i gruppi nell'IdP.
    • IDP_GROUP_ATTRIBUTE: l'attributo per i gruppi nell'IdP.
    • IDP_BASE64_ENCODED_CERTIFICATE: il certificato con codifica base64 per l'IdP.
    • IDP_SAML_ENTITY_ID: l'URL o l'URI per identificare in modo univoco l'IdP.
    • IDP_SAML_SSO_URI: l'URI emittente per l'IdP.
    • IDP_USER_ATTRIBUTE: l'attributo per l'utente IdP, ad esempio un'email.
    • IDP_USER_PREFIX: il nome dell'attestazione nel token IdP per l'utente.

  2. Applica la risorsa personalizzata IdentityProviderConfig al server API globale:

    kubectl --kubeconfig GLOBAL_API_SERVER_KUBECONFIG apply -f pa-idp-saml.yaml

    Sostituisci la variabile GLOBAL_API_SERVER_KUBECONFIG con il percorso del file kubeconfig per il server API globale.

Eliminare un provider di identità esistente

Elimina un provider di identità esistente utilizzando la console GDC:

  1. Accedi alla console GDC.
  2. Nel selettore di progetti, seleziona l'organizzazione in cui vuoi eliminare il provider di identità.
  3. Nel menu di navigazione, fai clic su Identità e accesso > Identità.

  4. Seleziona la casella accanto al nome di uno o più provider di identità.

    Viene visualizzato un messaggio con il numero di provider di identità selezionati e un pulsante Elimina.

  5. Fai clic su Elimina.