Conectar a um provedor de identidade

Esta página explica como conectar o Google Distributed Cloud (GDC) com isolamento físico ao provedor de identidade (IdP, na sigla em inglês) da sua organização. Um IdP é um sistema que gerencia e protege identidades de usuários de forma centralizada, fornecendo serviços de autenticação. Ao se conectar a um IdP, os usuários podem acessar o GDC usando as credenciais da organização, sem precisar criar ou gerenciar contas separadas no GDC. Esse processo garante uma experiência de login eficiente e segura. Como um IdP é um recurso global, os usuários podem acessar o GDC pelo mesmo IdP, independentemente da zona em que trabalham.

Esta página é destinada a públicos-alvo do grupo de administradores de plataforma, como administradores de TI ou engenheiros de segurança, que querem se conectar a um IdP. Para mais informações, consulte Públicos-alvo da documentação do GDC com isolamento físico.

É possível se conectar a um provedor de identidade usando uma das seguintes opções:

Antes de começar

Antes de se conectar a um provedor de identidade, verifique se a configuração inicial está concluída, solicite as permissões necessárias e prepare seu ambiente.

Configuração inicial da conexão do provedor de identidade

Um membro do grupo de operadores de infraestrutura da sua organização precisa configurar a conexão inicial do IdP para que os usuários possam acessar clusters ou painéis do GDC.

Para isso, eles precisam abrir um tíquete no o sistema de tíquetes e fornecer as informações necessárias do provedor de identidade. Para mais informações, consulte Conectar o provedor de identidade do cliente à organização.

Solicitar papéis do IAM

Para criar, ler, atualizar e excluir configurações do provedor de identidade, entre em contato com o administrador do IAM da organização para solicitar o papel Administrador da federação de IdP (idp-federation-admin).

Verifique se o administrador inicial especificado ao conectar o provedor de identidade tem o papel Administrador do IAM da organização (organization-iam-admin).

Preparar o ambiente

Conectar-se a um provedor de identidade

Para conectar o provedor de identidade, você precisa ter um ID do cliente e uma chave secreta do seu provedor de identidade. É possível se conectar a um provedor OIDC ou SAML.

Conectar-se a um provedor OIDC

Para se conectar a um provedor OIDC, siga estas etapas:

Console

  1. Faça login no console do GDC. O exemplo a seguir mostra o console após o login em uma organização chamada org-1: Página de boas-vindas do console com links de acesso rápido para tarefas comuns
  2. No menu de navegação, clique em Identidade e acesso > Identidade.
  3. Clique em Adicionar provedor de identidade.

  4. Na seção Configurar provedor de identidade, siga estas etapas:

    1. No menu suspenso Provedor de identidade, selecione Open ID Connect (OIDC).
    2. Insira um nome do provedor de identidade.
    3. No campo URI do emissor, insira o URL para onde as solicitações de autorização são enviadas ao provedor de identidade. O servidor da API Kubernetes usa esse URL para descobrir chaves públicas a fim de verificar tokens. O URL precisa usar HTTPS.
    4. No campo ID do cliente, insira o ID do aplicativo cliente que faz solicitações de autenticação ao provedor de identidade.
    5. No campo Chave secreta do cliente, insira a chave secreta do cliente, que é uma chave secreta compartilhada entre o provedor de identidade e o Distributed Cloud.

    6. Opcional: no campo Prefixo do provedor de identidade, insira um prefixo. O prefixo é adicionado ao início das declarações de usuário e de grupo. Os prefixos são usados para distinguir entre diferentes configurações de provedores de identidade. Por exemplo, se você definir um prefixo de myidp, uma declaração de usuário poderá ser myidp-username@example.com e uma declaração de grupo poderá ser myidp-group@example.com. O prefixo também precisa ser incluído ao atribuir permissões de controle de acesso baseado em papéis (RBAC) a grupos.

    7. Opcional: na seção Criptografia, selecione Ativar tokens de criptografia.

      Para ativar tokens de criptografia, peça ao administrador do IAM da organização para conceder a você o papel de administrador da federação de IdP (idp-federation-admin).

      1. No campo ID da chave, insira o ID da chave. O ID da chave identifica a chave pública de um token de criptografia da Web JSON (JWE). O provedor OIDC configura e provisiona um ID de chave.
      2. No campo Chave de descriptografia, insira a chave de descriptografia no formato PEM. A chave de descriptografia é uma chave assimétrica usada para descriptografar tokens. O provedor OIDC configura e provisiona uma chave de descriptografia.

    8. Clique em Próxima.

  5. Na seção Configurar atributos, siga estas etapas:

    1. No campo Autoridade de certificação para provedor OIDC, insira um certificado codificado em PEM codificado em base64 para o provedor de identidade. Para mais informações, consulte Privacy-Enhanced Mail na Wikipédia.
      1. Para criar a string, codifique o certificado, incluindo cabeçalhos, em base64.
      2. Inclua a string resultante em uma única linha. Exemplo: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tC...k1JSUN2RENDQWFT==
    2. No campo Declaração de grupo, insira o nome da declaração no token do provedor de identidade que contém as informações do grupo do usuário.
    3. No campo Declaração de usuário, insira a declaração para identificar cada usuário. A declaração padrão para muitos provedores é sub. Você pode escolher outras declarações, como email ou name, dependendo do provedor de identidade. Declarações que não sejam email são prefixadas com o URL do emissor para evitar conflitos de nomenclatura.
    4. Opcional: na seção Atributos personalizados, clique em Adicionar par e insira pares de chave-valor para outras declarações sobre um usuário, como o departamento ou o URL da foto do perfil.
    5. Se o provedor de identidade exigir outros escopos, no campo Escopos, insira os escopos separados por vírgulas a serem enviados ao provedor de identidade.
    6. Na seção Parâmetros extras, insira outros pares de chave-valor (separados por vírgulas) exigidos pelo provedor de identidade. Se você estiver autorizando um grupo, transmita resource=token-groups-claim.
    7. Clique em Próxima.

  6. Na seção Especificar administradores iniciais, siga estas etapas:

    1. Escolha se quer adicionar usuários ou grupos como administradores iniciais.
    2. No campo Nome de usuário ou alias do grupo, insira o endereço de e-mail do usuário ou do grupo para acessar a organização. Se você for o administrador, insira seu endereço de e-mail, por exemplo, kiran@example.com. O prefixo é adicionado antes do nome de usuário, como myidp-kiran@example.com.
    3. Clique em Próxima.

  7. Analise suas seleções e clique em Configurar.

O novo perfil do provedor de identidade está disponível na lista de perfis de identidade.

API

Para conectar o provedor de identidade à sua organização, crie o recurso personalizado global IdentityProviderConfig.

  1. Crie um arquivo YAML de recurso personalizado IdentityProviderConfig, como pa-idp-oidc.yaml:

    apiVersion: iam.global.gdc.goog/v1
kind: IdentityProviderConfig
metadata:
  name: pa-idp-oidc
  namespace: platform
spec:
  oidc:
    certificateAuthorityData: "IDP_BASE64_ENCODED_CERTIFICATE"
    clientID: IDP_CLIENT_ID
    clientSecret: IDP_CLIENT_SECRET
    groupPrefix: IDP_GROUP_PREFIX
    groupsClaim: IDP_GROUP_CLAIM
    issuerURI: IDP_ISSUER_URI
    scopes: openid,email,profile
    userClaim: IDP_USER_CLAIM
    userPrefix: IDP_USER_PREFIX

    Substitua as seguintes variáveis:

    • IDP_BASE64_ENCODED_CERTIFICATE: o certificado codificado em base64 para o IdP.
    • IDP_CLIENT_ID: o ID do cliente para o IdP.
    • IDP_CLIENT_SECRET: a chave secreta do cliente para o IdP.
    • IDP_GROUP_PREFIX: o prefixo para grupos no IdP.
    • IDP_GROUP_CLAIM: o nome da declaração no token do IdP que agrupa informações.
    • IDP_ISSUER_URI: o URI do emissor para o IdP.
    • IDP_USER_CLAIM: o nome da declaração no token do IdP para o usuário.
    • IDP_USER_PREFIX: o prefixo para o IdP do usuário.

  2. Aplique o recurso personalizado IdentityProviderConfig ao servidor da API global:

    kubectl --kubeconfig GLOBAL_API_SERVER_KUBECONFIG apply -f pa-idp-oidc.yaml

    Substitua a variável GLOBAL_API_SERVER_KUBECONFIG pelo caminho para o arquivo kubeconfig do servidor da API global.

Conectar-se a um provedor SAML

Para se conectar a um provedor SAML, siga estas etapas:

Console

  1. Faça login no console do GDC. O exemplo a seguir mostra o console após o login em uma organização chamada org-1: Página de boas-vindas do console com links de acesso rápido para tarefas comuns
  2. No menu de navegação, clique em Identidade e acesso > Identidade.
  3. Clique em Adicionar provedor de identidade.

  4. Na seção Configurar provedor de identidade, siga estas etapas:

    1. No menu suspenso Provedor de identidade, selecione Linguagem de marcação para autorização de segurança (SAML).
    2. Insira um nome do provedor de identidade.
    3. No campo ID de identidade, insira o ID do aplicativo cliente que faz solicitações de autenticação ao provedor de identidade.
    4. No campo URI de SSO, insira o URL do endpoint de logon único do provedor. Por exemplo, https://www.idp.com/saml/sso.

    5. No campo Prefixo do provedor de identidade, insira um prefixo. O prefixo é adicionado ao início das declarações de usuário e de grupo. Os prefixos distinguem entre diferentes configurações de provedores de identidade. Por exemplo, se você definir um prefixo de myidp, uma declaração de usuário poderá ser myidp-username@example.com e uma declaração de grupo poderá ser myidp-group@example.com. Você também precisa incluir o prefixo ao atribuir permissões RBAC a grupos.

    6. Para maior segurança, configure o provedor SAML para emitir declarações com um período de validade de 5 a 10 minutos. Essa configuração pode ser definida nas configurações do provedor SAML.

    7. Opcional: na seção Declarações SAML, selecione Ativar declarações SAML de criptografia.

      Para ativar declarações SAML criptografadas, peça ao administrador do IAM da organização para conceder a você o papel de administrador da federação de IdP (idp-federation-admin).

      1. No campo Certificado de declaração de criptografia, insira o certificado de criptografia no formato PEM. Você recebe o certificado de criptografia do provedor SAML.
      2. No campo Chave de declaração de criptografia, insira sua chave privada. Você recebe a chave de descriptografia depois de gerar o provedor SAML.

    8. Opcional: na seção Solicitações assinadas SAML, selecione Ativar solicitações SAML assinadas.

      1. No campo Certificado de assinatura, insira o certificado de assinatura no formato de arquivo PEM. O provedor SAML emite um certificado de assinatura.
      2. No campo Chave de assinatura, insira a chave de assinatura no formato de arquivo PEM. O provedor SAML configura e produz uma chave de assinatura.

    9. Clique em Próxima.

  5. Na página Configurar atributos, siga estas etapas:

    1. No campo Certificado do IDP, insira um certificado codificado em PEM codificado em base64 para o provedor de identidade. Para mais informações, consulte Privacy-Enhanced Mail na Wikipédia.
      1. Para criar a string, codifique o certificado, incluindo cabeçalhos, em base64.
      2. Inclua a string resultante em como uma única linha. Por exemplo: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tC...k1JSUN2RENDQWFT==.
    2. Insira outros certificados no campo Certificado de IDP adicional.
    3. No campo Atributo do usuário, insira o atributo para identificar cada usuário. O atributo padrão para muitos provedores é sub. Você pode escolher outros atributos, como email ou name, dependendo do provedor de identidade. Atributos que não sejam email são prefixados com o URL do emissor para evitar conflitos de nomenclatura.
    4. No campo Atributo de grupo, insira o nome do atributo no token do provedor de identidade que contém as informações do grupo do usuário.
    5. Opcional: na seção Mapeamento de atributos, clique em Adicionar par e insira pares de chave-valor para outros atributos sobre um usuário, como o departamento ou o URL da foto do perfil.
    6. Clique em Próxima.

  6. Na seção Especificar administradores iniciais, siga estas etapas:

    1. Escolha se quer adicionar usuários ou grupos como administradores iniciais.
    2. No campo Nome de usuário ou alias do grupo, insira o endereço de e-mail do usuário ou do grupo para acessar a organização. Se você for o administrador, insira seu endereço de e-mail, por exemplo, kiran@example.com. O prefixo é adicionado antes do nome de usuário, como myidp-kiran@example.com.
    3. Clique em Próxima.

  7. Na página Analisar, verifique todos os valores de cada configuração de identidade antes de continuar.

    Clique em Voltar para retornar às páginas anteriores e fazer as correções necessárias.

  8. Clique em Configurar.

O novo perfil do provedor de identidade está disponível na lista de perfis de identidade.

API

Para conectar o provedor de identidade à sua organização, crie o recurso personalizado global IdentityProviderConfig.

  1. Crie um arquivo YAML de recurso personalizado IdentityProviderConfig, como pa-idp-saml.yaml:

    apiVersion: iam.global.gdc.goog/v1
kind: IdentityProviderConfig
metadata:
  name: pa-idp-saml
  namespace: platform
spec:
  saml:
    groupPrefix: IDP_GROUP_PREFIX
    groupsAttribute: IDP_GROUP_ATTRIBUTE
    idpCertificateDataList:
    - "IDP_BASE64_ENCODED_CERTIFICATE"
    idpEntityID: IDP_SAML_ENTITY_ID
    idpSingleSignOnURI: IDP_SAML_SSO_URI
    userAttribute: IDP_USER_ATTRIBUTE
    userPrefix: IDP_USER_PREFIX

    Substitua as seguintes variáveis:

    • IDP_GROUP_PREFIX: o prefixo para grupos no IdP.
    • IDP_GROUP_ATTRIBUTE: o atributo para grupos no IdP.
    • IDP_BASE64_ENCODED_CERTIFICATE: o certificado codificado em base64 para o IdP.
    • IDP_SAML_ENTITY_ID: o URL ou URI para identificar o IdP de maneira exclusiva.
    • IDP_SAML_SSO_URI: o URI do emissor para o IdP.
    • IDP_USER_ATTRIBUTE: o atributo do usuário do IdP, como um e-mail.
    • IDP_USER_PREFIX: o nome da declaração no token do IdP para o usuário.

  2. Aplique o recurso personalizado IdentityProviderConfig ao servidor da API global:

    kubectl --kubeconfig GLOBAL_API_SERVER_KUBECONFIG apply -f pa-idp-saml.yaml

    Substitua a variável GLOBAL_API_SERVER_KUBECONFIG pelo caminho para o arquivo kubeconfig do servidor da API global.

Excluir um provedor de identidade

Exclua um provedor de identidade usando o console do GDC:

  1. Faça login no console do GDC.
  2. No seletor de projetos, selecione a organização em que você quer excluir o provedor de identidade.
  3. No menu de navegação, clique em Identidade e acesso > Identidade.

  4. Marque a caixa ao lado do nome de um ou mais provedores de identidade.

    Uma mensagem aparece com o número de provedores de identidade selecionados e um Excluir botão.

  5. Clique em Excluir.