הגדרת SCIM ב-Okta

חשוב: הקצאת הרשאות SCIM רלוונטית רק ל-Gemini Enterprise ול-Looker (גרסת Preview).

במאמר הזה מוסבר איך להגדיר דייר SCIM במאגר זהויות של כוח עבודה. מידע נוסף על SCIM זמין במאמר הקצאת הרשאות SCIM לאיחוד שירותי אימות הזהות של כוח עבודה.

כל מאגר זהויות של כוח עבודה תומך רק בדייר SCIM אחד. כדי להגדיר דייר SCIM חדש במאגר שכבר יש בו דייר, צריך קודם למחוק את הדייר הקיים באופן סופי.

הדגל --claim-mapping לדייר SCIM יכול להכיל רק ביטויים ספציפיים של Common Expression Language ‏ (CEL). כדי לראות אילו ביטויים נתמכים, אפשר לעיין במאמר בנושא מיפוי הצהרות.

מוודאים שספק ה-IdP מספק ערכים ייחודיים ולא ריקים למאפיינים שממופים ל-google.subject ול-google.group. סנכרון של ערכים כפולים נכשל עם שגיאת HTTP 409 Conflict, וסנכרון של ערכים ריקים או ערכי null נכשל עם שגיאת HTTP 400 Bad Request. מידע נוסף זמין במאמר בנושא תמיכה ב-SCIM.

כדי להגדיר מערכת לניהול זהויות בכמה דומיינים (SCIM), מבצעים את הפעולות הבאות:

1. הגדרת דייר וטוקן SCIM ב- Google Cloud
2. הגדרת SCIM ב-Okta
3. עדכון הספק כדי להפעיל SCIM
4. אימות הסנכרון של SCIM

הגדרת דייר וטוקן SCIM ב- Google Cloud

כדי להגדיר דייר SCIM ב- Google Cloud:

1. יוצרים דייר SCIM.

       gcloud iam workforce-pools providers scim-tenants create SCIM_TENANT_ID \
           --workforce-pool="WORKFORCE_POOL_ID" \
           --provider="PROVIDER_ID" \
           --display-name="SCIM_TENANT_DISPLAY_NAME" \
           --description="SCIM_TENANT_DESCRIPTION" \
           --claim-mapping="CLAIM_MAPPING" \
           --location="global"
       

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫SCIM_TENANT_ID: מזהה של דייר SCIM.
   • ‫WORKFORCE_POOL_ID: המזהה של מאגר כוח העבודה שיצרתם קודם במסמך הזה.
   • ‫PROVIDER_ID: המזהה של ספק הזהויות של כוח העבודה שיצרתם קודם במסמך הזה.
   • ‫SCIM_TENANT_DISPLAY_NAME: השם המוצג של דייר SCIM.
   • ‫SCIM_TENANT_DESCRIPTION: תיאור של דייר SCIM.
   • ‫CLAIM_MAPPING: רשימה מופרדת בפסיקים של מיפויי מאפיינים. רשימה מורחבת של מאפייני מיפוי זמינה במאמר בנושא מיפוי טענות. מומלץ להשתמש במיפוי הבא ב-Gemini Enterprise:

     google.subject=user.emails[0].value.lowerAscii(),google.group=group.displayName

     המאפיין google.subject שאתם ממפים בדייר SCIM חייב להתייחס באופן ייחודי לאותן זהויות שממופות במאפיין google.subject בספק של מאגר הזהויות של כוח העבודה, באמצעות הדגל --attribute-mapping. אחרי שיוצרים את דייר SCIM, אי אפשר לעדכן את מיפוי הטענות. כדי להחליף אותו, אפשר למחוק את דייר SCIM באופן סופי וליצור חדש באופן מיידי. מידע נוסף על שיקולים לשימוש ב-SCIM זמין במאמר בנושא תמיכה ב-SCIM.

2. בסיום הפקודה, מבצעים את הפעולות הבאות:

   1. בשדה baseUri בפלט, שומרים את ה-URI כולו, שמופיע בפורמט https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID. צריך לספק את ה-URI הזה ל-IdP.
   2. בנוסף, מה-URI, שומרים רק את SCIM_TENANT_UID. תצטרכו את ה-UID הזה כדי להגדיר מדיניות הרשאה ב-IAM בדייר SCIM בהמשך המאמר הזה.

3. יצירת טוקן SCIM:

       gcloud iam workforce-pools providers scim-tenants tokens create SCIM_TOKEN_ID \
           --display-name DISPLAY_NAME \
           --scim-tenant SCIM_TENANT_ID \
           --workforce-pool WORKFORCE_POOL_ID \
           --provider PROVIDER_ID \
           --location global
       

   מחליפים את מה שכתוב בשדות הבאים:

   • SCIM_TOKEN_ID: מזהה לאסימון SCIM
   • ‫DISPLAY_NAME: השם המוצג של אסימון SCIM
   • ‫WORKFORCE_POOL_ID: המזהה של מאגר כוח העבודה
   • ‫SCIM_TENANT_ID: מזהה דייר SCIM
   • ‫PROVIDER_ID: המזהה של ספק מאגר הזהויות של כוח העבודה

4. אחרי שהפקודה gcloud iam workforce-pools providers scim-tenants tokens create מסתיימת, מבצעים את הפעולות הבאות:

   1. בפלט, שומרים את הערך של SCIM_TOKEN בשדה securityToken. צריך לספק את אסימון האבטחה הזה ל-IdP. טוקן האבטחה מוצג רק בפלט הזה, ואם הוא אבד, צריך ליצור טוקן SCIM חדש.

   2. כדי לבדוק אם SCIM_TOKEN נדחה על ידי מדיניות הארגון, מריצים את הפקודה הבאה:

      curl -v -H "Authorization: Bearer SCIM_TOKEN"  https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID/Users

      אם הפקודה נכשלת עם שגיאה שקשורה להרשאות, מריצים את הפקודה gcloud organizations add-iam-policy-binding, שמתוארת בשלב מאוחר יותר. אם הפקודה מצליחה, אפשר לדלג על השלב הזה.

5. מגדירים מדיניות הרשאה ב-IAM לדייר ולטוקן של SCIM. אם הפקודה curl בשלב הקודם נכשלה בגלל שגיאה שקשורה להרשאות, צריך להריץ את הפקודה הבאה:

       gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
           --member=serviceAccount:SERVICE_AGENT_EMAIL \
           --role roles/iam.scimSyncer
       

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫ORGANIZATION_ID: מזהה הארגון.
   • ‫SERVICE_AGENT_EMAIL: כתובת האימייל של סוכן השירות. כתובת האימייל היא בפורמט הבא: [e-mail]. הערך SCIM_TENANT_UID מוחזר כשיוצרים את דייר SCIM.

כשמקצים קבוצות בספק הזהויות, צריך לוודא שהשם המוצג של כל קבוצה, כפי שמופיע בשדה displayName, הוא ייחודי בדייר SCIM. מידע נוסף על קבוצות ועל SCIM ב-Microsoft Entra ID זמין במאמר קבוצות.

הגדרת SCIM ב-Okta

כדי להגדיר את SCIM ב-Okta, באפליקציית Okta הקיימת, מבצעים את הפעולות הבאות:

1. נכנסים למסוף Admin של Okta.
2. עוברים אל Applications > Applications.

3. בוחרים או יוצרים את האפליקציה:

   • כדי לבחור אפליקציה קיימת:

     1. לוחצים על שם האפליקציה שיצרתם באמצעות התבנית של איחוד שירותי אימות הזהות של כוח עבודה ב-Google Cloud.

     2. בכרטיסייה General (כללי), מבצעים את הפעולות הבאות:

        1. בחלונית הגדרות האפליקציה, לוחצים על עריכה.
        2. בשדה Tenant (דייר), מזינים את מזהה הדייר שהתקבל מ-gcloud CLI.
        3. לוחצים על סיום.

   • כדי ליצור אפליקציה חדשה:

     1. לוחצים על עיון בקטלוג האפליקציות.
     2. בשדה חיפוש, מזינים איחוד שירותי אימות הזהות של כוח העבודה ב-Google Cloud, ואז בוחרים את השילוב איחוד שירותי אימות הזהות של כוח העבודה ב-Google Cloud מתוצאות החיפוש.

     3. לוחצים על Add Integration (הוספת שילוב).

        1. בשדה Application, מזינים שם לאפליקציה.
        2. בשדה Tenant (דייר), מזינים את מזהה הדייר שהתקבל מ-gcloud CLI.
        3. לוחצים על סיום.

4. בכרטיסייה Provisioning (הקצאת הרשאות), מבצעים את הפעולות הבאות:

   1. בחלונית שילוב, לוחצים על עריכה.

      1. בשדה API Token (טוקן API), מזינים את טוקן ה-SCIM שהתקבל מ- Google Cloud.
      2. כדי לאשר את התוקף של אסימון ה-API, לוחצים על Test Credentials (בדיקת פרטי הכניסה).
      3. בוחרים באפשרות ייבוא קבוצות.
      4. לוחצים על Save.

   2. בחלונית To App (אל האפליקציה), לוחצים על Edit (עריכה).

      1. בוחרים באפשרויות יצירת משתמשים, עדכון מאפייני משתמש והשבתת משתמשים.
      2. לוחצים על Save.

עדכון הספק כדי להפעיל SCIM

כדי להפעיל SCIM אצל ספק, מגדירים את הדגל --scim-usage בהתאם ליעד המוצר:

• מופעל לקבוצות (enabled-for-groups): משמש ל-Gemini Enterprise. משתמש בקבוצות שמסונכרנות עם SCIM להרשאות IAM ולהערכת מדיניות. מאפייני המשתמשים ממשיכים להגיע מאסימוני התחברות של IdP.
• מופעל למשתמשים ולקבוצות (enabled-for-users-groups): משמש ל-Looker (גרסת Preview). משתמש בנתוני משתמשים וקבוצות שסונכרנו באמצעות SCIM כמקור הראשי של טענות להרשאה ב-IAM ולתהליכי עבודה של כניסה באמצעות OAuth.

הפעלת SCIM לקבוצות (Gemini Enterprise)

OIDC

      gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
          --workforce-pool=WORKFORCE_POOL_ID \
          --location=LOCATION \
          --scim-usage=enabled-for-groups
    

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROVIDER_ID: המזהה של ספק מאגר הזהויות של כוח העבודה
• ‫WORKFORCE_POOL_ID: המזהה של מאגר כוח העבודה
• ‫LOCATION: המיקום של מאגר כוח העבודה

SAML

      gcloud iam workforce-pools providers update-saml PROVIDER_ID \
          --workforce-pool=WORKFORCE_POOL_ID \
          --location=LOCATION \
          --scim-usage=enabled-for-groups
    

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROVIDER_ID: המזהה של ספק מאגר הזהויות של כוח העבודה
• ‫WORKFORCE_POOL_ID: המזהה של מאגר כוח העבודה
• ‫LOCATION: המיקום של מאגר כוח העבודה

הפעלת SCIM למשתמשים ולקבוצות (Looker) (גרסת טרום-השקה (Preview))

OIDC

      gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
          --workforce-pool=WORKFORCE_POOL_ID \
          --location=LOCATION \
          --scim-usage=enabled-for-users-groups
    

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROVIDER_ID: המזהה של ספק מאגר הזהויות של כוח העבודה
• ‫WORKFORCE_POOL_ID: המזהה של מאגר כוח העבודה
• ‫LOCATION: המיקום של מאגר כוח העבודה

SAML

      gcloud iam workforce-pools providers update-saml PROVIDER_ID \
          --workforce-pool=WORKFORCE_POOL_ID \
          --location=LOCATION \
          --scim-usage=enabled-for-users-groups
    

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROVIDER_ID: המזהה של ספק מאגר הזהויות של כוח העבודה
• ‫WORKFORCE_POOL_ID: המזהה של מאגר כוח העבודה
• ‫LOCATION: המיקום של מאגר כוח העבודה

כדי לוודא שהסנכרון של SCIM פועל, אפשר לקרוא את המאמר אימות סנכרון SCIM.

מיפוי תביעות

כשמגדירים SCIM, מגדירים מיפויי הצהרות (--claim-mapping) בדייר SCIM כדי למפות מאפייני משתמש וקבוצה של SCIM למאפיינים של Google.

מאפיינים נתמכים Google Cloud למיפוי הצהרות בעלות

בטבלה הבאה מפורטים Google Cloud המאפיינים שאפשר למפות בדייר SCIM ‏ (--claim-mapping) באמצעות Common Expression Language ‏ (CEL):

מאפייןGoogle Cloud	דרישה	תיאור	ביטויים נתמכים ומגבלות
google.subject	חובה	מזהה ייחודי של המשתמש המאומת. מאפיין ה-IdP הבסיסי שמשמש לאכלוס google.subject חייב להיות זהה במיפוי הספק (--attribute-mapping) ובדייר SCIM (--claim-mapping). אם המיפויים האלה לא עקביים, יכול להיות שהמשתמשים יוכלו להיכנס אבל לא יזוהו כחברים בקבוצות שהוקצו באמצעות SCIM.	מוגבל לביטויי הבסיס הבאים (או עם .lowerAscii()): user.externalId user.userName user.emails[0].value אורך מקסימלי: 127 בייטים. הערה: אי אפשר לשנות את המיפוי הזה אחרי שיוצרים את דייר SCIM. כדי לעדכן אותו, צריך למחוק את דייר SCIM ולשחזר אותו.
google.group	חובה לקבוצות SCIM	מזהה ייחודי של חברות בקבוצה שמסונכרנת באמצעות SCIM.	מוגבל לביטויי הבסיס הבאים (או עם .lowerAscii()): group.externalId group.displayName הערה: אי אפשר לשנות את המיפוי הזה אחרי שיוצרים את דייר SCIM. כדי לעדכן אותו, צריך למחוק את דייר SCIM ולשחזר אותו.
google.display_name	אופציונלי	מאפיין שמגדיר את השם של המשתמש שנכנס לחשבון במסוף Google Cloud . אי אפשר להשתמש במאפיין הזה בכללי מדיניות ההרשאות ב-IAM.	ממפה למאפיין מחרוזת (כמו user.displayName או user.name.formatted). האורך המקסימלי: 100 בייטים.
google.profile_photo	אופציונלי	כתובת URL של התמונה הממוזערת של המשתמש שמוצגת כתמונת הפרופיל שלו ב Google Cloud מסוף. אי אפשר להשתמש במאפיין הזה בכללי מדיניות ההרשאות ב-IAM.	הערך שמתקבל מהפונקציה חייב להיות מחרוזת של כתובת URL תקינה (למשל user.photos.filter(p, p.type == 'thumbnail')[0].value או user.photos[0].value).
google.email	אופציונלי	מאפיין שמשמש למיפוי כתובות אימייל מ-IdP למוצרים שמשולבים באמצעות שילוב של לקוח OAuth של איחוד שירותי אימות הזהות של כוח עבודה. אי אפשר להשתמש במאפיין הזה בכללי מדיניות ההרשאות ב-IAM.	מיפוי למאפיין אימייל (כמו user.emails.filter(e, e.type == 'work')[0].value או user.emails[0].value).
google.posix_username	אופציונלי	מחרוזת ייחודית של שם משתמש שתואמת ל-POSIX, שמשמשת לכניסה ל-SSH בדפדפן ול-OS Login עם איחוד שירותי אימות הזהות של כוח העבודה. אי אפשר להשתמש במאפיין הזה בכללי מדיניות ההרשאות ב-IAM.	האורך המקסימלי הוא 32 תווים.
attribute.KEY	אופציונלי	מאפיינים מותאמים אישית מ-IdP שאפשר להשתמש בהם כדי להגדיר את אסטרטגיית ההרשאות במדיניות הרשאה ב-IAM. מחליפים את KEY בשם המאפיין שרוצים להשתמש בו. לדוגמה, אתם יכולים להגדיר מאפיין מותאם אישית כמו costcenter = "1234" ולהפנות אליו באמצעות principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.costcenter/1234. הענקת גישה למזהה העיקרי הזה מעניקה גישה לכל הזהויות שהוגדרו בספק הזהויות עם מרכז העלויות הזה.	עד 50 כללי מיפוי של מאפיינים מותאמים אישית. הגודל המקסימלי לכל כלל: 256 תווים.

דוגמאות למיפויים לשמירה על עקביות בנושא

כפי שמתואר במאמר מאפיינים נתמכים למיפוי הצהרות, מאפיין ה-IdP הבסיסי שמשמש לאכלוס google.subject חייב להיות זהה גם במיפוי הספק (--attribute-mapping) וגם בדייר SCIM ‏ (--claim-mapping). בטבלה הבאה מוצגות דוגמאות להפניה ב-Okta:

מאפיין של Google	מיפוי של ספק מאגר זהויות של כוח עבודה	מיפוי של דייר SCIM
google.subject	assertion.sub	user.externalId
google.subject	assertion.subject	user.userName
google.subject	assertion.subject.lowerAscii()	user.userName.lowerAscii()
google.subject	assertion.preferred_username	user.userName
google.subject	assertion.preferred_username.lowerAscii()	user.userName.lowerAscii()
google.subject	assertion.email	user.emails[0].value
google.subject	assertion.email.lowerAscii()	user.emails[0].value.lowerAscii()

אימות הסנכרון של SCIM

חשוב: מכיוון ש-SCIM מבוסס על שליחת נתונים מ-IdP, Google Cloud לא שולף נתונים באופן פעיל ולא בודק את תקינות החיבור. אם החיבור בין ספק הזהויות שלכם לבין Google Cloud נפסק בלי התראה, יכול להיות שנתוני הזהות יהיו לא עדכניים.

בתהליכי עבודה עם משך סשן מורחב (ESL) שנמשכים עד 90 יום, יכול להיות שלמשתמש שהושבתה לו הגישה תהיה גישה עד לסנכרון המוצלח הבא או עד לסיום הסשן. כדי למנוע גישה לא מורשית, חשוב לעקוב באופן רציף אחרי תקינות הסנכרון של SCIM ולבצע ביקורת.

אחרי שמגדירים את SCIM, אפשר להשתמש ב-curl כדי לוודא שהמשתמשים והקבוצות מסתנכרנים בצורה תקינה עם Google Cloud. כדי להשתמש בפקודות האלה צריך טוקן SCIM תקין ומזהה דייר SCIM.

אימות סנכרון המשתמשים

כדי לוודא שהסנכרון של המשתמש בוצע בצורה תקינה, מחפשים את userName של המשתמש באמצעות המסנן הבא:

curl -H "Authorization: Bearer SCIM_TOKEN" \
  "https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID/Users?filter=userName%20eq%20%22USER_NAME%22"

דוגמה לתגובה:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:ListResponse"],
  "totalResults": 1,
  "Resources": [
    {
      "id": "USER_ID",
      "userName": "USER_NAME",
      ...
    }
  ]
}

אימות סנכרון הקבוצות

כדי לוודא שקבוצה סונכרנה בצורה תקינה, מחפשים את displayName של הקבוצה באמצעות המסנן הבא:

curl -H "Authorization: Bearer SCIM_TOKEN" \
  "https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID/Groups?filter=displayName%20eq%20%22GROUP_NAME%22"

דוגמה לתגובה:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:ListResponse"],
  "totalResults": 1,
  "Resources": [
    {
      "id": "GROUP_ID",
      "displayName": "GROUP_NAME",
      ...
    }
  ]
}

אימות החברות בקבוצה

כדי לבדוק אם משתמש מסוים הוא חבר בקבוצה, משתמשים במסנן שמציין גם את מזהה הקבוצה וגם את מזהה המשתמש.

curl -H "Authorization: Bearer SCIM_TOKEN" \
  "https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID/Groups?filter=id%20eq%20%22GROUP_ID%22%20and%20members%20eq%20%22USER_ID%22"

דוגמה לתגובה אם המשתמש הוא חבר מועדון:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:ListResponse"],
  "totalResults": 1,
  "Resources": [
    {
      "id": "GROUP_ID",
      "displayName": "GROUP_NAME",
      ...
    }
  ]
}

דוגמה לתשובה אם המשתמש לא חבר:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:ListResponse"],
  "totalResults": 0,
  "Resources": []
}

הערה: כדי לקבל את הערכים GROUP_ID ו-USER_ID, קודם צריך למצוא את הקבוצה והמשתמש באמצעות המסננים displayName ו-userName. המזהים מוחזרים בשדה id של התשובה. מחליפים את SCIM_TOKEN,‏ SCIM_TENANT_UID,‏ USER_NAME,‏ GROUP_NAME,‏ GROUP_ID ו-USER_ID בערכים בפועל.

מחיקה בכוח של דייר SCIM

כדי למחוק דייר SCIM בכוח:

1. אם ספק הזהויות מוגדר ל---scim-usage=enabled-for-groups או ל---scim-usage=enabled-for-users-groups, צריך להשבית אותו בהגדרות הספק:

   OIDC

   gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
       --workforce-pool=WORKFORCE_POOL_ID \
       --location=LOCATION \
       --scim-usage=SCIM_USAGE_UNSPECIFIED
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫PROVIDER_ID: המזהה של ספק מאגר הזהויות של כוח העבודה
   • ‫WORKFORCE_POOL_ID: המזהה של מאגר כוח העבודה
   • ‫LOCATION: המיקום של מאגר כוח העבודה

   SAML

   gcloud iam workforce-pools providers update-saml PROVIDER_ID \
       --workforce-pool=WORKFORCE_POOL_ID \
       --location=LOCATION \
       --scim-usage=SCIM_USAGE_UNSPECIFIED
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫PROVIDER_ID: המזהה של ספק מאגר הזהויות של כוח העבודה
   • ‫WORKFORCE_POOL_ID: המזהה של מאגר כוח העבודה
   • ‫LOCATION: המיקום של מאגר כוח העבודה

2. מחיקת הדייר ב-SCIM:

   gcloud iam workforce-pools providers scim-tenants delete SCIM_TENANT_ID \
       --workforce-pool=WORKFORCE_POOL_ID \
       --provider=PROVIDER_ID \
       --hard-delete \
       --location=global
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫SCIM_TENANT_ID: המזהה של דייר SCIM למחיקה
   • ‫WORKFORCE_POOL_ID: המזהה של מאגר כוח העבודה
   • ‫PROVIDER_ID: המזהה של ספק מאגר הזהויות של כוח העבודה
   מידע נוסף על SCIM, כולל מחיקת דיירים של SCIM, זמין במאמר תמיכה ב-SCIM.

המאמרים הבאים

• פתרון בעיות בהקצאת הרשאות באמצעות SCIM
• מחיקת המשתמשים באיחוד שירותי אימות הזהות של כוח עבודה והנתונים שלהם
• מידע על מוצרי Google Cloud Google Cloud שתומכים באיחוד שירותי אימות הזהות של כוח העבודה
• הגדרת גישה של משתמשים למסוף (מאוחד)