ניהול ספקים של מאגרי זהויות של כוח עבודה

איחוד שירותי אימות הזהות של כוח עבודה מאפשר לכם לחבר ספקי זהויות (IdP) חיצוניים ל-Google Cloud , כדי שכוח העבודה שלכם יוכל לאמת את הזהות שלו ולגשת למשאבים. ככל שהספרייה מתפתחת, אתם יכולים לעדכן את המאגרים והספקים כדי לשנות את הגדרות ה-IdP, לשפר את המיפויים והתנאים של המאפיינים ולנהל מפתחות אינטרנט מסוג JSON ‏ (JWKs) של OpenID Connect ‏ (OIDC) שהועלו באופן מקומי.

כדי להגדיר את האיחוד לפני ניהול המאגרים והספקים, מגדירים את איחוד שירותי אימות הזהות של כוח עבודה באמצעות Microsoft Entra ID,‏ Okta או IdP שתומך ב-OIDC או ב-SAML.

לפני שמתחילים

  1. צריך לוודא שיש לכם ארגון מוגדר ב- Google Cloud .

  2. התקינו את ה-CLI של Google Cloud. אחר כך, אתחלו את ה-CLI של Google Cloud באמצעות הפקודה הבאה: 

    gcloud init

    אם אתם משתמשים בספק זהויות חיצוני (IdP), קודם אתם צריכים להיכנס ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.

ניהול מאגרים

בקטע הזה מוסבר איך לנהל מאגרי זהויות של כוח העבודה.

יצירת מאגר

כדי ליצור מאגר של כוח העבודה, מריצים את הפקודה הבאה:

gcloud

כדי ליצור את מאגר הזהויות של כוח העבודה, מריצים את הפקודה הבאה:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

מחליפים את מה שכתוב בשדות הבאים:

  • ‫WORKFORCE_POOL_ID: המזהה שבחרתם כדי לייצג את מאגר כוח העבודה ב- Google Cloud . מזהה המאגר חייב להיות ייחודי באופן גלובלי בכל מאגרי הזהויות של כוח העבודה ב- Google Cloud. מידע על הפורמט של המזהה מופיע בקטע פרמטרים של שאילתה במאמרי העזרה של ה-API.
  • ‫ORGANIZATION_ID: מזהה הארגון (מספרי) של הארגון ב- Google Cloud למאגר הזהויות של כוח העבודה. מאגרי הזהויות של כוח העבודה זמינים בכל הפרויקטים והתיקיות בארגון.
  • ‫DISPLAY_NAME: אופציונלי. שם לתצוגה של מאגר הזהויות של כוח העבודה.
  • ‫DESCRIPTION: אופציונלי. תיאור של מאגר זהויות של כוח עבודה.
  • ‫SESSION_DURATION: אופציונלי. משך הסשן, מיוצג כמספר שאחריו מופיע s – לדוגמה, 3600s. משך הסשן קובע לכמה זמן יהיו פעילים טוקני הגישה ל- Google Cloud , המסוף (איחוד), החיבור לסשן והחיבור ל-ה-CLI של gcloud מהמאגר של כוח העבודה. משך הסשן שמוגדר כברירת מחדל הוא שעה (3,600 שניות). הערך של משך הסשן צריך להיות בין 15 דקות (900 שניות) ל-12 שעות (43,200 שניות).

המסוף

כדי ליצור את מאגר הזהויות של כוח העבודה:

  1. נכנסים לדף Workforce Identity Pools במסוף Google Cloud :

    כניסה לדף Workforce Identity Pools

  2. בוחרים את הארגון של מאגר הזהויות של כוח העבודה. מאגרי זהויות כוח עבודה זמינים בכל הפרויקטים והתיקיות בארגון.

  3. לוחצים על Create pool ומבצעים את הפעולות הבאות:

    1. בשדה Name, מזינים את השם לתצוגה של המאגר. מזהה המאגר נגזר באופן אוטומטי מהשם בזמן ההקלדה, ומוצג מתחת לשדה Name. כדי לעדכן את מזהה המאגר, לוחצים על Edit ליד מזהה המאגר.

    2. אופציונלי: בשדה Description, מזינים תיאור של המאגר.

    3. כדי ליצור את מאגר הזהויות של כוח העבודה, לוחצים על Next.

משך הסשן של מאגר הזהויות של כוח העבודה מוגדר כברירת מחדל לשעה (3,600 שניות). משך הסשן קובע לכמה זמן יהיו פעילים אסימוני הגישה ל- Google Cloud , המסוף (איחוד), החיבור לסשן והחיבור ל-CLI של gcloud מהמאגר של כוח העבודה. אחרי שיוצרים את המאגר, אפשר לעדכן את המאגר כדי להגדיר משך סשן בהתאמה אישית. משך הסשן צריך להיות בין 15 דקות (900 שניות) ל-12 שעות (43,200 שניות).

הצגת פרטי המאגר

gcloud

כדי לראות את הפרטים של מאגר מסוים של כוח עבודה באמצעות ה-CLI של gcloud, מריצים את הפקודה הבאה:

gcloud iam workforce-pools describe WORKFORCE_POOL_ID \
    --location=global

מחליפים את WORKFORCE_POOL_ID במזהה מאגר כוח העבודה שנבחר כשהמאגר נוצר.

המסוף

כדי לראות את הפרטים של מאגר ספציפי של כוח עבודה באמצעות מסוף Google Cloud :

  1. נכנסים לדף Workforce Identity Pools במסוף Google Cloud :

    כניסה לדף Workforce Identity Pools

  2. בקטע Workforce pools, בוחרים את המאגר.

    במסוף Google Cloud מוצגים פרטי המאגר, כולל המזהה, התיאור, הסטטוס, חשבון המשתמש בניהול זהויות והרשאות גישה (IAM), היומנים והספקים שהוגדרו.

הצגת רשימה של מאגרים

gcloud

כדי להציג את רשימת מאגרי כוח העבודה בארגון, מריצים את הפקודה הבאה:

gcloud iam workforce-pools list \
    --organization=ORGANIZATION_ID \
    --location=global

מחליפים את ORGANIZATION_ID במזהה הארגון.

המסוף

כדי להציג את רשימת מאגרי כוח העבודה באמצעות מסוף Google Cloud :

  1. נכנסים לדף Workforce Identity Pools במסוף Google Cloud :

    כניסה לדף Workforce Identity Pools

  2. בטבלה, רואים את רשימת המאגרים.

עדכון מאגר

gcloud

כדי לעדכן מאגר כוח עבודה ספציפי, מריצים את הפקודה הבאה:

gcloud iam workforce-pools update WORKFORCE_POOL_ID \
    --description="DESCRIPTION" \
    --location=global

מחליפים את מה שכתוב בשדות הבאים:

  • ‫WORKFORCE_POOL_ID: מזהה מאגר כוח העבודה
  • ‫DESCRIPTION: תיאור המאגר

המסוף

כדי לעדכן מאגר ספציפי של כוח עבודה באמצעות מסוף Google Cloud :

  1. נכנסים לדף Workforce Identity Pools במסוף Google Cloud :

    כניסה לדף Workforce Identity Pools

  2. בטבלה, בוחרים את המאגר.

  3. לוחצים על  Edit, מעדכנים את הפרמטרים של המאגר ולוחצים על Save.

מחיקת מאגר

gcloud

כדי למחוק מאגר זהויות של כוח עבודה, מריצים את הפקודה הבאה:

gcloud iam workforce-pools delete WORKFORCE_POOL_ID \
    --location=global

מחליפים את WORKFORCE_POOL_ID במזהה מאגר כוח העבודה.

המסוף

כדי למחוק מאגר מסוים של כוח העבודה באמצעות מסוף Google Cloud :

  1. נכנסים לדף Workforce Identity Pools במסוף Google Cloud :

    כניסה לדף Workforce Identity Pools

  2. בקטע Workforce pools, לוחצים על  Delete במאגר שרוצים למחוק.

  3. פועלים לפי ההוראות הנוספות.

ביטול מחיקת מאגר

אפשר לבטל מחיקה של מאגר זהויות של כוח עבודה שנמחק במהלך 30 הימים האחרונים.

כדי לבטל מחיקה של מאגר, מריצים את הפקודה הבאה:

gcloud iam workforce-pools undelete WORKFORCE_POOL_ID \
    --location=global

מחליפים את WORKFORCE_POOL_ID במזהה מאגר כוח העבודה.

הגדרת ספק במאגר כוח העבודה

כאן מוסבר איך מגדירים ספקי מאגר זהויות של כוח עבודה באמצעות ה-CLI של gcloud ומסוף Google Cloud .

יצירת ספק OIDC

כאן מוסבר איך ליצור ספק מאגר זהויות של כוח עבודה ב-OIDC IdP.

gcloud

זרימת קוד

כדי ליצור ספק OIDC שמשתמש בהרשאה באמצעות קוד לצורך כניסה לאינטרנט, מריצים את הפקודה הבאה:

gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
    --client-secret-value="OIDC_CLIENT_SECRET" \
    --web-sso-response-type="code" \
    --web-sso-assertion-claims-behavior="merge-user-info-over-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --detailed-audit-logging \
    --location=global

מחליפים את מה שכתוב בשדות הבאים:

  • ‫WORKFORCE_PROVIDER_ID: מזהה ייחודי של ספק מאגר הזהויות של כוח העבודה. התחילית gcp- שמורה ואי אפשר להשתמש בה במזהה של מאגר זהויות של כוח עבודה או במזהה של ספק של מאגר זהויות של כוח עבודה.
  • ‫WORKFORCE_POOL_ID: מזהה מאגר הזהויות של כוח העבודה שאליו רוצים לחבר את ה-IdP.
  • ‫DISPLAY_NAME: שם תצוגה ידידותי למשתמש בשביל הספק (לא חובה). לדוגמה, idp-eu-employees.
  • ‫DESCRIPTION: תיאור של ספק כוח העבודה (לא חובה), לדוגמה, IdP for Partner Example Organization employees.
  • ‫ISSUER_URI: ה-URI של מנפיק OIDC, בפורמט URI תקין שמתחיל ב-https. לדוגמה: https://example.com/oidc. הערה: מטעמי אבטחה, ISSUER_URI צריך להשתמש בסכמת HTTPS.
  • ‫OIDC_CLIENT_ID: מזהה הלקוח ב-OIDC שרשום ב-IdP של OIDC. המזהה צריך להיות תואם להצהרת aud של ה-JWT שמונפקת על ידי ה-IdP.
  • ‫OIDC_CLIENT_SECRET: סוד הלקוח ב-OIDC.
  • ‫WEB_SSO_ADDITIONAL_SCOPES: היקפי הרשאות אופציונליים לשליחה ל-IdP של OIDC בשביל המסוף (איחוד) או בשביל כניסה באמצעות הדפדפן ל-CLI של gcloud.
  • ‫ATTRIBUTE_MAPPING: מיפוי מאפיינים. דוגמה למיפוי מאפיינים: 
    google.subject=assertion.oid
google.groups=assertion.groups,
attribute.costcenter=assertion.costcenter
     בדוגמה הזו, המאפיינים assertion.oid,‏ assertion.groups ו-assertion.costcenter של ה-IdP בטענת הנכוֹנוּת (assertion) של OIDC ממופים למאפיינים google.subject,‏ google.groups ו-attribute.costcenter של Google Cloud , בהתאמה.
  • ‫ATTRIBUTE_CONDITION: תנאי של מאפיין, לדוגמה assertion.role == 'gcp-users'. התנאי לדוגמה הזה מבטיח שרק משתמשים עם התפקיד gcp-users יוכלו להיכנס באמצעות הספק הזה.
  • ‫JWK_JSON_PATH: נתיב אופציונלי למפתחות JWK ב-OIDC שהועלו באופן מקומי. אם לא מוסיפים את הפרמטר הזה, המערכת של Google Cloud תשתמש בנתיב /.well-known/openid-configuration של ה-IdP כדי למצוא את מפתחות ה-JWK שמכילים את המפתחות הציבוריים. מידע נוסף על מפתחות JWK של OIDC שמועלים באופן מקומי זמין במאמר ניהול מפתחות JWK של OIDC.

  • רישום מפורט ביומן הביקורת של איחוד שירותי אימות הזהות של כוח עבודה מתעד ב-Logging את המידע שהתקבל מה-IdP. רישום מפורט ביומן הביקורת יכול לעזור לכם לפתור בעיות בהגדרות של הספק של מאגר הזהויות של כוח העבודה. כדי ללמוד איך לפתור שגיאות במיפוי מאפיינים באמצעות רישום מפורט ביומן הביקורת, קראו את המאמר שגיאות כלליות במיפוי מאפיינים. למידע על התמחור של Logging, קראו את המאמר התמחור של Google Cloud Observability.

    כדי להשבית את יומן הביקורת המפורט של ספק מאגר זהויות של כוח עבודה, משמיטים את הדגל --detailed-audit-logging כשמריצים את gcloud iam workforce-pools providers create. כדי להשבית את הרישום המפורט ביומני הביקורת, אתם יכולים גם לעדכן את הספק.

הדגל --web-sso-assertion-claims-behavior קובע איך הצהרות OIDC נכללות באובייקט assertion שמשמש למיפוי מאפיינים ולתנאי מאפיינים. בתהליך של הרשאה באמצעות קוד (--web-sso-response-type="code"), אפשר להגדיר את הדגל הזה לאחד מהערכים הבאים:

  • ‫merge-user-info-over-id-token-claims: מיזוג של הצהרות מנקודת הקצה UserInfo של OIDC עם הצהרות מטוקן המזהה. אם שניהם מכילים את אותו שם תביעה, ערך התביעה של UserInfo מקבל עדיפות. משתמשים בערך הזה כשספק הזהויות מחזיר מאפייני משתמשים נוספים או הצהרות קבוצה מנקודת הקצה UserInfo.
  • ‫only-id-token-claims: כולל רק הצהרות מהטוקן של המזהה. משתמשים בערך הזה כשכל ההצהרות שנדרשות למיפויים ולתנאים של המאפיינים כבר קיימות בטוקן של המזהה.
בתשובה לפקודה, POOL_RESOURCE_NAME הוא שם המאגר. לדוגמה: locations/global/workforcePools/enterprise-example-organization-employees.

זרם הענקת גישה משתמע

כדי ליצור ספק זהויות של כוח עבודה ב-OIDC שמשתמש בזרם הענקת גישה משתמע בשביל כניסה לאינטרנט, מריצים את הפקודה הבאה:

gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
    --web-sso-response-type="id-token" \
    --web-sso-assertion-claims-behavior="only-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --detailed-audit-logging \
    --location=global

מחליפים את מה שכתוב בשדות הבאים:

  • ‫WORKFORCE_PROVIDER_ID: מזהה ייחודי של ספק מאגר הזהויות של כוח העבודה. התחילית gcp- שמורה ואי אפשר להשתמש בה במזהה של מאגר זהויות של כוח עבודה או במזהה של ספק של מאגר זהויות של כוח עבודה.
  • ‫WORKFORCE_POOL_ID: מזהה מאגר הזהויות של כוח העבודה שאליו רוצים לחבר את ה-IdP.
  • ‫DISPLAY_NAME: שם תצוגה ידידותי למשתמש בשביל הספק (לא חובה). לדוגמה, idp-eu-employees.
  • ‫DESCRIPTION: תיאור של ספק כוח העבודה (לא חובה), לדוגמה, IdP for Partner Example Organization employees.
  • ‫ISSUER_URI: ה-URI של מנפיק OIDC, בפורמט URI תקין שמתחיל ב-https. לדוגמה: https://example.com/oidc. הערה: מטעמי אבטחה, ISSUER_URI צריך להשתמש בסכמת HTTPS.
  • ‫OIDC_CLIENT_ID: מזהה הלקוח ב-OIDC שרשום ב-IdP של OIDC. המזהה צריך להיות תואם להצהרת aud של ה-JWT שמונפקת על ידי ה-IdP.
  • ‫WEB_SSO_ADDITIONAL_SCOPES: היקפי הרשאות אופציונליים לשליחה ל-IdP של OIDC בשביל המסוף (איחוד) או בשביל כניסה באמצעות הדפדפן ל-CLI של gcloud.
  • ‫ATTRIBUTE_MAPPING: מיפוי מאפיינים. דוגמה למיפוי מאפיינים: 
    google.subject=assertion.oid
google.groups=assertion.groups,
attribute.costcenter=assertion.costcenter
     בדוגמה הזו, המאפיינים assertion.oid,‏ assertion.groups ו-assertion.costcenter של ה-IdP בטענת הנכוֹנוּת (assertion) של OIDC ממופים למאפיינים google.subject,‏ google.groups ו-attribute.costcenter של Google Cloud , בהתאמה.
  • ‫ATTRIBUTE_CONDITION: תנאי של מאפיין, לדוגמה assertion.role == 'gcp-users'. התנאי לדוגמה הזה מבטיח שרק משתמשים עם התפקיד gcp-users יוכלו להיכנס באמצעות הספק הזה.
  • ‫JWK_JSON_PATH: נתיב אופציונלי למפתחות JWK ב-OIDC שהועלו באופן מקומי. אם לא מוסיפים את הפרמטר הזה, המערכת של Google Cloud תשתמש בנתיב /.well-known/openid-configuration של ה-IdP כדי למצוא את מפתחות ה-JWK שמכילים את המפתחות הציבוריים. מידע נוסף על מפתחות JWK של OIDC שמועלים באופן מקומי זמין במאמר ניהול מפתחות JWK של OIDC.

  • רישום מפורט ביומן הביקורת של איחוד שירותי אימות הזהות של כוח עבודה מתעד ב-Logging את המידע שהתקבל מה-IdP. רישום מפורט ביומן הביקורת יכול לעזור לכם לפתור בעיות בהגדרות של הספק של מאגר הזהויות של כוח העבודה. כדי ללמוד איך לפתור שגיאות במיפוי מאפיינים באמצעות רישום מפורט ביומן הביקורת, קראו את המאמר שגיאות כלליות במיפוי מאפיינים. למידע על התמחור של Logging, קראו את המאמר התמחור של Google Cloud Observability.

    כדי להשבית את יומן הביקורת המפורט של ספק מאגר זהויות של כוח עבודה, משמיטים את הדגל --detailed-audit-logging כשמריצים את gcloud iam workforce-pools providers create. כדי להשבית את הרישום המפורט ביומני הביקורת, אתם יכולים גם לעדכן את הספק.

במקרה של זרם הענקת גישה משתמע (--web-sso-response-type="id-token"), צריך להגדיר את הדגל --web-sso-assertion-claims-behavior לערך only-id-token-claims, שכולל רק הצהרות מהאסימון המזהה באובייקט assertion. זרם הענקת הגישה המשתמע לא תומך בערך merge-user-info-over-id-token-claims.

בתשובה לפקודה, POOL_RESOURCE_NAME הוא שם המאגר. לדוגמה: locations/global/workforcePools/enterprise-example-organization-employees.

המסוף

זרימת קוד

  1. במסוף Google Cloud , נכנסים לדף Workforce Identity Pools:

    כניסה לדף Workforce Identity Pools

  2. בטבלה Workforce Identity Pools, בוחרים את המאגר שרוצים ליצור לו ספק.
  3. בקטע Providers, לוחצים על Add Provider.
  4. ברשימה בחירת ספק, בוחרים את ה-IdP.

    אם ספק הזהויות שלכם לא מופיע ברשימה, בוחרים באפשרות ספק זהויות כללי.

  5. בקטע Select an authentication protocol, בוחרים באפשרות OpenID Connect (OIDC).
  6. בקטע Create a provider, מבצעים את הפעולות הבאות:
    1. בקטע שם, מזינים את השם של הספק.
    2. בקטע תיאור, מזינים את התיאור של הספק.
    3. בשדה Issuer (URL), מזינים את ה-URI של המנפיק. ה-URI של מנפיק OIDC צריך להיות בפורמט URI תקין ולהתחיל ב-https. לדוגמה: https://example.com/oidc.
    4. בשדה Client ID, מזינים את מזהה הלקוח ב-OIDC שרשום ב-IdP של OIDC. המזהה צריך להיות תואם להצהרת aud של ה-JWT שמונפקת על ידי ה-IdP.
    5. כדי ליצור ספק שמופעל, מוודאים שהאפשרות הפעלת הספק מופעלת.
    6. לוחצים על Continue.
  7. בקטע שיתוף פרטי הספק עם IdP, מעתיקים את כתובת ה-URL. ב-IdP, מגדירים את כתובת ה-URL הזו בתור ה-URI להפניה אוטומטית, שמציין ל-IdP לאן לשלוח את אסימון טענת הנכוֹנוּת (assertion) אחרי ההתחברות.
  8. לוחצים על Continue.
  9. בקטע Configure OIDC Web Sign-in, מבצעים את הפעולות הבאות:
    1. ברשימה Flow type, בוחרים באפשרות Code.
    2. ברשימה Assertion claims behavior, בוחרים אחת מהאפשרויות הבאות:
      • פרטי משתמש וטוקן של מזהה: מיזוג הצהרות מנקודת הקצה (endpoint) של UserInfo עם הצהרות מהטוקן של המזהה, תוך העדפת ערכי הצהרות של UserInfo לאותו שם הצהרה. צריך לבחור באפשרות הזו אם ספק הזהויות מחזיר מאפייני משתמשים נוספים או הצהרות קבוצה מנקודת הקצה UserInfo.
      • רק טוקן של מזהה: כולל רק הצהרות מהטוקן של המזהה. בחרו באפשרות הזו אם כל ההצהרות שנדרשות לתנאים ולמיפויים של המאפיינים כבר קיימות בטוקן של המזהה.
    3. בשדה סוד לקוח, מזינים את סוד הלקוח מספק הזהויות.

    4. אופציונלי: אם בחרתם ב-Okta כספק הזהויות, הוסיפו עוד היקפי הרשאות של OIDC בשדה היקפי הרשאות נוספים מעבר ל-openid, לפרופיל ולאימייל.
  10. לוחצים על Continue.
  11. בקטע Configure provider, לוחצים על המתג Enable attribute value audit logging בשביל Detailed logging.

    רישום מפורט ביומן הביקורת של איחוד שירותי אימות הזהות של כוח עבודה מתעד ב-Logging את המידע שהתקבל מה-IdP. רישום מפורט ביומן הביקורת יכול לעזור לכם לפתור בעיות בהגדרות של הספק של מאגר הזהויות של כוח העבודה. כדי ללמוד איך לפתור שגיאות במיפוי מאפיינים באמצעות רישום מפורט ביומן הביקורת, קראו את המאמר שגיאות כלליות במיפוי מאפיינים. למידע על התמחור של Logging, קראו את המאמר התמחור של Google Cloud Observability.

    כדי להשבית את יומן הביקורת המפורט של ספק מאגר הזהויות של כוח העבודה, משאירים את המתג Enable attribute value audit logging במצב מושבת כשיוצרים את הספק. כדי להשבית את הרישום המפורט ביומן הביקורת, אתם יכולים גם לעדכן את הספק.

  12. כדי ליצור את הספק, לוחצים על Submit.

אחרי שיוצרים את הספק, המערכת מפנה לדף המאפיינים של הספק.

כדי להגדיר מיפויים ותנאים של מאפיינים:

  1. כשמוצגת בקשה, נכנסים ל-IdP החיצוני כדי לאמת את מיפויי המאפיינים שמוגדרים כברירת מחדל.
  2. בדף המאפיינים של הספק, אפשר לראות ולערוך את מיפויי המאפיינים והתנאים:
    1. כדי להוסיף או לערוך מיפויים של מאפיינים:
      1. לוחצים על הוספת מיפוי כדי להוסיף מיפוי חדש, או עורכים את המיפויים הקיימים.
      2. בשדה Google n, כאשר n הוא מספר, בוחרים מפתח שנתמך ב- Google Cloud.
      3. בשדה OIDC n התואם, מזינים את שם המאפיין של ספק הזהויות או ביטוי CEL.
    2. כדי להוסיף תנאי למאפיין:
      1. לוחצים על הוספת תנאי.
      2. בשדה Attribute Conditions, מזינים תנאי בפורמט CEL, לדוגמה assertion.role == 'gcp-users'. התנאי לדוגמה הזה מבטיח שרק משתמשים עם התפקיד gcp-users יוכלו להיכנס באמצעות הספק הזה.
  3. כדי לאמת את המיפויים, לוחצים על Save and refetch token.
  4. כדי לסיים את ההגדרה, לוחצים על שמירה ויציאה.

זרם הענקת גישה משתמע

  1. במסוף Google Cloud , נכנסים לדף Workforce Identity Pools:

    כניסה לדף Workforce Identity Pools

  2. בטבלה Workforce Identity Pools, בוחרים את המאגר שרוצים ליצור לו ספק.
  3. בקטע ספקים, לוחצים על הוספת ספק.
  4. ברשימה בחירת ספק, בוחרים את ה-IdP.

    אם ספק הזהויות שלכם לא מופיע ברשימה, בוחרים באפשרות ספק זהויות כללי.

  5. בקטע Select an authentication protocol, בוחרים באפשרות OpenID Connect (OIDC).
  6. בקטע Create a provider, מבצעים את הפעולות הבאות:
    1. בקטע שם, מזינים את השם של הספק.
    2. בקטע תיאור, מזינים את התיאור של הספק.
    3. בשדה Issuer (URL), מזינים את ה-URI של המנפיק. ה-URI של מנפיק OIDC צריך להיות בפורמט URI תקין ולהתחיל ב-https. לדוגמה: https://example.com/oidc.
    4. בשדה Client ID, מזינים את מזהה הלקוח ב-OIDC שרשום ב-IdP של OIDC. המזהה צריך להיות תואם להצהרת aud של ה-JWT שמונפקת על ידי ה-IdP.
    5. כדי ליצור ספק שמופעל, מוודאים שהאפשרות הפעלת הספק מופעלת.
    6. לוחצים על Continue.
  7. בקטע שיתוף פרטי הספק עם IdP, מעתיקים את כתובת ה-URL. ב-IdP, מגדירים את כתובת ה-URL הזו כ-URI להפניה אוטומטית, שמציין ל-IdP לאן לשלוח את אסימון טענת הנכוֹנוּת (assertion) אחרי ההתחברות.
  8. לוחצים על Continue.
  9. בקטע Configure OIDC Web Sign-in, מבצעים את הפעולות הבאות:
    1. ברשימה Flow type, בוחרים באפשרות טוקן של מזהה.
    2. ברשימה Assertion claims behavior, האפשרות טוקן של מזהה נבחרת.
    3. אופציונלי: אם בחרתם ב-Okta בתור ה-IdP, הוסיפו עוד היקפי הרשאות של OIDC בשדה Additional scopes beyond openid, profile, and email.
  10. לוחצים על Continue.
  11. בקטע Configure provider, בקטע Detailed logging, לוחצים על המתג Enable attribute value audit logging.

    רישום מפורט ביומן הביקורת של איחוד שירותי אימות הזהות של כוח עבודה מתעד ב-Logging את המידע שהתקבל מספק הזהויות. רישום מפורט ביומן הביקורת יכול לעזור לכם לפתור בעיות בהגדרות של הספק של מאגר הזהויות של כוח העבודה. כדי ללמוד איך לפתור שגיאות במיפוי מאפיינים באמצעות רישום מפורט ביומן הביקורת, קראו את המאמר שגיאות כלליות במיפוי מאפיינים. למידע על התמחור של Logging, קראו את המאמר התמחור של Google Cloud Observability.

    כדי להשבית את יומן הביקורת המפורט של ספק מאגר הזהויות של כוח העבודה, משאירים את המתג Enable attribute value audit logging במצב מושבת כשיוצרים את הספק. כדי להשבית את הרישום המפורט ביומן הביקורת, אתם יכולים גם לעדכן את הספק.

  12. כדי ליצור את הספק, לוחצים על Submit.

אחרי שיוצרים את הספק, המערכת מפנה לדף המאפיינים של הספק.

כדי להגדיר מיפויים ותנאים של מאפיינים:

  1. כשמוצגת בקשה, נכנסים ל-IdP החיצוני כדי לאמת את מיפויי המאפיינים שמוגדרים כברירת מחדל.
  2. בדף המאפיינים של הספק, אפשר לראות ולערוך את מיפויי המאפיינים והתנאים:
    1. כדי להוסיף או לערוך מיפויים של מאפיינים:
      1. לוחצים על הוספת מיפוי כדי להוסיף מיפוי חדש, או עורכים את המיפויים הקיימים.
      2. בשדה Google n, כאשר n הוא מספר, בוחרים מפתח שנתמך ב- Google Cloud.
      3. בשדה OIDC n התואם, מזינים את שם המאפיין של ספק הזהויות או ביטוי CEL.
    2. כדי להוסיף תנאי למאפיין:
      1. לוחצים על הוספת תנאי.
      2. בשדה Attribute Conditions, מזינים תנאי בפורמט CEL, לדוגמה assertion.role == 'gcp-users'. התנאי לדוגמה הזה מבטיח שרק משתמשים עם התפקיד gcp-users יוכלו להיכנס באמצעות הספק הזה.
  3. כדי לאמת את המיפויים, לוחצים על Save and refetch token.
  4. כדי לסיים את ההגדרה, לוחצים על שמירה ויציאה.

יצירת ספק SAML

כאן מוסבר איך ליצור ספק מאגר זהויות של כוח עבודה בספק זהויות ב-SAML.

gcloud

כדי ליצור את הספק, מריצים את הפקודה הבאה:

gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
    --workforce-pool="WORKFORCE_POOL_ID" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --idp-metadata-path="XML_METADATA_PATH" \
    --detailed-audit-logging \
    --location="global"

מחליפים את מה שכתוב בשדות הבאים:

  • ‫WORKFORCE_PROVIDER_ID: המזהה של ספק כוח העבודה
  • ‫WORKFORCE_POOL_ID: מזהה מאגר כוח העבודה

  • ‫ATTRIBUTE_MAPPING: מיפוי מאפיינים. לדוגמה, כדי למפות נושא, המיפוי מתבצע כך:

    
google.subject=assertion.subject,
google.groups=assertion.attributes['https://example.com/aliases'],
attribute.department=assertion.attributes.department[0]

  • ‫ATTRIBUTE_CONDITION: תנאי של מאפיין (לא חובה); לדוגמה, assertion.subject.endsWith("@example.com")

  • ‫XML_METADATA_PATH: הנתיב לקובץ המטא-נתונים בפורמט XML מה-IdP

התחילית gcp- שמורה ואי אפשר להשתמש בה במזהה של מאגר זהויות של כוח עבודה או במזהה של ספק של מאגר זהויות של כוח עבודה.

הפקודה הזו מקצה את הנושא ואת המחלקה בטענת הנכונות (assertion) של SAML למאפיינים google.subject ו-attribute.department, בהתאמה. בנוסף, התנאי של המאפיין מבטיח שרק משתמשים עם נושא שמסתיים ב-@example.com יוכלו להיכנס באמצעות ספק כוח העבודה הזה.

רישום מפורט ביומן הביקורת של איחוד שירותי אימות הזהות של כוח עבודה מתעד ב-Logging את המידע שהתקבל מה-IdP. רישום מפורט ביומן הביקורת יכול לעזור לכם לפתור בעיות בהגדרות של הספק של מאגר הזהויות של כוח העבודה. כדי ללמוד איך לפתור שגיאות במיפוי מאפיינים באמצעות רישום מפורט ביומן הביקורת, קראו את המאמר שגיאות כלליות במיפוי מאפיינים. למידע על התמחור של Logging, קראו את המאמר התמחור של Google Cloud Observability.

כדי להשבית את יומן הביקורת המפורט של ספק מאגר זהויות של כוח עבודה, משמיטים את הדגל --detailed-audit-logging כשמריצים את gcloud iam workforce-pools providers create. כדי להשבית את הרישום המפורט ביומני הביקורת, אתם יכולים גם לעדכן את הספק.

המסוף

כדי להגדיר את הספק שתומך ב-SAML באמצעות מסוף Google Cloud :

  1. במסוף Google Cloud , נכנסים לדף Workforce Identity Pools:

    כניסה לדף Workforce Identity Pools

  2. בטבלה Workforce Identity Pools, בוחרים את המאגר שרוצים ליצור לו ספק.
  3. בקטע Providers, לוחצים על Add Provider.
  4. ברשימה בחירת ספק, בוחרים את ה-IdP.

    אם ספק הזהויות שלכם לא מופיע ברשימה, בוחרים באפשרות ספק זהויות כללי.

  5. בקטע Select an authentication protocol, בוחרים באפשרות SAML.
  6. בקטע Create a provider, מבצעים את הפעולות הבאות:
    1. בקטע שם, מזינים שם לספק.
    2. אופציונלי: בשדה תיאור, מזינים תיאור של הספק.
    3. בשדה IDP metadata file (XML), בוחרים את קובץ ה-XML של המטא-נתונים שיצרתם קודם במדריך הזה.
    4. כדי ליצור ספק שמופעל, מוודאים שהאפשרות הפעלת הספק מופעלת.
    5. לוחצים על Continue.
  7. בקטע Share your provider information, מעתיקים את כתובות ה-URL. ב-IdP, מגדירים את כתובת ה-URL הראשונה כמזהה הישות, שמזהה את האפליקציה ב-IdP. מגדירים את כתובת ה-URL השנייה בתור ה-URI להפניה אוטומטית, שמציין ל-IdP לאן לשלוח את אסימון ההצהרה אחרי הכניסה.
  8. לוחצים על Continue.
  9. בקטע Configure provider, בקטע Detailed logging, לוחצים על המתג Enable attribute value audit logging.

    רישום מפורט ביומן הביקורת של איחוד שירותי אימות הזהות של כוח עבודה מתעד ב-Logging את המידע שהתקבל מספק הזהויות. רישום מפורט ביומן הביקורת יכול לעזור לכם לפתור בעיות בהגדרות של הספק של מאגר הזהויות של כוח העבודה. כדי ללמוד איך לפתור שגיאות במיפוי מאפיינים באמצעות רישום מפורט ביומן הביקורת, קראו את המאמר שגיאות כלליות במיפוי מאפיינים. למידע על התמחור של Logging, קראו את המאמר התמחור של Google Cloud Observability.

    כדי להשבית את יומן הביקורת המפורט של ספק מאגר הזהויות של כוח העבודה, משאירים את המתג Enable attribute value audit logging במצב מושבת כשיוצרים את הספק. כדי להשבית את הרישום המפורט ביומן הביקורת, אתם יכולים גם לעדכן את הספק.

  10. כדי ליצור את הספק, לוחצים על Submit.

אחרי שיוצרים את הספק, המערכת מפנה לדף המאפיינים של הספק.

כדי להגדיר מיפויים ותנאים של מאפיינים:

  1. כשמוצגת בקשה, נכנסים ל-IdP החיצוני כדי לאמת את מיפויי המאפיינים שמוגדרים כברירת מחדל.
  2. בדף המאפיינים של הספק, אפשר לראות ולערוך את מיפויי המאפיינים והתנאים:
    1. כדי להוסיף או לערוך מיפוי מאפיינים:
      1. לוחצים על הוספת מיפוי כדי להוסיף מיפוי חדש, או עורכים את המיפויים הקיימים.
      2. בשדה Google n, כאשר n הוא מספר, בוחרים מפתח נתמך של Google Cloud .
      3. בשדה SAML n התואם, מזינים את שם המאפיין של ה-IdP או ביטוי CEL, לדוגמה: 
        google.subject=assertion.subject
attribute.costcenter=assertion.attributes.costcenter[0]
         בדוגמה הזו, מאפיין ה-IdP שנקרא assertion.subject ממופה ל-google.subject, ומאפיין ה-IdP שנקרא assertion.attributes.costcenter[0] ממופה ל-attribute.costcenter.
    2. כדי להוסיף תנאי למאפיין:
      1. לוחצים על הוספת תנאי.
      2. בשדה Attribute Conditions, מזינים תנאי בפורמט CEL. לדוגמה, כדי להגביל את המאפיין ipaddr לטווח מסוים של כתובות IP, אפשר ליצור את התנאי assertion.attributes.ipaddr.startsWith('98.11.12.'). התנאי לדוגמה הזה מבטיח שרק משתמשים עם כתובת IP שמתחילה ב-98.11.12. יוכלו להיכנס באמצעות ספק הזהויות הזה לכוח העבודה.
  3. כדי לאמת את המיפויים, לוחצים על Save and refetch token.
  4. כדי לסיים את ההגדרה, לוחצים על שמירה ויציאה.

צפייה בפרטי הספק

gcloud

כדי לראות את הפרטים של ספק, מריצים את הפקודה הבאה:

gcloud iam workforce-pools providers describe PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROVIDER_ID: מזהה הספק
  • ‫WORKFORCE_POOL_ID: מזהה מאגר כוח העבודה

המסוף

כדי לראות את פרטי הספק ולאמת את מיפוי מאפייני האסימון שלו:

  1. נכנסים לדף Workforce Identity Pools במסוף Google Cloud :

    כניסה לדף Workforce Identity Pools

  2. בטבלה, בוחרים את המאגר שרוצים לראות את הספק שלו.

  3. בטבלה Providers, בוחרים את הספק.

    החלונית Provider details נפתחת ומוצגים בה ההגדרות של הספק והסיכום של Attributes.

  4. אופציונלי: עבור ספק מופעל, כדי לבדוק את ההצהרות, מיפויי המאפיינים והמאפיינים הנוספים של Entra ID עבור Microsoft Entra ID, לוחצים על ניפוי באגים של אסימון IdP ואז נכנסים ל-IdP החיצוני כשמוצגת בקשה לעשות את זה.

הצגת רשימה של ספקים

gcloud

כדי להציג רשימת ספקים, מריצים את הפקודה הבאה:

gcloud iam workforce-pools providers list \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

מחליפים את WORKFORCE_POOL_ID במזהה מאגר כוח העבודה.

המסוף

כדי להציג רשימה של ספקים:

  1. נכנסים לדף Workforce Identity Pools במסוף Google Cloud :

    כניסה לדף Workforce Identity Pools

  2. בטבלה, בוחרים את המאגר שרוצים להציג את הספקים שלו.

  3. בטבלה ספקים, מעיינים ברשימת הספקים.

עדכון ספק

gcloud

כדי לעדכן ספק OIDC אחרי שיוצרים אותו, מריצים את הפקודה הבאה:

gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --description="DESCRIPTION" \
    --detailed-audit-logging \
    --location=global

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROVIDER_ID: מזהה הספק
  • ‫WORKFORCE_POOL_ID: מזהה מאגר כוח העבודה
  • ‫DESCRIPTION: התיאור
  • כדי להפעיל רישום מפורט ביומן הביקורת, מוסיפים את הדגל --detailed-audit-logging ל-gcloud iam workforce-pools providers update. כדי להשבית את הרישום המפורט ביומני הביקורת, מוסיפים את הדגל --no-detailed-audit-logging לפקודת העדכון.

המסוף

כדי לעדכן ספק:

  1. נכנסים לדף Workforce Identity Pools במסוף Google Cloud :

    כניסה לדף Workforce Identity Pools

  2. בטבלה, בוחרים את המאגר שרוצים לעדכן את הספק שלו.

  3. בטבלה Providers, לוחצים על  Edit provider ליד הספק שרוצים לעדכן.

  4. מעדכנים את השם המוצג, התיאור, הסטטוס או הגדרות ה-OIDC של הספק, כמו מנפיק (כתובת URL), מזהה לקוח, סוג תגובה או סוד הלקוח (בלחיצה על עריכת סוד הלקוח), ואז לוחצים על שמירה.

  5. אופציונלי: כדי לראות או לערוך את מיפויי המאפיינים והתנאים:

    1. בקטע Provider attributes לוחצים על Configure attributes.

    2. כשמוצגת בקשה, נכנסים ל-IdP החיצוני.

    3. בדף המאפיינים של הספק, אפשר לראות ולערוך את המיפויים, המאפיינים הנוספים או התנאים:

      • כדי להוסיף או לערוך מיפויים, לוחצים על הוספת מיפוי ומזינים את המפתחות והערכים. לפרטים נוספים, קראו את המאמר מיפוי מאפיינים.

      • כדי להוסיף או לערוך תנאים, לוחצים על Add condition ומזינים ביטוי CEL. למידע נוסף, קראו את המאמר תנאים של מאפיינים.

      להוראות המלאות, קראו את המאמר הגדרת איחוד שירותי אימות הזהות של כוח עבודה.

    4. כדי לאמת את המיפויים, לוחצים על Save and refetch token (שמירה ואחזור מחדש של הטוקן).

    5. כדי להשלים את העדכון, לוחצים על שמירה ויציאה.

מחיקת ספק

gcloud

כדי למחוק ספק, מריצים את הפקודה הבאה:

gcloud iam workforce-pools providers delete PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROVIDER_ID: מזהה הספק
  • ‫WORKFORCE_POOL_ID: מזהה מאגר כוח העבודה

המסוף

כדי למחוק ספק:

  1. נכנסים לדף Workforce Identity Pools במסוף Google Cloud :

    כניסה לדף Workforce Identity Pools

  2. בטבלה, בוחרים את המאגר שמכיל את הספק שרוצים למחוק.

  3. בטבלה Providers, לוחצים על  Delete provider ליד הספק שרוצים למחוק, ופועלים לפי ההנחיות לאישור.

ביטול מחיקת ספק

כדי לבטל מחיקה של ספק שנמחק במהלך 30 הימים האחרונים, מריצים את הפקודה הבאה:

gcloud iam workforce-pools providers undelete PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROVIDER_ID: מזהה הספק
  • ‫WORKFORCE_POOL_ID: מזהה מאגר כוח העבודה

ניהול מפתחות JWK של OIDC

בקטע הזה מוסבר איך לנהל מפתחות JWKS של OIDC עבור ספקים של מאגר זהויות של כוח עבודה.

יצירת הספק והעלאה של מפתחות JWKs של OIDC

כדי ליצור מפתחות JWK של OIDC, קראו את המאמר הטמעה של JWT,‏ JWS,‏ JWE,‏ JWK ו-JWA.

כדי להעלות קובץ מפתח JWK ב-OIDC בזמן היצירה של ספק מאגר זהויות של כוח עבודה, מריצים את הפקודה gcloud iam workforce-pools providers create-oidc עם הפרמטרים --jwk-json-path="JWK_JSON_PATH". מחליפים את הערך של JWK_JSON_PATH בנתיב שלכם לקובץ מפתחות ה-JWK ב-JSON.

הפעולה הזו מעלה את המפתחות מהקובץ.

עדכון מפתחות JWK ב-OIDC

כדי לעדכן את מפתחות JWK ב-OIDC, מפעילים את הפקודה gcloud iam workforce-pools providers update-oidc עם הפרמטרים --jwk-json-path="JWK_JSON_PATH". מחליפים את הערך של JWK_JSON_PATH בנתיב שלכם לקובץ מפתחות ה-JWK ב-JSON.

הפעולה הזו מחליפה מפתחות העלאה קיימים עם המפתחות שבקובץ.

מחיקה של כל מפתחות ה-JWK של OIDC שהועלו

כדי למחוק את כל מפתחות ה-JWK של OIDC שהועלו ולהשתמש במקום זאת ב-URI של המנפיק כדי לאחזר את המפתחות, מריצים את הפקודה gcloud iam workforce-pools providers update-oidc עם הפרמטרים --jwk-json-path="JWK_JSON_PATH". מחליפים את הערך ב-JWK_JSON_PATH בנתיב לקובץ ריק. משתמשים בדגל --issuer-uri כדי להגדיר את ה-URI של המנפיק.

הפעולה הזו תמחק את כל מפתחות ההעלאה הקיימים.

המאמרים הבאים