Kelola penyedia workforce identity pool

Dengan Workforce Identity Federation, Anda dapat menghubungkan penyedia identitas (IdP) eksternal ke Google Cloud sehingga tenaga kerja Anda dapat mengautentikasi dan mengakses resource. Seiring berkembangnya direktori, Anda dapat memperbarui pool dan penyedia untuk mengubah setelan IdP, menyempurnakan pemetaan dan kondisi atribut, serta mengelola JSON Web Key (JWK) OpenID Connect (OIDC) yang diupload secara lokal.

Untuk menyiapkan penggabungan sebelum mengelola pool dan penyedia, konfigurasikan Workforce Identity Federation dengan Microsoft Entra ID, Okta, atau IdP yang mendukung OIDC atau SAML.

Sebelum memulai

  1. Anda harus menyiapkan organisasi Google Cloud .

  2. Instal Google Cloud CLI. Setelah penginstalan, lakukan inisialisasi Google Cloud CLI dengan menjalankan perintah berikut: 

    gcloud init

    Jika Anda menggunakan penyedia identitas (IdP) eksternal, Anda harus login ke gcloud CLI dengan identitas gabungan Anda terlebih dahulu.

Mengelola kumpulan

Bagian ini menunjukkan cara mengelola workforce identity pool.

Buat kumpulan

Untuk membuat workforce pool, jalankan perintah berikut:

gcloud

Untuk membuat workforce identity pool, jalankan perintah berikut:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Ganti kode berikut:

  • WORKFORCE_POOL_ID: ID yang Anda pilih untuk mewakili workforce pool Google Cloud Anda. ID pool harus unik secara global di semua workforce identity pool di Google Cloud. Untuk mengetahui informasi tentang cara memformat ID, lihat bagian Parameter kueri dalam dokumentasi API.
  • ORGANIZATION_ID: ID organisasi numerik organisasi Google Cloud Anda untuk workforce identity pool. Workforce identity pool tersedia di semua project dan folder dalam organisasi.
  • DISPLAY_NAME: Opsional. Nama tampilan untuk workforce identity pool Anda.
  • DESCRIPTION: Opsional. Deskripsi workforce identity pool.
  • SESSION_DURATION: Opsional. Durasi sesi, yang dinyatakan sebagai angka yang ditambahkan dengan s—misalnya, 3600s. Durasi sesi menentukan durasi validnya token akses Google Cloud , sesi login konsol (gabungan), dan sesi login gcloud CLI dari workforce pool ini. Durasi sesi ditetapkan secara default ke satu jam (3600 detik). Nilai durasi sesi harus antara 15 menit (900 detik) dan 12 jam (43.200 detik).

Konsol

Untuk membuat workforce identity pool, lakukan hal berikut:

  1. Di konsol Google Cloud , buka halaman Workforce Identity Pools:

    Buka Workforce Identity Pools

  2. Pilih organisasi untuk workforce identity pool Anda. Kumpulan identitas tenaga kerja tersedia di semua project dan folder dalam organisasi.

  3. Klik Buat pool dan lakukan tindakan berikut:

    1. Di kolom Name, masukkan nama tampilan pool. ID pool otomatis diambil dari nama saat Anda mengetik, dan ditampilkan di bawah kolom Name. Anda dapat memperbarui ID pool dengan mengklik Edit di samping ID pool.

    2. Opsional: Di Deskripsi, masukkan deskripsi pool.

    3. Untuk membuat workforce identity pool, klik Berikutnya.

Durasi sesi workforce identity pool ditetapkan secara default ke satu jam (3600 detik). Durasi sesi menentukan durasi validnya token akses Google Cloud , konsol (gabungan), dan sesi login gcloud CLI dari workforce pool ini. Setelah membuat pool, Anda dapat memperbarui pool untuk menetapkan durasi sesi kustom. Durasi sesi harus antara 15 menit (900 detik) hingga 12 jam (43200 detik).

Melihat detail kumpulan

gcloud

Untuk melihat detail workforce pool tertentu menggunakan gcloud CLI, jalankan perintah berikut:

gcloud iam workforce-pools describe WORKFORCE_POOL_ID \
    --location=global

Ganti WORKFORCE_POOL_ID dengan ID workforce pool yang Anda pilih ketika Anda membuat pool.

Konsol

Untuk melihat detail workforce pool tertentu menggunakan konsol Google Cloud , lakukan hal berikut:

  1. Di konsol Google Cloud , buka halaman Workforce Identity Pools:

    Buka Workforce Identity Pools

  2. Di Workforce pool, pilih pool.

    Konsol Google Cloud menampilkan detail pool, termasuk ID, deskripsi, status, akun utama Identity and Access Management (IAM), log, dan penyedia yang dikonfigurasi.

Mencantumkan pool

gcloud

Untuk mencantumkan workforce pool di organisasi, jalankan perintah berikut:

gcloud iam workforce-pools list \
    --organization=ORGANIZATION_ID \
    --location=global

Ganti ORGANIZATION_ID dengan ID organisasi Anda.

Konsol

Untuk mencantumkan workforce pool menggunakan konsol Google Cloud , lakukan hal berikut:

  1. Di konsol Google Cloud , buka halaman Workforce Identity Pools:

    Buka Workforce Identity Pools

  2. Pada tabel, lihat daftar pool.

Memperbarui pool

gcloud

Untuk memperbarui workforce pool tertentu, jalankan perintah berikut:

gcloud iam workforce-pools update WORKFORCE_POOL_ID \
    --description="DESCRIPTION" \
    --location=global

Ganti kode berikut:

  • WORKFORCE_POOL_ID: ID workforce pool
  • DESCRIPTION: deskripsi pool

Konsol

Untuk memperbarui workforce pool tertentu menggunakan konsol Google Cloud , lakukan hal berikut:

  1. Di konsol Google Cloud , buka halaman Workforce Identity Pools:

    Buka Workforce Identity Pools

  2. Pada tabel, pilih pool.

  3. Klik  Edit, perbarui parameter kumpulan, lalu klik Save.

Menghapus pool

gcloud

Untuk menghapus workforce identity pool, jalankan perintah berikut:

gcloud iam workforce-pools delete WORKFORCE_POOL_ID \
    --location=global

Ganti WORKFORCE_POOL_ID dengan ID workforce pool.

Konsol

Untuk menghapus workforce pool tertentu menggunakan konsol Google Cloud , lakukan hal berikut:

  1. Di konsol Google Cloud , buka halaman Workforce Identity Pools:

    Buka Workforce Identity Pools

  2. Di Workforce pools, klik  Delete pada pool yang ingin Anda hapus.

  3. Ikuti petunjuk tambahan.

Membatalkan penghapusan pool

Anda dapat membatalkan penghapusan workforce identity pool yang sudah dihapus dalam 30 hari.

Untuk membatalkan penghapusan pool, jalankan perintah berikut:

gcloud iam workforce-pools undelete WORKFORCE_POOL_ID \
    --location=global

Ganti WORKFORCE_POOL_ID dengan ID workforce pool.

Mengonfigurasi penyedia dalam workforce pool

Bagian ini menjelaskan cara mengonfigurasi penyedia workforce identity pool menggunakan gcloud CLI dan konsol Google Cloud .

Membuat penyedia OIDC

Bagian ini menjelaskan cara membuat penyedia workforce identity pool untuk IdP OIDC.

gcloud

Alur kode

Untuk membuat penyedia OIDC yang menggunakan alur kode otorisasi untuk login web, jalankan perintah berikut:

gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
    --client-secret-value="OIDC_CLIENT_SECRET" \
    --web-sso-response-type="code" \
    --web-sso-assertion-claims-behavior="merge-user-info-over-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --detailed-audit-logging \
    --location=global

Ganti kode berikut:

  • WORKFORCE_PROVIDER_ID: ID penyedia workforce identity pool yang unik. Awalan gcp- dicadangkan dan tidak dapat digunakan dalam ID workforce identity pool atau ID penyedia workforce identity pool.
  • WORKFORCE_POOL_ID: ID workforce identity pool yang akan dihubungkan dengan IdP Anda.
  • DISPLAY_NAME: Nama tampilan opsional yang mudah digunakan untuk penyedia; misalnya, idp-eu-employees.
  • DESCRIPTION: Deskripsi penyedia workforce opsional; misalnya, IdP for Partner Example Organization employees.
  • ISSUER_URI: URI penyedia OIDC, dalam format URI yang valid, yang diawali dengan https; misalnya, https://example.com/oidc. Catatan: Untuk alasan keamanan, ISSUER_URI harus menggunakan skema HTTPS.
  • OIDC_CLIENT_ID: ID klien OIDC yang terdaftar dengan IdP OIDC Anda; ID harus cocok dengan klaim aud JWT yang dikeluarkan oleh IdP Anda.
  • OIDC_CLIENT_SECRET: Rahasia klien OIDC.
  • WEB_SSO_ADDITIONAL_SCOPES: Cakupan tambahan opsional yang akan dikirim ke IdP OIDC untuk login berbasis browser konsol (federasi) atau gcloud CLI.
  • ATTRIBUTE_MAPPING: Pemetaan atribut. Berikut adalah contoh pemetaan atribut: 
    google.subject=assertion.oid
google.groups=assertion.groups,
attribute.costcenter=assertion.costcenter
     Contoh ini memetakan atribut IdP assertion.oid, assertion.groups, dan assertion.costcenter dalam pernyataan OIDC ke atribut Google Cloud google.subject, google.groups, dan attribute.costcenter.
  • ATTRIBUTE_CONDITION: Kondisi atribut; misalnya, assertion.role == 'gcp-users'. Contoh kondisi ini memastikan bahwa hanya pengguna dengan peran gcp-users yang dapat login menggunakan penyedia ini.
  • JWK_JSON_PATH: Jalur opsional ke JWK OIDC yang diupload secara lokal. Jika parameter ini tidak disediakan, Google Cloud akan menggunakan jalur /.well-known/openid-configuration IdP Anda untuk mendapatkan JWK yang berisi kunci publik. Untuk mengetahui informasi selengkapnya tentang JWK OIDC yang diupload secara lokal, lihat mengelola JWK OIDC.

  • Logging audit mendetail Workforce Identity Federation mencatat informasi yang diterima dari IdP Anda ke Logging. Logging audit yang mendetail dapat membantu Anda memecahkan masalah konfigurasi penyedia workforce identity pool. Untuk mempelajari cara memecahkan masalah error pemetaan atribut dengan logging audit mendetail, lihat Error pemetaan atribut umum. Untuk mempelajari harga Logging, lihat Harga Google Cloud Observability.

    Untuk menonaktifkan logging audit mendetail bagi penyedia workforce identity pool, hapus flag --detailed-audit-logging saat Anda menjalankan gcloud iam workforce-pools providers create. Untuk menonaktifkan logging audit mendetail, Anda juga dapat memperbarui penyedia.

Flag --web-sso-assertion-claims-behavior mengontrol cara klaim OIDC disertakan dalam objek assertion yang digunakan untuk pemetaan atribut dan kondisi atribut. Untuk alur kode otorisasi (--web-sso-response-type="code"), Anda dapat menetapkan flag ini ke salah satu nilai berikut:

  • merge-user-info-over-id-token-claims: Menggabungkan klaim dari endpoint UserInfo OIDC dengan klaim dari token ID. Jika keduanya berisi nama klaim yang sama, nilai klaim UserInfo akan diprioritaskan. Gunakan nilai ini saat IdP Anda menampilkan atribut pengguna tambahan atau klaim grup dari endpoint UserInfo.
  • only-id-token-claims: Hanya menyertakan klaim dari token ID. Gunakan nilai ini jika semua klaim yang diperlukan untuk pemetaan dan kondisi atribut Anda sudah ada dalam token ID.
Dalam respons perintah, POOL_RESOURCE_NAME adalah nama pool; misalnya, locations/global/workforcePools/enterprise-example-organization-employees.

Alur implisit

Untuk membuat penyedia workforce identity pool OIDC yang menggunakanalur implisit untuk login web, jalankan perintah berikut:

gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
    --web-sso-response-type="id-token" \
    --web-sso-assertion-claims-behavior="only-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --detailed-audit-logging \
    --location=global

Ganti kode berikut:

  • WORKFORCE_PROVIDER_ID: ID penyedia workforce identity pool yang unik. Awalan gcp- dicadangkan dan tidak dapat digunakan dalam ID workforce identity pool atau ID penyedia workforce identity pool.
  • WORKFORCE_POOL_ID: ID workforce identity pool yang akan dihubungkan dengan IdP Anda.
  • DISPLAY_NAME: Nama tampilan opsional yang mudah digunakan untuk penyedia; misalnya, idp-eu-employees.
  • DESCRIPTION: Deskripsi penyedia workforce opsional; misalnya, IdP for Partner Example Organization employees.
  • ISSUER_URI: URI penyedia OIDC, dalam format URI yang valid, yang diawali dengan https; misalnya, https://example.com/oidc. Catatan: Untuk alasan keamanan, ISSUER_URI harus menggunakan skema HTTPS.
  • OIDC_CLIENT_ID: ID klien OIDC yang terdaftar dengan IdP OIDC Anda; ID harus cocok dengan klaim aud JWT yang dikeluarkan oleh IdP Anda.
  • WEB_SSO_ADDITIONAL_SCOPES: Cakupan tambahan opsional yang akan dikirim ke IdP OIDC untuk login berbasis browser konsol (federasi) atau gcloud CLI.
  • ATTRIBUTE_MAPPING: Pemetaan atribut. Berikut adalah contoh pemetaan atribut: 
    google.subject=assertion.oid
google.groups=assertion.groups,
attribute.costcenter=assertion.costcenter
     Contoh ini memetakan atribut IdP assertion.oid, assertion.groups, dan assertion.costcenter dalam pernyataan OIDC ke atribut Google Cloud google.subject, google.groups, dan attribute.costcenter.
  • ATTRIBUTE_CONDITION: Kondisi atribut; misalnya, assertion.role == 'gcp-users'. Contoh kondisi ini memastikan bahwa hanya pengguna dengan peran gcp-users yang dapat login menggunakan penyedia ini.
  • JWK_JSON_PATH: Jalur opsional ke JWK OIDC yang diupload secara lokal. Jika parameter ini tidak disediakan, Google Cloud akan menggunakan jalur /.well-known/openid-configuration IdP Anda untuk mendapatkan JWK yang berisi kunci publik. Untuk mengetahui informasi selengkapnya tentang JWK OIDC yang diupload secara lokal, lihat mengelola JWK OIDC.

  • Logging audit mendetail Workforce Identity Federation mencatat informasi yang diterima dari IdP Anda ke Logging. Logging audit yang mendetail dapat membantu Anda memecahkan masalah konfigurasi penyedia workforce identity pool. Untuk mempelajari cara memecahkan masalah error pemetaan atribut dengan logging audit mendetail, lihat Error pemetaan atribut umum. Untuk mempelajari harga Logging, lihat Harga Google Cloud Observability.

    Untuk menonaktifkan logging audit mendetail bagi penyedia workforce identity pool, hapus flag --detailed-audit-logging saat Anda menjalankan gcloud iam workforce-pools providers create. Untuk menonaktifkan logging audit mendetail, Anda juga dapat memperbarui penyedia.

Untuk alur implisit (--web-sso-response-type="id-token"), Anda harus menetapkan flag --web-sso-assertion-claims-behavior ke only-id-token-claims, yang hanya menyertakan klaim dari token ID di objek assertion. Alur implisit tidak mendukung nilai merge-user-info-over-id-token-claims.

Dalam respons perintah, POOL_RESOURCE_NAME adalah nama pool; misalnya, locations/global/workforcePools/enterprise-example-organization-employees.

Konsol

Alur kode

  1. Di konsol Google Cloud , buka halaman Workforce Identity Pools:

    Buka Workforce Identity Pools

  2. Di tabel Workforce Identity Pools, pilih pool yang ingin Anda buatkan penyedia.
  3. Di bagian Providers, klik Add Provider.
  4. Di daftar Select a Provider vendor, pilih IdP Anda.

    Jika IdP Anda tidak tercantum, pilih Generic Identity Provider.

  5. Di bagian Select an authentication protocol, pilih OpenID Connect (OIDC).
  6. Di bagian Create a provider, lakukan hal berikut:
    1. Di bagian Name, masukkan nama penyedia.
    2. Di bagian Description, masukkan deskripsi penyedia.
    3. Di bagian Penerbit (URL), masukkan URI penerbit. URI penerbit OIDC harus dalam format URI yang valid dan diawali dengan https; misalnya, https://example.com/oidc.
    4. Di bagian Client ID, masukkan client ID OIDC yang terdaftar dengan IdP OIDC Anda; ID harus cocok dengan klaim aud JWT yang dikeluarkan oleh IdP Anda.
    5. Untuk membuat penyedia yang diaktifkan, pastikan Enable provider telah aktif.
    6. Klik Lanjutkan.
  7. Di bagian Bagikan informasi penyedia Anda dengan IdP, salin URL. Di IdP Anda, konfigurasikan URL ini sebagai URI pengalihan, yang memberi tahu IdP Anda tempat untuk mengirim token pernyataan setelah login.
  8. Klik Lanjutkan.
  9. Di bagian Configure OIDC Web Sign-in, lakukan hal berikut:
    1. Dalam daftar Flow type, pilih Code.
    2. Dalam daftar Assertion claims behavior, pilih salah satu opsi berikut:
      • Info pengguna dan token ID: menggabungkan klaim dari endpoint UserInfo dengan klaim dari token ID, dengan memilih nilai klaim UserInfo untuk nama klaim yang sama. Pilih opsi ini jika IdP Anda menampilkan atribut pengguna tambahan atau klaim grup dari endpoint UserInfo.
      • Hanya token ID: hanya menyertakan klaim dari token ID. Pilih opsi ini jika semua klaim yang diperlukan untuk pemetaan dan kondisi atribut Anda sudah ada dalam token ID.
    3. Di kolom Client secret, masukkan rahasia klien dari IdP Anda.

    4. Opsional: Jika Anda memilih Okta sebagai IdP, tambahkan cakupan OIDC tambahan di kolom Additional scopes beyond openid, profile, and email.
  10. Klik Lanjutkan.
  11. Di bagian Configure provider, untuk Detailed logging, klik tombol Enable attribute value audit logging.

    Logging audit mendetail Workforce Identity Federation mencatat informasi yang diterima dari IdP Anda ke Logging. Logging audit yang mendetail dapat membantu Anda memecahkan masalah konfigurasi penyedia workforce identity pool. Untuk mempelajari cara memecahkan masalah error pemetaan atribut dengan logging audit mendetail, lihat Error pemetaan atribut umum. Untuk mempelajari harga Logging, lihat Harga Google Cloud Observability.

    Untuk menonaktifkan logging audit mendetail bagi penyedia workforce identity pool, biarkan tombol Enable attribute value audit logging nonaktif saat Anda membuat penyedia. Untuk menonaktifkan logging audit mendetail, Anda juga dapat memperbarui penyedia.

  12. Untuk membuat penyedia, klik Kirim.

Setelah penyedia dibuat, Anda akan dialihkan ke halaman atribut penyedia.

Untuk mengonfigurasi pemetaan dan kondisi atribut, lakukan hal berikut:

  1. Saat diminta, login ke IdP eksternal Anda untuk memvalidasi pemetaan atribut default.
  2. Di halaman atribut penyedia, lihat dan edit pemetaan dan kondisi atribut:
    1. Untuk menambahkan atau mengedit pemetaan atribut, lakukan hal berikut:
      1. Klik Tambahkan pemetaan untuk menambahkan pemetaan baru, atau edit pemetaan yang ada.
      2. Di kolom Google n, dengan n adalah angka, pilih kunci yang didukung Google Cloud.
      3. Di kolom OIDC n yang sesuai, masukkan nama atribut IdP atau ekspresi CEL.
    2. Untuk menambahkan kondisi atribut, lakukan hal berikut:
      1. Klik Add condition.
      2. Di kolom Attribute Conditions, masukkan kondisi dalam format CEL; misalnya, assertion.role == 'gcp-users'. Contoh kondisi ini memastikan bahwa hanya pengguna dengan peran gcp-users yang dapat login menggunakan penyedia ini.
  3. Untuk memvalidasi pemetaan Anda, klik Save and refetch token.
  4. Untuk menyelesaikan penyiapan, klik Simpan dan keluar.

Alur implisit

  1. Di konsol Google Cloud , buka halaman Workforce Identity Pools:

    Buka Workforce Identity Pools

  2. Di tabel Workforce Identity Pools, pilih pool yang ingin Anda buatkan penyedia.
  3. Di bagian Providers, klik Add Provider.
  4. Di daftar Select a Provider vendor, pilih IdP Anda.

    Jika IdP Anda tidak tercantum, pilih Generic Identity Provider.

  5. Di bagian Select an authentication protocol, pilih OpenID Connect (OIDC).
  6. Di bagian Create a provider, lakukan hal berikut:
    1. Di bagian Name, masukkan nama penyedia.
    2. Di bagian Description, masukkan deskripsi penyedia.
    3. Di bagian Penerbit (URL), masukkan URI penerbit. URI penerbit OIDC harus dalam format URI yang valid dan diawali dengan https; misalnya, https://example.com/oidc.
    4. Di bagian Client ID, masukkan client ID OIDC yang terdaftar dengan IdP OIDC Anda; ID harus cocok dengan klaim aud JWT yang dikeluarkan oleh IdP Anda.
    5. Untuk membuat penyedia yang diaktifkan, pastikan Enable provider telah aktif.
    6. Klik Lanjutkan.
  7. Di bagian Bagikan informasi penyedia Anda dengan IdP, salin URL. Di IdP Anda, konfigurasikan URL ini sebagai URI pengalihan, yang memberi tahu IdP Anda tempat untuk mengirim token pernyataan setelah login.
  8. Klik Lanjutkan.
  9. Di bagian Configure OIDC Web Sign-in, lakukan hal berikut:
    1. Dalam daftar Flow type, pilih token ID.
    2. Dalam daftar Assertion claims behavior, token ID dipilih.
    3. Opsional: Jika Anda memilih Okta sebagai IdP, tambahkan cakupan OIDC tambahan di kolom Additional scopes beyond openid, profile, and email.
  10. Klik Lanjutkan.
  11. Di bagian Configure provider, di Detailed logging, klik tombol Enable attribute value audit logging.

    Logging audit mendetail Workforce Identity Federation mencatat informasi yang diterima dari IdP Anda ke Logging. Logging audit yang mendetail dapat membantu Anda memecahkan masalah konfigurasi penyedia workforce identity pool. Untuk mempelajari cara memecahkan masalah error pemetaan atribut dengan logging audit mendetail, lihat Error pemetaan atribut umum. Untuk mempelajari harga Logging, lihat Harga Google Cloud Observability.

    Untuk menonaktifkan logging audit mendetail bagi penyedia workforce identity pool, biarkan tombol Enable attribute value audit logging nonaktif saat Anda membuat penyedia. Untuk menonaktifkan logging audit mendetail, Anda juga dapat memperbarui penyedia.

  12. Untuk membuat penyedia, klik Kirim.

Setelah penyedia dibuat, Anda akan dialihkan ke halaman atribut penyedia.

Untuk mengonfigurasi pemetaan dan kondisi atribut, lakukan hal berikut:

  1. Saat diminta, login ke IdP eksternal Anda untuk memvalidasi pemetaan atribut default.
  2. Di halaman atribut penyedia, lihat dan edit pemetaan dan kondisi atribut:
    1. Untuk menambahkan atau mengedit pemetaan atribut, lakukan hal berikut:
      1. Klik Tambahkan pemetaan untuk menambahkan pemetaan baru, atau edit pemetaan yang ada.
      2. Di kolom Google n, dengan n adalah angka, pilih kunci yang didukung Google Cloud.
      3. Di kolom OIDC n yang sesuai, masukkan nama atribut IdP atau ekspresi CEL.
    2. Untuk menambahkan kondisi atribut, lakukan hal berikut:
      1. Klik Add condition.
      2. Di kolom Attribute Conditions, masukkan kondisi dalam format CEL; misalnya, assertion.role == 'gcp-users'. Contoh kondisi ini memastikan bahwa hanya pengguna dengan peran gcp-users yang dapat login menggunakan penyedia ini.
  3. Untuk memvalidasi pemetaan Anda, klik Save and refetch token.
  4. Untuk menyelesaikan penyiapan, klik Simpan dan keluar.

Buat penyedia SAML

Bagian ini menjelaskan cara membuat penyedia workforce identity pool untuk IdP SAML.

gcloud

Untuk membuat penyedia, jalankan perintah berikut:

gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
    --workforce-pool="WORKFORCE_POOL_ID" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --idp-metadata-path="XML_METADATA_PATH" \
    --detailed-audit-logging \
    --location="global"

Ganti kode berikut:

  • WORKFORCE_PROVIDER_ID: ID penyedia workforce
  • WORKFORCE_POOL_ID: ID workforce pool

  • ATTRIBUTE_MAPPING: pemetaan atribut; misalnya, untuk memetakan subjek, pemetaan atributnya adalah sebagai berikut:

    
google.subject=assertion.subject,
google.groups=assertion.attributes['https://example.com/aliases'],
attribute.department=assertion.attributes.department[0]

  • ATTRIBUTE_CONDITION: kondisi atribut opsional; misalnya, assertion.subject.endsWith("@example.com")

  • XML_METADATA_PATH: jalur ke file metadata berformat XML dari IdP Anda

Awalan gcp- dicadangkan dan tidak dapat digunakan dalam ID workforce identity pool atau ID penyedia workforce identity pool.

Perintah ini menetapkan subjek dan departemen dalam pernyataan SAML ke atribut google.subject dan attribute.department. Selain itu, kondisi atribut memastikan bahwa hanya pengguna dengan subjek yang berakhiran @example.com yang dapat login menggunakan penyedia workforce ini.

Logging audit mendetail Workforce Identity Federation mencatat informasi yang diterima dari IdP Anda ke Logging. Logging audit yang mendetail dapat membantu Anda memecahkan masalah konfigurasi penyedia workforce identity pool. Untuk mempelajari cara memecahkan masalah error pemetaan atribut dengan logging audit mendetail, lihat Error pemetaan atribut umum. Untuk mempelajari harga Logging, lihat Harga Google Cloud Observability.

Untuk menonaktifkan logging audit mendetail bagi penyedia workforce identity pool, hapus flag --detailed-audit-logging saat Anda menjalankan gcloud iam workforce-pools providers create. Untuk menonaktifkan logging audit mendetail, Anda juga dapat memperbarui penyedia.

Konsol

Untuk mengonfigurasi penyedia SAML menggunakan konsol Google Cloud , lakukan hal berikut:

  1. Di konsol Google Cloud , buka halaman Workforce Identity Pools:

    Buka Workforce Identity Pools

  2. Di tabel Workforce Identity Pools, pilih pool yang ingin Anda buatkan penyedia.
  3. Di bagian Providers, klik Add Provider.
  4. Di daftar Select a Provider vendor, pilih IdP Anda.

    Jika IdP Anda tidak tercantum, pilih Generic Identity Provider.

  5. Pada bagian Select an authentication protocol, pilih SAML.
  6. Di bagian Create a provider, lakukan hal berikut:
    1. Di bagian Nama, masukkan nama penyedia.
    2. Opsional: Di bagian Deskripsi, masukkan deskripsi penyedia.
    3. Di file metadata IDP (XML), pilih file XML metadata yang Anda buat sebelumnya dalam panduan ini.
    4. Untuk membuat penyedia yang diaktifkan, pastikan Enable provider telah aktif.
    5. Klik Lanjutkan.
  7. Di bagian Share your provider information, salin URL. Di IdP Anda, konfigurasikan URL pertama sebagai ID entitas, yang mengidentifikasi aplikasi Anda ke IdP. Konfigurasikan URL lainnya sebagai URI pengalihan, yang memberi tahu IdP Anda tempat untuk mengirim token pernyataan setelah login.
  8. Klik Lanjutkan.
  9. Di bagian Configure provider, di Detailed logging, klik tombol Enable attribute value audit logging.

    Logging audit mendetail Workforce Identity Federation mencatat informasi yang diterima dari IdP Anda ke Logging. Logging audit yang mendetail dapat membantu Anda memecahkan masalah konfigurasi penyedia workforce identity pool. Untuk mempelajari cara memecahkan masalah error pemetaan atribut dengan logging audit mendetail, lihat Error pemetaan atribut umum. Untuk mempelajari harga Logging, lihat Harga Google Cloud Observability.

    Untuk menonaktifkan logging audit mendetail bagi penyedia workforce identity pool, biarkan tombol Enable attribute value audit logging nonaktif saat Anda membuat penyedia. Untuk menonaktifkan logging audit mendetail, Anda juga dapat memperbarui penyedia.

  10. Untuk membuat penyedia, klik Kirim.

Setelah penyedia dibuat, Anda akan dialihkan ke halaman atribut penyedia.

Untuk mengonfigurasi pemetaan dan kondisi atribut, lakukan hal berikut:

  1. Saat diminta, login ke IdP eksternal Anda untuk memvalidasi pemetaan atribut default.
  2. Di halaman atribut penyedia, lihat dan edit pemetaan dan kondisi atribut:
    1. Untuk menambahkan atau mengedit pemetaan atribut, lakukan hal berikut:
      1. Klik Tambahkan pemetaan untuk menambahkan pemetaan baru, atau edit pemetaan yang ada.
      2. Di kolom Google n, dengan n adalah angka, pilih kunci yang didukung Google Cloud .
      3. Di kolom SAML n yang sesuai, masukkan nama atribut IdP atau ekspresi CEL—misalnya: 
        google.subject=assertion.subject
attribute.costcenter=assertion.attributes.costcenter[0]
         Contoh ini memetakan atribut IdP assertion.subject ke google.subject dan atribut IdP assertion.attributes.costcenter[0] ke attribute.costcenter.
    2. Untuk menambahkan kondisi atribut, lakukan hal berikut:
      1. Klik Add condition.
      2. Di kolom Attribute Conditions, masukkan kondisi dalam format CEL—misalnya, Misalnya, untuk membatasi atribut ipaddr ke rentang IP tertentu, Anda dapat menetapkan kondisi assertion.attributes.ipaddr.startsWith('98.11.12.'). Contoh kondisi ini memastikan bahwa hanya pengguna dengan alamat IP yang diawali dengan 98.11.12. yang dapat login menggunakan penyedia workforce ini.
  3. Untuk memvalidasi pemetaan Anda, klik Save and refetch token.
  4. Untuk menyelesaikan penyiapan, klik Simpan dan keluar.

Melihat detail penyedia

gcloud

Untuk melihat detail penyedia, jalankan perintah berikut:

gcloud iam workforce-pools providers describe PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Ganti kode berikut:

  • PROVIDER_ID: ID penyedia
  • WORKFORCE_POOL_ID: ID workforce pool

Konsol

Untuk melihat detail penyedia dan memvalidasi pemetaan atribut tokennya, lakukan hal berikut:

  1. Di konsol Google Cloud , buka halaman Workforce Identity Pools:

    Buka Workforce Identity Pools

  2. Di tabel, pilih pool tempat Anda ingin melihat penyedia.

  3. Di tabel Penyedia, pilih penyedia.

    Panel Provider details akan terbuka dan menampilkan konfigurasi penyedia dan ringkasan Attributes.

  4. Opsional: Untuk penyedia yang diaktifkan, guna memeriksa klaim yang dievaluasi, pemetaan atribut, dan atribut tambahan Entra ID untuk Microsoft Entra ID, klik Debug IdP token, lalu login ke IdP eksternal Anda saat diminta.

Mencantumkan penyedia

gcloud

Untuk mencantumkan penyedia, jalankan perintah berikut:

gcloud iam workforce-pools providers list \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Ganti WORKFORCE_POOL_ID dengan ID workforce pool.

Konsol

Untuk melihat daftar penyedia, lakukan tindakan berikut:

  1. Di konsol Google Cloud , buka halaman Workforce Identity Pools:

    Buka Workforce Identity Pools

  2. Pada tabel, pilih pool tempat Anda ingin mencantumkan penyedia.

  3. Di tabel Penyedia, lihat daftar penyedia.

Memperbarui penyedia

gcloud

Untuk memperbarui penyedia OIDC setelah dibuat, jalankan perintah berikut:

gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --description="DESCRIPTION" \
    --detailed-audit-logging \
    --location=global

Ganti kode berikut:

  • PROVIDER_ID: ID penyedia
  • WORKFORCE_POOL_ID: ID workforce pool
  • DESCRIPTION: deskripsi
  • Untuk mengaktifkan logging audit mendetail, tambahkan flag --detailed-audit-logging ke gcloud iam workforce-pools providers update. Untuk menonaktifkan logging audit mendetail, tambahkan flag --no-detailed-audit-logging ke perintah update.

Konsol

Untuk memperbarui penyedia, lakukan hal berikut:

  1. Di konsol Google Cloud , buka halaman Workforce Identity Pools:

    Buka Workforce Identity Pools

  2. Di tabel, pilih pool tempat Anda ingin memperbarui penyedia.

  3. Di tabel Penyedia, klik  Edit penyedia di samping penyedia yang ingin Anda perbarui.

  4. Perbarui nama tampilan, deskripsi, status, atau setelan OIDC penyedia, seperti Penerbit (URL), Client ID, Jenis respons, atau rahasia klien (dengan mengklik Edit rahasia klien), lalu klik Simpan.

  5. Opsional: Untuk melihat atau mengedit pemetaan dan kondisi atribut, lakukan hal berikut:

    1. Di bagian Provider attributes, klik Configure attributes.

    2. Jika diminta, login ke IdP eksternal Anda.

    3. Di halaman atribut penyedia, lihat dan edit pemetaan, atribut tambahan, atau kondisi:

      • Untuk menambahkan atau mengedit pemetaan, klik Tambahkan pemetaan, lalu masukkan kunci dan nilai. Untuk mengetahui detailnya, lihat pemetaan atribut.

      • Untuk menambahkan atau mengedit kondisi, klik Tambahkan kondisi, lalu masukkan ekspresi CEL. Untuk mengetahui detailnya, lihat kondisi atribut.

      Untuk mengetahui petunjuk lengkapnya, lihat Mengonfigurasi Workforce Identity Federation.

    4. Untuk memvalidasi pemetaan, klik Save and refetch token.

    5. Untuk menyelesaikan pembaruan, klik Simpan dan keluar.

Menghapus penyedia

gcloud

Untuk menghapus penyedia, jalankan perintah berikut:

gcloud iam workforce-pools providers delete PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Ganti kode berikut:

  • PROVIDER_ID: ID penyedia
  • WORKFORCE_POOL_ID: ID workforce pool

Konsol

Untuk menghapus penyedia, lakukan tindakan berikut:

  1. Di konsol Google Cloud , buka halaman Workforce Identity Pools:

    Buka Workforce Identity Pools

  2. Di tabel, pilih pool yang berisi penyedia yang ingin Anda hapus.

  3. Di tabel Providers, klik  Delete provider di samping penyedia yang ingin Anda hapus, lalu ikuti perintah konfirmasi.

Membatalkan penghapusan penyedia

Untuk membatalkan penghapusan penyedia yang dihapus dalam 30 hari terakhir, jalankan perintah berikut:

gcloud iam workforce-pools providers undelete PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Ganti kode berikut:

  • PROVIDER_ID: ID penyedia
  • WORKFORCE_POOL_ID: ID workforce pool

Kelola JWK OIDC

Bagian ini menunjukkan cara mengelola JWK OIDC di penyedia workforce pool kepada Anda.

Membuat penyedia dan mengupload JWK OIDC

Untuk membuat JWK OIDC, lihat Implementasi JWT, JWS, JWE, JWK, dan JWA.

Untuk mengupload file JWK OIDC saat membuat penyedia workforce pool, jalankan perintah gcloud iam workforce-pools providers create-oidc dengan --jwk-json-path="JWK_JSON_PATH". Ganti JWK_JSON_PATH dengan jalur ke file JSON JWK.

Operasi ini mengupload kunci dari file.

Perbarui JWK OIDC

Untuk mengupdate JWK OIDC, jalankan perintah gcloud iam workforce-pools providers update-oidc dengan --jwk-json-path="JWK_JSON_PATH". Ganti JWK_JSON_PATH dengan jalur ke file JSON JWK.

Operasi ini mengganti setiap kunci yang sudah diupload dengan kunci yang ada dalam file.

Hapus semua JWK OIDC yang diupload

Untuk menghapus semua JWK OIDC yang diupload dan menggunakan URI penerbit untuk mengambil kunci, jalankan perintah gcloud iam workforce-pools providers update-oidc dengan --jwk-json-path="JWK_JSON_PATH". Ganti JWK_JSON_PATH dengan jalur ke file kosong. Gunakan flag --issuer-uri untuk menetapkan URI penerbit.

Operasi ini menghapus semua kunci yang sudah diupload.

Langkah berikutnya