ניהול ספקים של מאגרי זהויות של כוח עבודה

במדריך הזה מוסבר איך מבצעים פעולות נפוצות בעזרת איחוד שירותי אימות הזהויות של כוח העבודה. כדי להגדיר את איחוד שירותי אימות הזהות של כוח העבודה, עיינו במדריכים הבאים:

לפני שמתחילים

  1. צריך לוודא שיש לכם ארגון מוגדר ב- Google Cloud .

  2. התקינו את ה-CLI של Google Cloud. אחר כך, אתחלו את ה-CLI של Google Cloud באמצעות הפקודה הבאה: 

    gcloud init

    אם אתם משתמשים בספק זהויות חיצוני (IdP), קודם אתם צריכים להיכנס ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.

ניהול מאגרים

בקטע הזה מוסבר איך לנהל מאגרי זהויות של כוח העבודה.

יצירת מאגר

כדי ליצור מאגר של כוח העבודה, מריצים את הפקודה הבאה:

gcloud

כדי ליצור את מאגר הזהויות של כוח העבודה, מריצים את הפקודה הבאה:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

מחליפים את מה שכתוב בשדות הבאים:

  • ‫WORKFORCE_POOL_ID: המזהה שבחרתם כדי לייצג את מאגר כוח העבודה ב- Google Cloud . מזהה המאגר חייב להיות ייחודי באופן גלובלי בכל מאגרי הזהויות של כוח העבודה ב- Google Cloud. מידע על הפורמט של המזהה מופיע בקטע פרמטרים של שאילתה במאמרי העזרה של ה-API.
  • ‫ORGANIZATION_ID: מזהה הארגון (מספרי) של Google Cloud הארגון שלכם במאגר הזהויות של כוח העבודה. מאגרי הזהויות של כוח העבודה זמינים בכל הפרויקטים והתיקיות בארגון.
  • ‫DISPLAY_NAME: אופציונלי. שם לתצוגה של מאגר הזהויות של כוח העבודה.
  • ‫DESCRIPTION: אופציונלי. תיאור של מאגר זהויות של כוח עבודה.
  • ‫SESSION_DURATION: אופציונלי. משך הסשן, מיוצג כמספר שאחריו מופיע s – לדוגמה, 3600s. משך הסשן קובע לכמה זמן יהיו פעילים טוקני הגישה ל- Google Cloud , המסוף (איחוד), החיבור לסשן והחיבור ל-ה-CLI של gcloud מהמאגר של כוח העבודה. משך הסשן מוגדר כברירת מחדל לשעה אחת (3,600 שניות). הערך של משך הסשן צריך להיות בין 15 דקות (900 שניות) ל-12 שעות (43,200 שניות).

המסוף

כדי ליצור את מאגר הזהויות של כוח העבודה:

  1. נכנסים לדף Workforce Identity Pools במסוף Google Cloud :

    כניסה לדף Workforce Identity Pools

  2. בוחרים את הארגון של מאגר הזהויות של כוח העבודה. מאגרי זהויות של כוח עבודה זמינים בכל הפרויקטים והתיקיות בארגון.

  3. לוחצים על Create pool ומבצעים את הפעולות הבאות:

    1. בשדה Name, מזינים את השם לתצוגה של המאגר. מזהה המאגר נגזר באופן אוטומטי מהשם בזמן ההקלדה, ומוצג מתחת לשדה Name. כדי לעדכן את מזהה המאגר, לוחצים על Edit ליד מזהה המאגר.

    2. אופציונלי: בשדה Description (תיאור), מזינים תיאור של המאגר.

    3. כדי ליצור את מאגר הזהויות של כוח העבודה, לוחצים על Next.

משך הסשן של מאגר הזהויות של כוח העבודה מוגדר כברירת מחדל לשעה (3,600 שניות). משך הסשן קובע לכמה זמן יהיו פעילים אסימוני הגישה ל- Google Cloud , המסוף (איחוד), החיבור לסשן והחיבור ל-CLI של gcloud מהמאגר של כוח העבודה. אחרי שיוצרים את המאגר, אפשר לעדכן את המאגר כדי להגדיר משך סשן בהתאמה אישית. משך הסשן צריך להיות בין 15 דקות (900 שניות) ל-12 שעות (43,200 שניות).

הצגת פרטי המאגר

gcloud

כדי לראות את הפרטים של מאגר מסוים של כוח עבודה באמצעות ה-CLI של gcloud, מריצים את הפקודה הבאה:

gcloud iam workforce-pools describe WORKFORCE_POOL_ID \
    --location=global

מחליפים את WORKFORCE_POOL_ID במזהה מאגר כוח העבודה שנבחר כשהמאגר נוצר.

המסוף

כדי לראות את הפרטים של מאגר מסוים של כוח העבודה באמצעות Google Cloud המסוף:

  1. נכנסים לדף Workforce Identity Pools במסוף Google Cloud :

    כניסה לדף Workforce Identity Pools

  2. בקטע מאגרי כוח עבודה, בוחרים את המאגר.

    במסוף Google Cloud מוצגים פרטי המאגר, כולל המזהה, התיאור, הסטטוס, חשבון המשתמש בניהול זהויות והרשאות גישה (IAM), היומנים והספקים שהוגדרו.

הצגת רשימה של מאגרים

gcloud

כדי להציג את רשימת מאגרי כוח העבודה בארגון, מריצים את הפקודה הבאה:

gcloud iam workforce-pools list \
    --organization=ORGANIZATION_ID \
    --location=global

מחליפים את ORGANIZATION_ID במזהה הארגון.

המסוף

כדי להציג את רשימת מאגרי כוח העבודה באמצעות מסוף Google Cloud :

  1. נכנסים לדף Workforce Identity Pools במסוף Google Cloud :

    כניסה לדף Workforce Identity Pools

  2. בטבלה, רואים את רשימת המאגרים.

עדכון מאגר

gcloud

כדי לעדכן מאגר ספציפי של כוח העבודה, מריצים את הפקודה הבאה:

gcloud iam workforce-pools update WORKFORCE_POOL_ID \
    --description="DESCRIPTION" \
    --location=global

מחליפים את מה שכתוב בשדות הבאים:

  • ‫WORKFORCE_POOL_ID: מזהה מאגר כוח העבודה
  • ‫DESCRIPTION: תיאור המאגר

המסוף

כדי לעדכן מאגר ספציפי של כוח עבודה באמצעות מסוף Google Cloud :

  1. במסוף Google Cloud , עוברים לדף Workforce Identity Pools:

    כניסה לדף Workforce Identity Pools

  2. בוחרים את המאגר בטבלה.

  3. לוחצים על  Edit, מעדכנים את הפרמטרים של המאגר ולוחצים על Save.

מחיקת מאגר

gcloud

כדי למחוק מאגר זהויות של כוח העבודה, מריצים את הפקודה הבאה:

gcloud iam workforce-pools delete WORKFORCE_POOL_ID \
    --location=global

מחליפים את WORKFORCE_POOL_ID במזהה מאגר כוח העבודה.

המסוף

כדי למחוק מאגר מסוים של כוח העבודה באמצעות מסוף Google Cloud :

  1. במסוף Google Cloud , עוברים לדף Workforce Identity Pools:

    כניסה לדף Workforce Identity Pools

  2. בקטע Workforce pools, לוחצים על  Delete במאגר שרוצים למחוק.

  3. פועלים לפי ההוראות הנוספות.

ביטול מחיקת מאגר

אפשר לבטל מחיקה של מאגר זהויות של כוח עבודה שנמחק במהלך 30 הימים האחרונים.

כדי לבטל מחיקה של מאגר, מריצים את הפקודה הבאה:

gcloud iam workforce-pools undelete WORKFORCE_POOL_ID \
    --location=global

מחליפים את WORKFORCE_POOL_ID במזהה מאגר כוח העבודה.

הגדרת ספק במאגר כוח העבודה

בקטע הזה מוסבר איך להגדיר ספקי מאגר זהויות של כוח עבודה באמצעות ה-CLI של gcloud והמסוף של Google Cloud .

יצירת ספק OIDC

כאן מוסבר איך ליצור ספק מאגר זהויות של כוח עבודה ב-OIDC IdP.

gcloud

זרימת קוד

כדי ליצור ספק OIDC שמשתמש בהרשאה באמצעות קוד לצורך כניסה לאינטרנט, מריצים את הפקודה הבאה:

gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
    --client-secret-value="OIDC_CLIENT_SECRET" \
    --web-sso-response-type="code" \
    --web-sso-assertion-claims-behavior="merge-user-info-over-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --detailed-audit-logging \
    --location=global

מחליפים את מה שכתוב בשדות הבאים:

  • WORKFORCE_PROVIDER_ID: מזהה ייחודי של ספק מאגר הזהויות של כוח העבודה. התוספת לשם המאפיין gcp- שמורה ואי אפשר להשתמש בה במזהה של מאגר זהויות של כוח עבודה או של ספק מאגר זהויות של כוח עבודה.
  • ‫WORKFORCE_POOL_ID: מזהה מאגר הזהויות של כוח העבודה שאליו רוצים לחבר את ה-IdP.
  • ‫DISPLAY_NAME: שם תצוגה ידידותי למשתמש בשביל הספק (לא חובה); לדוגמה, idp-eu-employees.
  • ‫DESCRIPTION: תיאור של ספק כוח העבודה (לא חובה), לדוגמה, IdP for Partner Example Organization employees.
  • ‫ISSUER_URI: ה-URI של מנפיק OIDC, בפורמט URI תקין שמתחיל ב-https. לדוגמה: https://example.com/oidc. הערה: מטעמי אבטחה, ISSUER_URI צריך להשתמש בסכמת HTTPS.
  • ‫OIDC_CLIENT_ID: מזהה הלקוח ב-OIDC שרשום ב-IdP של OIDC. המזהה צריך להיות תואם להצהרת aud של ה-JWT שמונפקת על ידי ה-IdP.
  • OIDC_CLIENT_SECRET: סוד הלקוח ב-OIDC.
  • ‫WEB_SSO_ADDITIONAL_SCOPES: היקפי הרשאות אופציונליים לשליחה ל-IdP של OIDC בשביל המסוף (איחוד) או בשביל כניסה באמצעות הדפדפן ל-CLI של gcloud.
  • ‫ATTRIBUTE_MAPPING: מיפוי מאפיינים. דוגמה למיפוי מאפיינים: 
    google.subject=assertion.oid
google.groups=assertion.groups,
attribute.costcenter=assertion.costcenter
     בדוגמה הזו, מאפייני ה-IdP‏ assertion.oid,‏ assertion.groups ו-assertion.costcenter בטענת הנכוֹנוּת (assertion) של OIDC ממופים למאפייני Google Cloud ‏ google.subject,‏ google.groups ו-attribute.costcenter, בהתאמה.
  • ‫ATTRIBUTE_CONDITION: תנאי של מאפיין, לדוגמה assertion.role == 'gcp-users'. התנאי לדוגמה הזה מבטיח שרק משתמשים עם התפקיד gcp-users יוכלו להיכנס באמצעות הספק הזה.
  • ‫JWK_JSON_PATH: נתיב אופציונלי למפתחות JWK ב-OIDC שהועלו באופן מקומי. אם לא מוסיפים את הפרמטר הזה,המערכת של Google Cloud תשתמש בנתיב /.well-known/openid-configuration של ה-IdP כדי למצוא את מפתחות ה-JWK שמכילים את המפתחות הציבוריים. מידע נוסף על מפתחות JWK ב-OIDC שמועלים באופן מקומי זמין במאמר ניהול מפתחות JWK ב-OIDC.

  • רישום מפורט ביומן הביקורת של איחוד שירותי אימות הזהות של כוח עבודה מתעד ב-Logging את המידע שהתקבל מה-IdP. רישום מפורט של ביקורת יכול לעזור לכם לפתור בעיות בהגדרות של ספק הזהויות של כוח העבודה. כדי ללמוד איך לפתור שגיאות במיפוי מאפיינים באמצעות יומן ביקורת מפורט, קראו את המאמר שגיאות כלליות במיפוי מאפיינים. למידע על התמחור של Logging, ראו תמחור של Google Cloud Observability.

    כדי להשבית את הרישום המפורט ביומן הביקורת של ספק מאגר זהויות של כוח עבודה, משמיטים את הדגל --detailed-audit-logging כשמריצים את הפקודה gcloud iam workforce-pools providers create. כדי להשבית את הרישום המפורט ביומן הביקורת, אתם יכולים גם לעדכן את הספק.

הדגל --web-sso-assertion-claims-behavior קובע איך ההצהרות של OIDC נכללות באובייקט assertion שמשמש למיפוי מאפיינים ולתנאי מאפיינים. בתהליך של הרשאה באמצעות קוד (--web-sso-response-type="code"), אפשר להגדיר את הדגל הזה לאחד מהערכים הבאים:

  • ‫merge-user-info-over-id-token-claims: מיזוג של ההצהרות מנקודת הקצה UserInfo של OIDC עם ההצהרות מהטוקן של המזהה. אם בשניהם מופיע אותו שם של טענה, הערך של הטענה UserInfo מקבל עדיפות. משתמשים בערך הזה כשספק הזהויות מחזיר מאפייני משתמשים נוספים או הצהרות קבוצה מנקודת הקצה UserInfo.
  • ‫only-id-token-claims: כולל רק הצהרות מטוקן של מזהה. משתמשים בערך הזה כשכל ההצהרות שנדרשות למיפויים ולתנאים של המאפיינים כבר קיימות בטוקן של מזהה.
בתשובה לפקודה, POOL_RESOURCE_NAME הוא שם המאגר. לדוגמה: locations/global/workforcePools/enterprise-example-organization-employees.

זרם הענקת גישה משתמע

כדי ליצור ספק זהויות של כוח עבודה ב-OIDC שמשתמש בזרם הענקת גישה משתמע בשביל כניסה לאינטרנט, מריצים את הפקודה הבאה:

gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
    --web-sso-response-type="id-token" \
    --web-sso-assertion-claims-behavior="only-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --detailed-audit-logging \
    --location=global

מחליפים את מה שכתוב בשדות הבאים:

  • WORKFORCE_PROVIDER_ID: מזהה ייחודי של ספק מאגר הזהויות של כוח העבודה. התוספת לשם המאפיין gcp- שמורה ואי אפשר להשתמש בה במזהה של מאגר זהויות של כוח עבודה או של ספק מאגר זהויות של כוח עבודה.
  • ‫WORKFORCE_POOL_ID: מזהה מאגר הזהויות של כוח העבודה שאליו רוצים לחבר את ה-IdP.
  • ‫DISPLAY_NAME: שם תצוגה ידידותי למשתמש בשביל הספק (לא חובה); לדוגמה, idp-eu-employees.
  • ‫DESCRIPTION: תיאור של ספק כוח העבודה (לא חובה), לדוגמה, IdP for Partner Example Organization employees.
  • ‫ISSUER_URI: ה-URI של מנפיק OIDC, בפורמט URI תקין שמתחיל ב-https. לדוגמה: https://example.com/oidc. הערה: מטעמי אבטחה, ISSUER_URI צריך להשתמש בסכמת HTTPS.
  • ‫OIDC_CLIENT_ID: מזהה הלקוח ב-OIDC שרשום ב-IdP של OIDC. המזהה צריך להיות תואם להצהרת aud של ה-JWT שמונפקת על ידי ה-IdP.
  • ‫WEB_SSO_ADDITIONAL_SCOPES: היקפי הרשאות אופציונליים לשליחה ל-IdP של OIDC בשביל המסוף (איחוד) או בשביל כניסה באמצעות הדפדפן ל-CLI של gcloud.
  • ‫ATTRIBUTE_MAPPING: מיפוי מאפיינים. דוגמה למיפוי מאפיינים: 
    google.subject=assertion.oid
google.groups=assertion.groups,
attribute.costcenter=assertion.costcenter
     בדוגמה הזו, המאפיינים assertion.oid,‏ assertion.groups ו-assertion.costcenter של ה-IdP בטענת הנכוֹנוּת (assertion) של OIDC ממופים למאפיינים google.subject,‏ google.groups ו-attribute.costcenter של Google Cloud , בהתאמה.
  • ‫ATTRIBUTE_CONDITION: תנאי של מאפיין, לדוגמה assertion.role == 'gcp-users'. התנאי לדוגמה הזה מבטיח שרק משתמשים עם התפקיד gcp-users יוכלו להיכנס באמצעות הספק הזה.
  • ‫JWK_JSON_PATH: נתיב אופציונלי למפתחות JWK ב-OIDC שהועלו באופן מקומי. אם לא מוסיפים את הפרמטר הזה,המערכת של Google Cloud תשתמש בנתיב /.well-known/openid-configuration של ה-IdP כדי למצוא את מפתחות ה-JWK שמכילים את המפתחות הציבוריים. למידע נוסף על מפתחות JWK של OIDC שהועלו באופן מקומי, אפשר לעיין במאמר ניהול מפתחות JWK של OIDC.

  • רישום מפורט ביומן הביקורת של איחוד שירותי אימות הזהות של כוח עבודה מתעד ב-Logging את המידע שהתקבל מה-IdP. רישום מפורט של ביקורת יכול לעזור לכם לפתור בעיות בהגדרות של ספק הזהויות של כוח העבודה. במאמר שגיאות כלליות במיפוי מאפיינים מוסבר איך לפתור בעיות במיפוי מאפיינים באמצעות רישום מפורט ביומן הביקורת. למידע על התמחור של Logging, ראו תמחור של Google Cloud Observability.

    כדי להשבית את הרישום המפורט ביומן הביקורת של ספק מאגר זהויות של כוח עבודה, משמיטים את הדגל --detailed-audit-logging כשמריצים את הפקודה gcloud iam workforce-pools providers create. כדי להשבית את הרישום המפורט ביומני הביקורת, אתם יכולים גם לעדכן את הספק.

במקרה של זרם הענקת גישה משתמע (--web-sso-response-type="id-token"), צריך להגדיר את הדגל --web-sso-assertion-claims-behavior לערך only-id-token-claims, שכולל רק הצהרות מאסימון המזהה באובייקט assertion. זרם הענקת הגישה המשתמע לא תומך בערך merge-user-info-over-id-token-claims.

בתשובה לפקודה, POOL_RESOURCE_NAME הוא שם המאגר. לדוגמה: locations/global/workforcePools/enterprise-example-organization-employees.

המסוף

זרימת קוד

  1. במסוף Google Cloud , נכנסים לדף Workforce Identity Pools:

    כניסה לדף Workforce Identity Pools

  2. בטבלה Workforce Identity Pools, בוחרים את המאגר שרוצים ליצור לו ספק.
  3. בקטע ספקים, לוחצים על הוספת ספק.
  4. ברשימה Select a Provider vendor (בחירת ספק), בוחרים את ספק ה-IdP.

    אם ספק הזהויות שלכם לא מופיע ברשימה, בוחרים באפשרות ספק זהויות כללי.

  5. בקטע Select an authentication protocol, בוחרים באפשרות OpenID Connect (OIDC).
  6. בקטע Create a provider, מבצעים את הפעולות הבאות:
    1. בקטע שם, מזינים את השם של הספק.
    2. בקטע Description, מזינים את התיאור של הספק.
    3. בשדה Issuer (URL), מזינים את ה-URI של המנפיק. ה-URI של מנפיק OIDC צריך להיות בפורמט URI תקין ולהתחיל ב-https. לדוגמה: https://example.com/oidc.
    4. בקטע Client ID (מזהה לקוח), מזינים את מזהה הלקוח ב-OIDC שרשום ב-IdP של OIDC. המזהה צריך להיות תואם להצהרת aud של ה-JWT שמונפקת על ידי ה-IdP.
    5. כדי ליצור פלאגין שמתממשק עם שירותים חיצוניים שמופעל, מוודאים שהאפשרות הפעלת פלאגין שמתממשק עם שירותים חיצוניים מופעלת.
    6. לוחצים על Continue.
  7. בקטע שיתוף פרטי הספק עם ספק הזהויות, מעתיקים את כתובת ה-URL. ב-IdP, מגדירים את כתובת ה-URL הזו בתור ה-URI להפניה אוטומטית, שמציין ל-IdP לאן לשלוח את אסימון טענת הנכוֹנוּת (assertion) אחרי ההתחברות.
  8. לוחצים על Continue.
  9. בקטע Configure OIDC Web Sign-in, מבצעים את הפעולות הבאות:
    1. ברשימה Flow type (סוג התהליך), בוחרים באפשרות Code (קוד).
    2. ברשימה Assertion claims behavior, בוחרים אחת מהאפשרויות הבאות:
      • פרטי משתמש וטוקן של מזהה: מיזוג הצהרות מנקודת הקצה UserInfo עם הצהרות מטוקן המזהה, עם עדיפות לערכי ההצהרה UserInfo עבור אותו שם הצהרה. בוחרים באפשרות הזו אם ספק הזהויות מחזיר מאפייני משתמש נוספים או טענות לגבי קבוצות מנקודת הקצה UserInfo.
      • רק טוקן של מזהה: כולל רק הצהרות מטוקן המזהה. בחרו באפשרות הזו אם כל ההצהרות שנדרשות לתנאים ולמיפויים של המאפיינים כבר קיימות בטוקן של מזהה.
    3. בשדה סוד לקוח, מזינים את סוד הלקוח מספק הזהויות.

    4. אופציונלי: אם בחרתם ב-Okta בתור ה-IdP, הוסיפו עוד היקפי הרשאות של OIDC בשדה היקפי הרשאות נוספים מעבר ל-openid, לפרופיל ולאימייל.
  10. לוחצים על Continue.
  11. בקטע Configure provider, לוחצים על המתג Enable attribute value audit logging בשביל Detailed logging.

    רישום מפורט של יומני ביקורת של איחוד שירותי אימות הזהות של כוח עבודה מתעד ב-Logging את המידע שהתקבל מה-IdP. יומני ביקורת מפורטים יכולים לעזור לכם לפתור בעיות בהגדרות של הספק של מאגר הזהויות של כוח העבודה. במאמר שגיאות כלליות במיפוי מאפיינים מוסבר איך לפתור בעיות במיפוי מאפיינים באמצעות רישום מפורט ביומן הביקורת. למידע על התמחור של Logging, ראו תמחור של Google Cloud Observability.

    כדי להשבית את יומן הביקורת המפורט של ספק מאגר הזהויות של כוח העבודה, משאירים את המתג Enable attribute value audit logging במצב כבוי כשיוצרים את הספק. כדי להשבית את הרישום המפורט ביומני הביקורת, אתם יכולים גם לעדכן את הספק.

  12. כדי ליצור את הספק, לוחצים על Submit (שליחה).

אחרי שיוצרים את הספק, המערכת מפנה לדף המאפיינים של הספק.

כדי להגדיר מיפויים ותנאים של מאפיינים:

  1. כשמוצגת בקשה, נכנסים ל-IdP החיצוני כדי לאמת את מיפויי המאפיינים שמוגדרים כברירת מחדל.
  2. בדף המאפיינים של הספק, אפשר לראות ולערוך את מיפויי המאפיינים והתנאים:
    1. כדי להוסיף או לערוך מיפוי מאפיינים:
      1. לוחצים על הוספת מיפוי כדי להוסיף מיפוי חדש, או עורכים את המיפויים הקיימים.
      2. בשדה Google n, כאשר n הוא מספר, בוחרים מפתח שנתמך על ידי Google Cloud.
      3. בשדה OIDC n התואם, מזינים את שם המאפיין של ספק הזהויות או ביטוי CEL.
    2. כדי להוסיף תנאי מאפיין:
      1. לוחצים על הוספת תנאי.
      2. בשדה Attribute Conditions, מזינים תנאי בפורמט CEL, לדוגמה assertion.role == 'gcp-users'. התנאי לדוגמה הזה מבטיח שרק משתמשים עם התפקיד gcp-users יוכלו להיכנס באמצעות הספק הזה.
  3. כדי לאמת את המיפויים, לוחצים על Save and refetch token.
  4. כדי להשלים את ההגדרה, לוחצים על שמירה ויציאה.

זרם הענקת גישה משתמע

  1. במסוף Google Cloud , עוברים לדף Workforce Identity Pools:

    כניסה לדף Workforce Identity Pools

  2. בטבלה Workforce Identity Pools, בוחרים את המאגר שרוצים ליצור לו ספק.
  3. בקטע ספקים, לוחצים על הוספת ספק.
  4. ברשימה Select a Provider vendor (בחירת ספק), בוחרים את ספק ה-IdP.

    אם ספק הזהויות שלכם לא מופיע ברשימה, בוחרים באפשרות ספק זהויות כללי.

  5. בקטע Select an authentication protocol, בוחרים באפשרות OpenID Connect (OIDC).
  6. בקטע Create a provider, מבצעים את הפעולות הבאות:
    1. בקטע שם, מזינים את השם של הספק.
    2. בקטע Description, מזינים את התיאור של הספק.
    3. בשדה Issuer (URL), מזינים את ה-URI של המנפיק. ה-URI של מנפיק OIDC צריך להיות בפורמט URI תקין ולהתחיל ב-https. לדוגמה: https://example.com/oidc.
    4. בקטע Client ID (מזהה לקוח), מזינים את מזהה הלקוח ב-OIDC שרשום ב-IdP של OIDC. המזהה צריך להיות תואם להצהרת aud של ה-JWT שמונפקת על ידי ה-IdP.
    5. כדי ליצור פלאגין שמתממשק עם שירותים חיצוניים שמופעל, מוודאים שהאפשרות הפעלת פלאגין שמתממשק עם שירותים חיצוניים מופעלת.
    6. לוחצים על Continue.
  7. בקטע שיתוף פרטי הספק עם ספק הזהויות, מעתיקים את כתובת ה-URL. ב-IdP, מגדירים את כתובת ה-URL הזו כ-URI להפניה אוטומטית, כדי שה-IdP יידע לאן לשלוח את אסימון הנכוֹנוּת (assertion) אחרי הכניסה.
  8. לוחצים על Continue.
  9. בקטע Configure OIDC Web Sign-in, מבצעים את הפעולות הבאות:
    1. ברשימה Flow type, בוחרים באפשרות טוקן של מזהה.
    2. ברשימה Assertion claims behavior (התנהגות של הצהרות על טענות), האפשרות טוקן של מזהה מסומנת.
    3. אופציונלי: אם בחרתם ב-Okta בתור ה-IdP, הוסיפו עוד היקפי הרשאות של OIDC בשדה Additional scopes beyond openid, profile, and email.
  10. לוחצים על Continue.
  11. בקטע Configure provider, בקטע Detailed logging, לוחצים על המתג Enable attribute value audit logging.

    רישום מפורט ביומן הביקורת של איחוד שירותי אימות הזהות של כוח עבודה מתעד ב-Logging את המידע שהתקבל מה-IdP. רישום מפורט של ביקורת יכול לעזור לכם לפתור בעיות בהגדרות של ספק הזהויות של כוח העבודה. במאמר שגיאות כלליות במיפוי מאפיינים מוסבר איך לפתור בעיות במיפוי מאפיינים באמצעות יומן ביקורת מפורט. למידע על התמחור של Logging, ראו תמחור של Google Cloud Observability.

    כדי להשבית את יומן הביקורת המפורט של ספק מאגר הזהויות של כוח העבודה, משאירים את המתג Enable attribute value audit logging במצב מושבת כשיוצרים את הספק. כדי להשבית את הרישום המפורט ביומני הביקורת, אתם יכולים גם לעדכן את הספק.

  12. כדי ליצור את הספק, לוחצים על Submit (שליחה).

אחרי שיוצרים את הספק, המערכת מפנה לדף המאפיינים של הספק.

כדי להגדיר מיפויים ותנאים של מאפיינים:

  1. כשמוצגת בקשה, נכנסים ל-IdP החיצוני כדי לאמת את מיפויי המאפיינים שמוגדרים כברירת מחדל.
  2. בדף המאפיינים של הספק, אפשר לראות ולערוך את מיפויי המאפיינים והתנאים:
    1. כדי להוסיף או לערוך מיפוי מאפיינים:
      1. לוחצים על הוספת מיפוי כדי להוסיף מיפוי חדש, או עורכים את המיפויים הקיימים.
      2. בשדה Google n, כאשר n הוא מספר, בוחרים מפתח שנתמך על ידי Google Cloud.
      3. בשדה OIDC n התואם, מזינים את שם המאפיין של ספק הזהויות או ביטוי CEL.
    2. כדי להוסיף תנאי למאפיין, מבצעים את הפעולות הבאות:
      1. לוחצים על הוספת תנאי.
      2. בשדה Attribute Conditions, מזינים תנאי בפורמט CEL, לדוגמה assertion.role == 'gcp-users'. התנאי הזה מבטיח שרק משתמשים עם התפקיד gcp-users יוכלו להיכנס באמצעות הספק הזה.
  3. כדי לאמת את המיפויים, לוחצים על Save and refetch token.
  4. כדי להשלים את ההגדרה, לוחצים על שמירה ויציאה.

יצירת ספק SAML

כאן מוסבר איך ליצור ספק מאגר זהויות של כוח עבודה בספק זהויות ב-SAML.

gcloud

כדי ליצור את הספק, מריצים את הפקודה הבאה:

gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
    --workforce-pool="WORKFORCE_POOL_ID" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --idp-metadata-path="XML_METADATA_PATH" \
    --detailed-audit-logging \
    --location="global"

מחליפים את מה שכתוב בשדות הבאים:

  • ‫WORKFORCE_PROVIDER_ID: המזהה של ספק כוח העבודה
  • ‫WORKFORCE_POOL_ID: מזהה מאגר כוח העבודה

  • ‫ATTRIBUTE_MAPPING: מיפוי מאפיינים. לדוגמה, כדי למפות נושא, המיפוי מתבצע כך:

    
google.subject=assertion.subject,
google.groups=assertion.attributes['https://example.com/aliases'],
attribute.department=assertion.attributes.department[0]

  • ‫ATTRIBUTE_CONDITION: תנאי של מאפיין (לא חובה); לדוגמה, assertion.subject.endsWith("@example.com")

  • ‫XML_METADATA_PATH: הנתיב לקובץ המטא-נתונים בפורמט XML מה-IdP

התוספת לשם המאפיין gcp- שמורה ואי אפשר להשתמש בה במזהה של מאגר זהויות של כוח עבודה או של ספק מאגר זהויות של כוח עבודה.

הפקודה הזו מקצה את הנושא ואת המחלקה בטענת הנכונות (assertion) של SAML למאפיינים google.subject ו-attribute.department, בהתאמה. בנוסף, התנאי של המאפיין מבטיח שרק משתמשים עם נושא שמסתיים ב-@example.com יוכלו להיכנס באמצעות ספק כוח העבודה הזה.

איחוד שירותי אימות הזהות של כוח עבודה מבצע רישום מפורט ביומן הביקורת של מידע שמתקבל מ-IdP ב-Logging. יומני ביקורת מפורטים יכולים לעזור לכם לפתור בעיות בהגדרות של הספק של מאגר הזהויות של כוח העבודה. כדי ללמוד איך לפתור שגיאות במיפוי מאפיינים באמצעות יומן ביקורת מפורט, קראו את המאמר שגיאות כלליות במיפוי מאפיינים. למידע על התמחור של Logging, ראו תמחור של Google Cloud Observability.

כדי להשבית את הרישום המפורט ביומן הביקורת של ספק מאגר זהויות של כוח עבודה, משמיטים את הדגל --detailed-audit-logging כשמריצים את הפקודה gcloud iam workforce-pools providers create. כדי להשבית את הרישום המפורט ביומני הביקורת, אתם יכולים גם לעדכן את הספק.

המסוף

כדי להגדיר ספק שתומך ב-SAML באמצעות מסוף Google Cloud :

  1. במסוף Google Cloud , נכנסים לדף Workforce Identity Pools:

    כניסה לדף Workforce Identity Pools

  2. בטבלה Workforce Identity Pools (מאגרי זהויות של כוח עבודה), בוחרים את המאגר שרוצים ליצור עבורו את הפלאגין שמתממשק עם שירותים חיצוניים.
  3. בקטע ספקים, לוחצים על הוספת ספק.
  4. ברשימה Select a Provider vendor (בחירת ספק), בוחרים את ספק ה-IdP.

    אם ספק הזהויות שלכם לא מופיע ברשימה, בוחרים באפשרות ספק זהויות כללי.

  5. בקטע Select an authentication protocol, בוחרים באפשרות SAML.
  6. בקטע Create a provider, מבצעים את הפעולות הבאות:
    1. בשדה שם, מזינים שם לספק.
    2. אופציונלי: בשדה Description, מזינים תיאור לספק.
    3. בקטע IDP metadata file (XML) (קובץ מטא-נתונים של IdP‏ (XML)), בוחרים את קובץ ה-XML של המטא-נתונים שיצרתם קודם במדריך הזה.
    4. כדי ליצור פלאגין שמתממשק עם שירותים חיצוניים שמופעל, מוודאים שהאפשרות הפעלת פלאגין שמתממשק עם שירותים חיצוניים מופעלת.
    5. לוחצים על Continue.
  7. בקטע Share your provider information, מעתיקים את כתובות ה-URL. ב-IdP, מגדירים את כתובת ה-URL הראשונה כמזהה הישות, שמזהה את האפליקציה ב-IdP. מגדירים את כתובת ה-URL השנייה בתור ה-URI להפניה אוטומטית, שמציין ל-IdP לאן לשלוח את אסימון ההצהרה אחרי הכניסה.
  8. לוחצים על Continue.
  9. בקטע Configure provider (הגדרת ספק), בקטע Detailed logging (רישום מפורט ביומן), לוחצים על המתג Enable attribute value audit logging (הפעלת רישום ביומן של ביקורת על ערכי מאפיינים).

    איחוד שירותי אימות הזהות של כוח עבודה מבצע רישום מפורט ביומן הביקורת של מידע שמתקבל מ-IdP ב-Logging. יומני ביקורת מפורטים יכולים לעזור לכם לפתור בעיות בהגדרות של הספק של מאגר הזהויות של כוח העבודה. במאמר שגיאות כלליות במיפוי מאפיינים מוסבר איך לפתור בעיות במיפוי מאפיינים באמצעות יומן ביקורת מפורט. למחירון של Google Cloud Observability

    כדי להשבית את יומן הביקורת המפורט של ספק מאגר הזהויות של כוח העבודה, משאירים את המתג Enable attribute value audit logging במצב כבוי כשיוצרים את הספק. כדי להשבית את הרישום המפורט ביומני הביקורת, אתם יכולים גם לעדכן את הספק.

  10. כדי ליצור את הספק, לוחצים על Submit.

אחרי שיוצרים את הספק, המערכת מפנה לדף המאפיינים של הספק.

כדי להגדיר מיפויים ותנאים של מאפיינים:

  1. כשמוצגת בקשה, נכנסים ל-IdP החיצוני כדי לאמת את מיפויי ברירת המחדל של המאפיינים.
  2. בדף המאפיינים של הספק, אפשר לראות ולערוך את מיפויי המאפיינים והתנאים:
    1. כדי להוסיף או לערוך מיפוי מאפיינים:
      1. לוחצים על הוספת מיפוי כדי להוסיף מיפוי חדש, או עורכים את המיפויים הקיימים.
      2. בשדה Google n, כאשר n הוא מספר, בוחרים מפתח Google Cloud נתמך.
      3. בשדה SAML n המתאים, מזינים את שם המאפיין של ה-IdP או ביטוי CEL, לדוגמה:
        ‫
        google.subject=assertion.subject
attribute.costcenter=assertion.attributes.costcenter[0]
         בדוגמה הזו, מאפיין ה-IdP‏ assertion.subject ממופה ל-google.subject ומאפיין ה-IdP‏ assertion.attributes.costcenter[0] ממופה ל-attribute.costcenter.
    2. כדי להוסיף תנאי למאפיין:
      1. לוחצים על הוספת תנאי.
      2. בשדה Attribute Conditions, מזינים תנאי בפורמט CEL. לדוגמה, כדי להגביל את המאפיין ipaddr לטווח מסוים של כתובות IP, אפשר ליצור את התנאי assertion.attributes.ipaddr.startsWith('98.11.12.'). התנאי הזה מבטיח שרק משתמשים עם כתובת IP שמתחילה ב-98.11.12. יוכלו להיכנס באמצעות ספק הזהויות הזה לכוח העבודה.
  3. כדי לאמת את המיפויים, לוחצים על Save and refetch token.
  4. כדי להשלים את ההגדרה, לוחצים על שמירה ויציאה.

צפייה בפרטי הספק

gcloud

כדי לראות את הפרטים של ספק, מריצים את הפקודה הבאה:

gcloud iam workforce-pools providers describe PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROVIDER_ID: מזהה הספק
  • ‫WORKFORCE_POOL_ID: מזהה מאגר כוח העבודה

המסוף

כדי לראות את פרטי הספק ולאמת את מיפוי מאפייני האסימונים שלו:

  1. נכנסים לדף Workforce Identity Pools במסוף Google Cloud :

    כניסה לדף Workforce Identity Pools

  2. בטבלה, בוחרים את המאגר שרוצים לראות את הספק שלו.

  3. בטבלה Providers (ספקים), בוחרים את הספק.

    נפתחת החלונית Provider details ומוצגים בה ההגדרות של הספק וסיכום של Attributes.

  4. אופציונלי: עבור ספק מופעל, כדי לבדוק הצהרות מוערכות, מיפויי מאפיינים ומאפיינים נוספים של Entra ID עבור Microsoft Entra ID, לוחצים על ניפוי באגים של אסימון IdP ואז נכנסים ל-IdP החיצוני כשמוצגת בקשה לעשות את זה.

הצגת רשימה של ספקים

gcloud

כדי להציג רשימת ספקים, מריצים את הפקודה הבאה:

gcloud iam workforce-pools providers list \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

מחליפים את WORKFORCE_POOL_ID במזהה מאגר כוח העבודה.

המסוף

כדי להציג רשימת ספקים:

  1. במסוף Google Cloud , עוברים לדף Workforce Identity Pools:

    כניסה לדף Workforce Identity Pools

  2. בטבלה, בוחרים את המאגר שרוצים להציג את הספקים שלו.

  3. בטבלה ספקים, מעיינים ברשימת הספקים.

עדכון ספק

gcloud

כדי לעדכן ספק OIDC אחרי שיוצרים אותו, מריצים את הפקודה הבאה:

gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --description="DESCRIPTION" \
    --detailed-audit-logging \
    --location=global

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROVIDER_ID: מזהה הספק
  • ‫WORKFORCE_POOL_ID: מזהה מאגר כוח העבודה
  • ‫DESCRIPTION: התיאור
  • כדי להפעיל רישום מפורט ביומן הביקורת, מוסיפים את הדגל --detailed-audit-logging ל-gcloud iam workforce-pools providers update. כדי להשבית את הרישום המפורט ביומני הביקורת, מוסיפים את הדגל --no-detailed-audit-logging לפקודת העדכון.

המסוף

כדי לעדכן ספק:

  1. נכנסים לדף Workforce Identity Pools במסוף Google Cloud :

    כניסה לדף Workforce Identity Pools

  2. בטבלה, בוחרים את המאגר שרוצים לעדכן את הספק שלו.

  3. בטבלה Providers, לוחצים על  Edit provider ליד הספק שרוצים לעדכן.

  4. מעדכנים את השם המוצג, התיאור, הסטטוס או הגדרות ה-OIDC של הספק, כמו מנפיק (כתובת URL), מזהה לקוח, סוג תגובה או סוד הלקוח (בלחיצה על עריכת סוד הלקוח), ואז לוחצים על שמירה.

  5. אופציונלי: כדי לראות או לערוך את מיפויי המאפיינים והתנאים:

    1. בקטע Provider attributes לוחצים על Configure attributes.

    2. כשמוצגת בקשה, נכנסים לספק הזהויות החיצוני.

    3. בדף המאפיינים של הספק, אפשר לראות ולערוך את המיפויים, המאפיינים הנוספים או התנאים:

      • כדי להוסיף או לערוך מיפויים, לוחצים על הוספת מיפוי ומזינים את המפתחות והערכים. פרטים נוספים זמינים במאמר בנושא מיפוי מאפיינים.

      • כדי להוסיף או לערוך תנאים, לוחצים על Add condition ומזינים ביטוי CEL. למידע נוסף, קראו את המאמר תנאים של מאפיינים.

      להוראות המלאות, קראו את המאמר הגדרת איחוד שירותי אימות הזהות של כוח עבודה.

    4. כדי לאמת את המיפויים, לוחצים על Save and refetch token (שמירה ואחזור מחדש של הטוקן).

    5. כדי להשלים את העדכון, לוחצים על שמירה ויציאה.

מחיקת ספק

gcloud

כדי למחוק ספק, מריצים את הפקודה הבאה:

gcloud iam workforce-pools providers delete PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROVIDER_ID: מזהה הספק
  • ‫WORKFORCE_POOL_ID: מזהה מאגר כוח העבודה

המסוף

כדי למחוק ספק:

  1. נכנסים לדף Workforce Identity Pools במסוף Google Cloud :

    כניסה לדף Workforce Identity Pools

  2. בטבלה, בוחרים את המאגר שמכיל את הספק שרוצים למחוק.

  3. בטבלה Providers, לוחצים על  Delete provider ליד הספק שרוצים למחוק, ופועלים לפי ההנחיות לאישור.

ביטול מחיקת ספק

כדי לבטל מחיקה של ספק שנמחק במהלך 30 הימים האחרונים, מריצים את הפקודה הבאה:

gcloud iam workforce-pools providers undelete PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROVIDER_ID: מזהה הספק
  • ‫WORKFORCE_POOL_ID: מזהה מאגר כוח העבודה

ניהול מפתחות JWK של OIDC

בקטע הזה מוסבר איך לנהל מפתחות JWKS של OIDC עבור ספקים של מאגר זהויות של כוח עבודה.

יצירת הספק והעלאה של מפתחות JWKs של OIDC

כדי ליצור מפתחות JWK של OIDC, אפשר לעיין במאמר הטמעה של JWT,‏ JWS,‏ JWE,‏ JWK ו-JWA.

כדי להעלות קובץ מפתח JWK ב-OIDC כשיוצרים ספק של מאגר זהויות של כוח עבודה, מריצים את הפקודה gcloud iam workforce-pools providers create-oidc עם הפרמטרים --jwk-json-path="JWK_JSON_PATH". מחליפים את הערך של JWK_JSON_PATH בנתיב שלכם לקובץ מפתחות ה-JWK ב-JSON.

הפעולה הזו מעלה את המפתחות מהקובץ.

עדכון מפתחות JWK ב-OIDC

כדי לעדכן את מפתחות JWK ב-OIDC, מפעילים את הפקודה gcloud iam workforce-pools providers update-oidc עם הפרמטרים --jwk-json-path="JWK_JSON_PATH". מחליפים את הערך של JWK_JSON_PATH בנתיב שלכם לקובץ מפתחות ה-JWK ב-JSON.

הפעולה הזו מחליפה מפתחות העלאה קיימים עם המפתחות שבקובץ.

מחיקה של כל מפתחות ה-JWK של OIDC שהועלו

כדי למחוק את כל מפתחות ה-JWK של OIDC שהועלו ולהשתמש במקום זאת ב-URI של המנפיק כדי לאחזר את המפתחות, מריצים את הפקודה gcloud iam workforce-pools providers update-oidc עם הפרמטרים --jwk-json-path="JWK_JSON_PATH". מחליפים את הערך ב-JWK_JSON_PATH בנתיב לקובץ ריק. משתמשים בדגל --issuer-uri כדי להגדיר את ה-URI של המנפיק.

הפעולה הזו תמחק את כל מפתחות ההעלאה הקיימים.

המאמרים הבאים