Gestire i provider di pool di identità per la forza lavoro

Questa guida descrive come eseguire operazioni comuni con la federazione delle identità per la forza lavoro. Per configurare la federazione delle identità per la forza lavoro, consulta le seguenti guide:

Prima di iniziare

  1. Devi aver configurato un'organizzazione Google Cloud .

  2. Installa Google Cloud CLI. Dopo l'installazione, inizializza Google Cloud CLI eseguendo il comando seguente: 

    gcloud init

    Se utilizzi un provider di identità (IdP) esterno, devi prima accedere a gcloud CLI con la tua identità federata.

Gestisci i pool

Questa sezione mostra come gestire i pool di identità della forza lavoro.

Crea un pool

Per creare un pool di forza lavoro, esegui questo comando:

gcloud

Per creare il pool di identità per la forza lavoro, esegui questo comando:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Sostituisci quanto segue:

  • WORKFORCE_POOL_ID: un ID che scegli per rappresentare il tuo pool di forza lavoro Google Cloud . L'ID pool deve essere univoco a livello globale in tutti i pool di identità della forza lavoro in Google Cloud. Per informazioni sulla formattazione dell'ID, consulta la sezione Parametri di query nella documentazione dell'API.
  • ORGANIZATION_ID: l'ID organizzazione numerico della tua organizzazione Google Cloud per il pool di identità della forza lavoro. I pool di identità della forza lavoro sono disponibili in tutti i progetti e le cartelle dell'organizzazione.
  • DISPLAY_NAME: (Facoltativo) Un nome visualizzato per il tuo pool di identità della forza lavoro.
  • DESCRIPTION: (Facoltativo) Una descrizione del pool di identità della forza lavoro.
  • SESSION_DURATION: (Facoltativo) La durata della sessione, espressa come numero seguito da s, ad esempio 3600s. La durata della sessione determina per quanto tempo sono validi i token di accesso Google Cloud , le sessioni di accesso alla console (federata) e le sessioni di accesso a gcloud CLI di questo pool di forza lavoro. La durata della sessione è di un'ora (3600 s) per impostazione predefinita. Il valore della durata della sessione deve essere compreso tra 15 minuti (900 secondi) e 12 ore (43.200 secondi).

Console

Per creare il pool di identità della forza lavoro:

  1. Nella console Google Cloud , vai alla pagina Pool di identità per la forza lavoro:

    Vai a Pool di identità per la forza lavoro

  2. Seleziona l'organizzazione per il pool di identità della forza lavoro. I pool di identità della forza lavoro sono disponibili in tutti i progetti e le cartelle di un'organizzazione.

  3. Fai clic su Crea pool e segui questi passaggi:

    1. Nel campo Nome, inserisci il nome visualizzato del pool. L'ID pool viene ricavato automaticamente dal nome durante la digitazione e viene visualizzato sotto il campo Nome. Puoi aggiornare l'ID pool facendo clic su Modifica accanto all'ID pool.

    2. (Facoltativo) In Descrizione, inserisci una descrizione del pool.

    3. Per creare il pool di identità per la forza lavoro, fai clic su Avanti.

La durata della sessione del pool di identità della forza lavoro è di un'ora (3600 secondi) per impostazione predefinita. La durata della sessione determina per quanto tempo sono validi i token di accesso Google Cloud , la console (federata) e le sessioni di accesso di gcloud CLI di questo pool di forza lavoro. Dopo aver creato il pool, puoi aggiornarlo per impostare una durata della sessione personalizzata. La durata della sessione deve essere compresa tra 15 minuti (900 secondi) e 12 ore (43.200 secondi).

Visualizza i dettagli del pool

gcloud

Per visualizzare i dettagli di un pool di forza lavoro specifico utilizzando gcloud CLI, esegui questo comando:

gcloud iam workforce-pools describe WORKFORCE_POOL_ID \
    --location=global

Sostituisci WORKFORCE_POOL_ID con l'ID del pool di forza lavoro che hai scelto al momento della creazione del pool.

Console

Per visualizzare i dettagli di un pool di forza lavoro specifico utilizzando la console Google Cloud , segui questi passaggi:

  1. Nella console Google Cloud , vai alla pagina Pool di identità per la forza lavoro:

    Vai a Pool di identità per la forza lavoro

  2. In Pool di forza lavoro, seleziona il pool.

    La console Google Cloud mostra i dettagli del pool, inclusi ID, descrizione, stato, principal Identity and Access Management (IAM), log e provider configurati.

Elenca i pool

gcloud

Per elencare i pool di forza lavoro nell'organizzazione, esegui questo comando:

gcloud iam workforce-pools list \
    --organization=ORGANIZATION_ID \
    --location=global

Sostituisci ORGANIZATION_ID con l'ID organizzazione.

Console

Per elencare i pool di forza lavoro utilizzando la console Google Cloud , segui questi passaggi:

  1. Nella console Google Cloud , vai alla pagina Pool di identità per la forza lavoro:

    Vai a Pool di identità per la forza lavoro

  2. Nella tabella, visualizza l'elenco dei pool.

Aggiorna un pool

gcloud

Per aggiornare un pool di forza lavoro specifico, esegui questo comando:

gcloud iam workforce-pools update WORKFORCE_POOL_ID \
    --description="DESCRIPTION" \
    --location=global

Sostituisci quanto segue:

  • WORKFORCE_POOL_ID: l'ID pool di forza lavoro
  • DESCRIPTION: la descrizione del pool

Console

Per aggiornare un pool di forza lavoro specifico utilizzando la console Google Cloud , segui questi passaggi:

  1. Nella console Google Cloud , vai alla pagina Pool di identità per la forza lavoro:

    Vai a Pool di identità per la forza lavoro

  2. Nella tabella, seleziona il pool.

  3. Fai clic su  Modifica, aggiorna i parametri del pool e poi fai clic su Salva.

Elimina un pool

gcloud

Per eliminare un pool di identità della forza lavoro, esegui questo comando:

gcloud iam workforce-pools delete WORKFORCE_POOL_ID \
    --location=global

Sostituisci WORKFORCE_POOL_ID con l'ID del pool di forza lavoro.

Console

Per eliminare un pool di forza lavoro specifico utilizzando la console Google Cloud , segui questi passaggi:

  1. Nella console Google Cloud , vai alla pagina Pool di identità per la forza lavoro:

    Vai a Pool di identità per la forza lavoro

  2. In Pool di forza lavoro, fai clic su  Elimina nel pool che vuoi eliminare.

  3. Segui le istruzioni aggiuntive.

Annulla l'eliminazione di un pool

Puoi annullare l'eliminazione di un pool di identità della forza lavoro eliminato negli ultimi 30 giorni.

Per annullare l'eliminazione di un pool, esegui questo comando:

gcloud iam workforce-pools undelete WORKFORCE_POOL_ID \
    --location=global

Sostituisci WORKFORCE_POOL_ID con l'ID del pool di forza lavoro.

Configura un provider all'interno del pool di forza lavoro

Questa sezione spiega come configurare i provider del pool di identità per la forza lavoro utilizzando gcloud CLI e la console Google Cloud .

Crea un provider OIDC

Questa sezione descrive come creare un provider di pool di identità della forza lavoro per un IdP OIDC.

gcloud

Flusso codice

Per creare un provider OIDC che utilizzi il flusso del codice di autorizzazione per l'accesso web, esegui il seguente comando:

gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
    --client-secret-value="OIDC_CLIENT_SECRET" \
    --web-sso-response-type="code" \
    --web-sso-assertion-claims-behavior="merge-user-info-over-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --detailed-audit-logging \
    --location=global

Sostituisci quanto segue:

  • WORKFORCE_PROVIDER_ID: un ID provider del pool di identità della forza lavoro univoco. Il prefisso gcp- è riservato e non può essere utilizzato in un ID pool di identità della forza lavoro o in un ID provider di pool di identità della forza lavoro.
  • WORKFORCE_POOL_ID: L'ID del pool di identità della forza lavoro a cui connettere il tuo IdP.
  • DISPLAY_NAME: un nome visualizzato opzionale e facile da usare per il provider, ad esempio idp-eu-employees.
  • DESCRIPTION: una descrizione facoltativa del fornitore di forza lavoro, ad esempio IdP for Partner Example Organization employees.
  • ISSUER_URI: l'URI dell'emittente OIDC, in un formato URI valido, che inizia con https; ad esempio, https://example.com/oidc. Nota: per motivi di sicurezza, ISSUER_URI deve utilizzare lo schema HTTPS.
  • OIDC_CLIENT_ID: l'ID client OIDC registrato con il tuo IdP OIDC; l'ID deve corrispondere alla rivendicazione aud del JWT emesso dal tuo IdP.
  • OIDC_CLIENT_SECRET: il client secret OIDC.
  • WEB_SSO_ADDITIONAL_SCOPES: ambiti aggiuntivi facoltativi da inviare all'IdP OIDC per l'accesso basato su browser della console (federato) o di gcloud CLI.
  • ATTRIBUTE_MAPPING: una mappatura degli attributi. Di seguito è riportato un esempio di mappatura degli attributi: 
    google.subject=assertion.oid
google.groups=assertion.groups,
attribute.costcenter=assertion.costcenter
     Questo esempio mappa gli attributi IdP assertion.oid, assertion.groups e assertion.costcenter nell'asserzione OIDC agli attributi Google Cloud google.subject, google.groups e attribute.costcenter, rispettivamente.
  • ATTRIBUTE_CONDITION: una condizione dell'attributo, ad esempio assertion.role == 'gcp-users'. Questa condizione di esempio garantisce che solo gli utenti con il ruolo gcp-users possano accedere utilizzando questo provider.
  • JWK_JSON_PATH: un percorso facoltativo per un JWK OIDC caricato localmente. Se questo parametro non viene fornito, Google Cloud utilizza invece il percorso /.well-known/openid-configuration del tuo IdP per recuperare i JWK contenenti le chiavi pubbliche. Per saperne di più sui JWK OIDC caricati localmente, consulta Gestisci i JWK OIDC.

  • La registrazione dettagliata dei log di controllo della federazione delle identità per la forza lavoro registra le informazioni ricevute dal tuo IdP in Logging. L'audit logging dettagliato può aiutarti a risolvere i problemi di configurazione del provider del pool di identità della forza lavoro. Per scoprire come risolvere gli errori di mappatura degli attributi con l'audit logging dettagliato, consulta Errori generali di mappatura degli attributi. Per informazioni sui prezzi di Logging, consulta Prezzi di Google Cloud Observability.

    Per disattivare la registrazione di controllo dettagliata per un provider di pool di identità per la forza lavoro, ometti il flag --detailed-audit-logging quando esegui gcloud iam workforce-pools providers create. Per disattivare l'audit logging dettagliato, puoi anche aggiornare il provider.

Il flag --web-sso-assertion-claims-behavior controlla il modo in cui le rivendicazioni OIDC vengono incluse nell'oggetto assertion utilizzato per le mappature e le condizioni degli attributi. Per il flusso del codice di autorizzazione (--web-sso-response-type="code"), puoi impostare questo flag su uno dei seguenti valori:

  • merge-user-info-over-id-token-claims: unisce le rivendicazioni dell'endpoint OIDC UserInfo con quelle del token ID. Se entrambi contengono lo stesso nome di claim, il valore del claim UserInfo ha la precedenza. Utilizza questo valore quando il tuo IdP restituisce attributi utente aggiuntivi o attestazioni di gruppo dall'endpoint UserInfo.
  • only-id-token-claims: Include solo le rivendicazioni del token ID. Utilizza questo valore quando tutte le rivendicazioni richieste per le mappature e le condizioni degli attributi sono già presenti nel token ID.
Nella risposta al comando, POOL_RESOURCE_NAME è il nome del pool, ad esempio locations/global/workforcePools/enterprise-example-organization-employees.

Flusso implicito

Per creare un provider di pool di identità per la forza lavoro OIDC che utilizza il flusso implicito per l'accesso web, esegui questo comando:

gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
    --web-sso-response-type="id-token" \
    --web-sso-assertion-claims-behavior="only-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --detailed-audit-logging \
    --location=global

Sostituisci quanto segue:

  • WORKFORCE_PROVIDER_ID: un ID provider del pool di identità della forza lavoro univoco. Il prefisso gcp- è riservato e non può essere utilizzato in un ID pool di identità della forza lavoro o in un ID provider di pool di identità della forza lavoro.
  • WORKFORCE_POOL_ID: L'ID del pool di identità della forza lavoro a cui connettere il tuo IdP.
  • DISPLAY_NAME: un nome visualizzato opzionale e facile da usare per il provider, ad esempio idp-eu-employees.
  • DESCRIPTION: una descrizione facoltativa del fornitore di forza lavoro, ad esempio IdP for Partner Example Organization employees.
  • ISSUER_URI: l'URI dell'emittente OIDC, in un formato URI valido, che inizia con https; ad esempio, https://example.com/oidc. Nota: per motivi di sicurezza, ISSUER_URI deve utilizzare lo schema HTTPS.
  • OIDC_CLIENT_ID: l'ID client OIDC registrato con l'IdP OIDC; l'ID deve corrispondere alla rivendicazione aud del JWT emesso dall'IdP.
  • WEB_SSO_ADDITIONAL_SCOPES: ambiti aggiuntivi facoltativi da inviare all'IdP OIDC per l'accesso basato su browser della console (federato) o di gcloud CLI.
  • ATTRIBUTE_MAPPING: una mappatura degli attributi. Di seguito è riportato un esempio di mappatura degli attributi: 
    google.subject=assertion.oid
google.groups=assertion.groups,
attribute.costcenter=assertion.costcenter
     Questo esempio mappa gli attributi IdP assertion.oid, assertion.groups e assertion.costcenter nell'asserzione OIDC agli attributi Google Cloud google.subject, google.groups e attribute.costcenter, rispettivamente.
  • ATTRIBUTE_CONDITION: una condizione dell'attributo, ad esempio assertion.role == 'gcp-users'. Questa condizione di esempio garantisce che solo gli utenti con il ruolo gcp-users possano accedere utilizzando questo provider.
  • JWK_JSON_PATH: un percorso facoltativo per un JWK OIDC caricato localmente. Se questo parametro non viene fornito, Google Cloud utilizza il percorso /.well-known/openid-configuration dell'IdP per recuperare i JWK contenenti le chiavi pubbliche. Per saperne di più sui JWK OIDC caricati localmente, consulta Gestisci i JWK OIDC.

  • La registrazione dettagliata dei log di controllo della federazione delle identità per la forza lavoro registra le informazioni ricevute dal tuo IdP in Logging. La registrazione dettagliata degli audit può aiutarti a risolvere i problemi di configurazione del provider del pool di identità della forza lavoro. Per scoprire come risolvere gli errori di mappatura degli attributi con l'audit logging dettagliato, consulta Errori generali di mappatura degli attributi. Per informazioni sui prezzi di Logging, consulta Prezzi di Google Cloud Observability.

    Per disattivare la registrazione di controllo dettagliata per un provider di pool di identità per la forza lavoro, ometti il flag --detailed-audit-logging quando esegui gcloud iam workforce-pools providers create. Per disattivare il logging di controllo dettagliato, puoi anche aggiornare il fornitore.

Per il flusso implicito (--web-sso-response-type="id-token"), devi impostare il flag --web-sso-assertion-claims-behavior su only-id-token-claims, che include solo le rivendicazioni del token ID nell'oggetto assertion. Il flusso implicito non supporta il valore merge-user-info-over-id-token-claims.

Nella risposta al comando, POOL_RESOURCE_NAME è il nome del pool, ad esempio locations/global/workforcePools/enterprise-example-organization-employees.

Console

Flusso codice

  1. Nella console Google Cloud , vai alla pagina Pool di identità per la forza lavoro:

    Vai a Pool di identità per la forza lavoro

  2. Nella tabella Pool di identità per la forza lavoro, seleziona il pool per cui vuoi creare il provider.
  3. Nella sezione Provider, fai clic su Aggiungi provider.
  4. Nell'elenco Seleziona un provider, seleziona il tuo IdP.

    Se il tuo IdP non è presente nell'elenco, seleziona Provider di identità generico.

  5. In Seleziona un protocollo di autenticazione, seleziona OpenID Connect (OIDC).
  6. Nella sezione Crea un fornitore, segui questi passaggi:
    1. In Nome, inserisci il nome del provider.
    2. In Descrizione, inserisci la descrizione del fornitore.
    3. In Emittente (URL), inserisci l'URI emittente. L'URI dell'emittente OIDC deve essere in un formato URI valido e iniziare con https, ad esempio https://example.com/oidc.
    4. In ID client, inserisci l'ID client OIDC registrato con il tuo IdP OIDC; l'ID deve corrispondere alla rivendicazione aud del JWT emesso dal tuo IdP.
    5. Per creare un provider abilitato, assicurati che l'opzione Abilita provider sia attiva.
    6. Fai clic su Continua.
  7. Nella sezione Condividi le informazioni del tuo provider con l'IdP, copia l'URL. Nell'IdP, configura questo URL come URI di reindirizzamento, che indica all'IdP dove inviare il token di asserzione dopo l'accesso.
  8. Fai clic su Continua.
  9. Nella sezione Configura l'accesso web OIDC, segui questi passaggi:
    1. Nell'elenco Tipo di flusso, seleziona Codice.
    2. Nell'elenco Comportamento delle rivendicazioni di asserzione, seleziona una delle seguenti opzioni:
      • Informazioni utente e token ID: unisce le attestazioni dell'endpoint UserInfo con quelle del token ID, preferendo i valori delle attestazioni UserInfo per lo stesso nome di attestazione. Seleziona questa opzione quando il tuo IdP restituisce attributi utente o attestazioni di gruppo aggiuntivi dall'endpoint UserInfo.
      • Solo token ID: include solo le rivendicazioni del token ID. Seleziona questa opzione quando tutte le rivendicazioni richieste per le mappature e le condizioni degli attributi sono già presenti nel token ID.
    3. Nel campo Client secret, inserisci il client secret del tuo IdP.

    4. (Facoltativo) Se hai selezionato Okta come IdP, aggiungi eventuali ambiti OIDC aggiuntivi nel campo Ambiti aggiuntivi oltre a openid, profile ed email.
  10. Fai clic su Continua.
  11. Nella sezione Configura provider, per Logging dettagliato, fai clic sul pulsante di attivazione/disattivazione Abilita l'audit logging dei valori degli attributi.

    L'audit logging dettagliato della federazione delle identità per la forza lavoro registra le informazioni ricevute dall'IdP in Logging. La registrazione dettagliata degli audit può aiutarti a risolvere i problemi di configurazione del provider del pool di identità della forza lavoro. Per scoprire come risolvere i problemi relativi agli errori di mappatura degli attributi con la registrazione dettagliata degli audit, consulta Errori generali di mappatura degli attributi. Per scoprire di più sui prezzi di Logging, consulta Prezzi di Google Cloud Observability.

    Per disattivare l'audit logging dettagliato per un provider di pool di identità per la forza lavoro, lascia disattivato il pulsante di attivazione/disattivazione Abilita l'audit logging dei valori degli attributi quando crei il provider. Per disattivare l'audit logging dettagliato, puoi anche aggiornare il provider.

  12. Per creare il provider, fai clic su Invia.

Dopo la creazione del provider, viene visualizzata la pagina degli attributi del provider.

Per configurare le mappature e le condizioni degli attributi, segui questi passaggi:

  1. Quando richiesto, accedi all'IdP esterno per convalidare le mappature degli attributi predefinite.
  2. Nella pagina degli attributi del fornitore, visualizza e modifica le mappature e le condizioni degli attributi:
    1. Per aggiungere o modificare le mappature degli attributi:
      1. Fai clic su Aggiungi mappatura per aggiungere una nuova mappatura o modificare quelle esistenti.
      2. Nel campo Google n, dove n è un numero, seleziona una chiave supportata da Google Cloud.
      3. Nel campo OIDC n corrispondente, inserisci il nome dell'attributo IdP o un'espressione CEL.
    2. Per aggiungere una condizione dell'attributo, procedi nel seguente modo:
      1. Fai clic su Aggiungi condizione.
      2. Nel campo Condizioni attributo, inserisci una condizione in formato CEL; ad esempio, assertion.role == 'gcp-users'. Questa condizione di esempio garantisce che solo gli utenti con il ruolo gcp-users possano accedere utilizzando questo provider.
  3. Per convalidare le mappature, fai clic su Salva e recupera di nuovo il token.
  4. Per completare la configurazione, fai clic su Salva ed esci.

Flusso implicito

  1. Nella console Google Cloud , vai alla pagina Pool di identità per la forza lavoro:

    Vai a Pool di identità per la forza lavoro

  2. Nella tabella Pool di identità per la forza lavoro, seleziona il pool per cui vuoi creare il provider.
  3. Nella sezione Provider, fai clic su Aggiungi provider.
  4. Nell'elenco Seleziona un provider, seleziona il tuo IdP.

    Se il tuo IdP non è presente nell'elenco, seleziona Provider di identità generico.

  5. In Seleziona un protocollo di autenticazione, seleziona OpenID Connect (OIDC).
  6. Nella sezione Crea un fornitore, segui questi passaggi:
    1. In Nome, inserisci il nome del provider.
    2. In Descrizione, inserisci la descrizione del fornitore.
    3. In Emittente (URL), inserisci l'URI emittente. L'URI dell'emittente OIDC deve essere in un formato URI valido e iniziare con https, ad esempio https://example.com/oidc.
    4. In ID client, inserisci l'ID client OIDC registrato con il tuo IdP OIDC; l'ID deve corrispondere alla rivendicazione aud del JWT emesso dal tuo IdP.
    5. Per creare un provider abilitato, assicurati che l'opzione Abilita provider sia attiva.
    6. Fai clic su Continua.
  7. Nella sezione Condividi le informazioni del tuo provider con l'IdP, copia l'URL. Nell'IdP, configura questo URL come URI di reindirizzamento, che indica all'IdP dove inviare il token di asserzione dopo l'accesso.
  8. Fai clic su Continua.
  9. Nella sezione Configura l'accesso web OIDC, segui questi passaggi:
    1. Nell'elenco Tipo di flusso, seleziona Token ID.
    2. Nell'elenco Comportamento delle rivendicazioni di asserzione, è selezionato Token ID.
    3. (Facoltativo) Se hai selezionato Okta come IdP, aggiungi eventuali ambiti OIDC aggiuntivi nel campo Ambiti aggiuntivi oltre a openid, profile ed email.
  10. Fai clic su Continua.
  11. Nella sezione Configura provider, in Logging dettagliato, fai clic sul pulsante di attivazione/disattivazione Abilita l'audit logging dei valori degli attributi.

    L'audit logging dettagliato della federazione delle identità per la forza lavoro registra le informazioni ricevute dall'IdP in Logging. L'audit logging dettagliato può aiutarti a risolvere i problemi di configurazione del provider del pool di identità della forza lavoro. Per scoprire come risolvere i problemi relativi agli errori di mappatura degli attributi con la registrazione dettagliata degli audit, consulta Errori generali di mappatura degli attributi. Per informazioni sui prezzi di Logging, consulta Prezzi di Google Cloud Observability.

    Per disattivare l'audit logging dettagliato per un provider di pool di identità per la forza lavoro, lascia disattivato il pulsante di attivazione/disattivazione Abilita l'audit logging dei valori degli attributi quando crei il provider. Per disattivare l'audit log dettagliato, puoi anche aggiornare il provider.

  12. Per creare il provider, fai clic su Invia.

Dopo la creazione del provider, viene visualizzata la pagina degli attributi del provider.

Per configurare le mappature e le condizioni degli attributi, segui questi passaggi:

  1. Quando richiesto, accedi all'IdP esterno per convalidare le mappature degli attributi predefinite.
  2. Nella pagina degli attributi del fornitore, visualizza e modifica le mappature e le condizioni degli attributi:
    1. Per aggiungere o modificare le mappature degli attributi:
      1. Fai clic su Aggiungi mappatura per aggiungere una nuova mappatura o modifica le mappature esistenti.
      2. Nel campo Google n, dove n è un numero, seleziona una chiave supportata da Google Cloud.
      3. Nel campo OIDC n corrispondente, inserisci il nome dell'attributo IdP o un'espressione CEL.
    2. Per aggiungere una condizione dell'attributo, procedi nel seguente modo:
      1. Fai clic su Aggiungi condizione.
      2. Nel campo Condizioni attributo, inserisci una condizione in formato CEL, ad esempio assertion.role == 'gcp-users'. Questa condizione di esempio garantisce che solo gli utenti con il ruolo gcp-users possano accedere utilizzando questo provider.
  3. Per convalidare le mappature, fai clic su Salva e recupera di nuovo il token.
  4. Per completare la configurazione, fai clic su Salva ed esci.

Crea un provider SAML

Questa sezione descrive come creare un provider di pool di identità per la forza lavoro per un IdP SAML.

gcloud

Per creare il provider, esegui questo comando:

gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
    --workforce-pool="WORKFORCE_POOL_ID" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --idp-metadata-path="XML_METADATA_PATH" \
    --detailed-audit-logging \
    --location="global"

Sostituisci quanto segue:

  • WORKFORCE_PROVIDER_ID: l'ID provider forza lavoro
  • WORKFORCE_POOL_ID: l'ID pool di forza lavoro

  • ATTRIBUTE_MAPPING: una mappatura degli attributi; ad esempio, per mappare un soggetto, la mappatura degli attributi è la seguente:

    
google.subject=assertion.subject,
google.groups=assertion.attributes['https://example.com/aliases'],
attribute.department=assertion.attributes.department[0]

  • ATTRIBUTE_CONDITION: una condizione dell'attributo facoltativa; ad esempio, assertion.subject.endsWith("@example.com")

  • XML_METADATA_PATH: il percorso del file di metadati in formato XML del tuo IdP

Il prefisso gcp- è riservato e non può essere utilizzato in un pool di identità della forza lavoro o in un ID provider di pool di identità della forza lavoro.

Questo comando assegna l'oggetto e il reparto nell'asserzione SAML rispettivamente agli attributi google.subject e attribute.department. Inoltre, la condizione dell'attributo garantisce che solo gli utenti con un oggetto che termina con @example.com possano accedere utilizzando questo provider di forza lavoro.

L'audit logging dettagliato della federazione delle identità per la forza lavoro registra le informazioni ricevute dall'IdP in Logging. L'audit logging dettagliato può aiutarti a risolvere i problemi di configurazione del provider del pool di identità della forza lavoro. Per scoprire come risolvere gli errori di mappatura degli attributi con l'audit logging dettagliato, consulta Errori generali di mappatura degli attributi. Per scoprire di più sui prezzi di Logging, consulta Prezzi di Google Cloud Observability.

Per disattivare l'audit logging dettagliato per un provider di pool di identità della forza lavoro, ometti il flag --detailed-audit-logging quando esegui gcloud iam workforce-pools providers create. Per disattivare il logging di controllo dettagliato, puoi anche aggiornare il fornitore.

Console

Per configurare il provider SAML utilizzando la console Google Cloud , segui questi passaggi:

  1. Nella console Google Cloud , vai alla pagina Pool di identità per la forza lavoro:

    Vai a Pool di identità per la forza lavoro

  2. Nella tabella Pool di identità per la forza lavoro, seleziona il pool per cui vuoi creare il provider.
  3. Nella sezione Provider, fai clic su Aggiungi provider.
  4. Nell'elenco Seleziona un fornitore di provider, seleziona il tuo IdP.

    Se il tuo IdP non è elencato, seleziona Provider di identità generico.

  5. In Seleziona un protocollo di autenticazione, seleziona SAML.
  6. Nella sezione Crea un fornitore, segui questi passaggi:
    1. In Nome, inserisci un nome per il provider.
    2. (Facoltativo) In Descrizione, inserisci una descrizione del provider.
    3. In File di metadati IDP (XML), seleziona il file XML dei metadati che hai generato in precedenza in questa guida.
    4. Per creare un provider abilitato, assicurati che l'opzione Abilita provider sia attiva.
    5. Fai clic su Continua.
  7. Nella sezione Condividi le informazioni del provider, copia gli URL. Nel tuo IdP, configura il primo URL come ID entità, che identifica la tua applicazione per l'IdP. Configura l'altro URL come URI di reindirizzamento, che comunica all'IdP dove inviare il token di asserzione dopo l'accesso.
  8. Fai clic su Continua.
  9. Nella sezione Configura provider, in Logging dettagliato, fai clic sul pulsante di attivazione/disattivazione Abilita l'audit logging dei valori degli attributi.

    La registrazione dettagliata dei log di controllo della federazione delle identità per la forza lavoro registra le informazioni ricevute dal tuo IdP in Logging. La registrazione dettagliata degli audit può aiutarti a risolvere i problemi di configurazione del provider del pool di identità della forza lavoro. Per scoprire come risolvere gli errori di mappatura degli attributi con l'audit logging dettagliato, consulta Errori generali di mappatura degli attributi. Per scoprire di più sui prezzi di Logging, consulta Prezzi di Google Cloud Observability.

    Per disattivare l'audit logging dettagliato per un provider di pool di identità per la forza lavoro, lascia disattivato il pulsante di attivazione/disattivazione Abilita l'audit logging dei valori degli attributi quando crei il provider. Per disattivare l'audit logging dettagliato, puoi anche aggiornare il provider.

  10. Per creare il provider, fai clic su Invia.

Dopo la creazione del provider, viene visualizzata la pagina degli attributi del provider.

Per configurare le mappature e le condizioni degli attributi, segui questi passaggi:

  1. Quando richiesto, accedi all'IdP esterno per convalidare le mappature degli attributi predefinite.
  2. Nella pagina degli attributi del provider, visualizza e modifica le mappature e le condizioni degli attributi:
    1. Per aggiungere o modificare le mappature degli attributi:
      1. Fai clic su Aggiungi mappatura per aggiungere una nuova mappatura o modificare quelle esistenti.
      2. Nel campo Google n, dove n è un numero, seleziona una chiave supportata da Google Cloud .
      3. Nel campo SAML n corrispondente, inserisci il nome dell'attributo IdP o un'espressione CEL, ad esempio: 
        google.subject=assertion.subject
attribute.costcenter=assertion.attributes.costcenter[0]
         Questo esempio mappa l'attributo IdP assertion.subject a google.subject e l'attributo IdP assertion.attributes.costcenter[0] a attribute.costcenter.
    2. Per aggiungere una condizione dell'attributo, procedi nel seguente modo:
      1. Fai clic su Aggiungi condizione.
      2. Nel campo Condizioni degli attributi, inserisci una condizione in formato CEL, ad esempio: Ad esempio, per limitare l'attributo ipaddr a un determinato intervallo IP, puoi impostare la condizione assertion.attributes.ipaddr.startsWith('98.11.12.'). Questa condizione di esempio garantisce che solo gli utenti con un indirizzo IP che inizia con 98.11.12. possano accedere utilizzando questo fornitore di forza lavoro.
  3. Per convalidare le mappature, fai clic su Salva e recupera di nuovo il token.
  4. Per completare la configurazione, fai clic su Salva ed esci.

Visualizzare i dettagli del fornitore

gcloud

Per visualizzare i dettagli di un provider, esegui questo comando:

gcloud iam workforce-pools providers describe PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Sostituisci quanto segue:

  • PROVIDER_ID: l'ID provider
  • WORKFORCE_POOL_ID: l'ID pool di forza lavoro

Console

Per visualizzare i dettagli di un provider e convalidare le mappature degli attributi dei token:

  1. Nella console Google Cloud , vai alla pagina Pool di identità per la forza lavoro:

    Vai a Pool di identità per la forza lavoro

  2. Nella tabella, seleziona il pool per il quale vuoi visualizzare il fornitore.

  3. Nella tabella Fornitori, seleziona il fornitore.

    Si apre il riquadro Dettagli del provider, che mostra la configurazione del provider e il riepilogo degli attributi.

  4. (Facoltativo) Per un provider abilitato, per esaminare le rivendicazioni valutate, le mappature degli attributi e gli attributi aggiuntivi di Entra ID per Microsoft Entra ID, fai clic su Esegui il debug del token IdP, quindi accedi all'IdP esterno quando richiesto.

Elenca fornitori

gcloud

Per elencare i provider, esegui questo comando:

gcloud iam workforce-pools providers list \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Sostituisci WORKFORCE_POOL_ID con l'ID del pool di forza lavoro.

Console

Per visualizzare un elenco di provider:

  1. Nella console Google Cloud , vai alla pagina Pool di identità per la forza lavoro:

    Vai a Pool di identità per la forza lavoro

  2. Nella tabella, seleziona il pool per cui vuoi elencare i fornitori.

  3. Nella tabella Provider, visualizza l'elenco dei provider.

Aggiorna un provider

gcloud

Per aggiornare un provider OIDC dopo la creazione, esegui questo comando:

gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --description="DESCRIPTION" \
    --detailed-audit-logging \
    --location=global

Sostituisci quanto segue:

  • PROVIDER_ID: l'ID provider
  • WORKFORCE_POOL_ID: l'ID del pool di forza lavoro
  • DESCRIPTION: la descrizione
  • Per attivare il logging dettagliato degli audit, aggiungi il flag --detailed-audit-logging a gcloud iam workforce-pools providers update. Per disattivare il logging dettagliato degli audit, aggiungi il flag --no-detailed-audit-logging al comando di aggiornamento.

Console

Per aggiornare un provider:

  1. Nella console Google Cloud , vai alla pagina Pool di identità per la forza lavoro:

    Vai a Pool di identità per la forza lavoro

  2. Nella tabella, seleziona il pool per cui vuoi aggiornare il provider.

  3. Nella tabella Provider, fai clic su  Modifica provider accanto al provider che vuoi aggiornare.

  4. Aggiorna il nome visualizzato, la descrizione, lo stato o le impostazioni OIDC del provider, ad esempio Emittente (URL), ID client, Tipo di risposta o il client secret (facendo clic su Modifica client secret), quindi fai clic su Salva.

  5. (Facoltativo) Per visualizzare o modificare le mappature e le condizioni degli attributi, segui questi passaggi:

    1. Nella sezione Attributi del fornitore, fai clic su Configura attributi.

    2. Quando richiesto, accedi al tuo IdP esterno.

    3. Nella pagina degli attributi del fornitore, visualizza e modifica le mappature, gli attributi aggiuntivi o le condizioni:

      • Per aggiungere o modificare le mappature, fai clic su Aggiungi mappatura e inserisci le chiavi e i valori. Per i dettagli, vedi Mappature degli attributi.

      • Per aggiungere o modificare le condizioni, fai clic su Aggiungi condizione e inserisci un'espressione CEL. Per maggiori dettagli, consulta le condizioni degli attributi.

      Per istruzioni complete, consulta Configura la federazione delle identità per la forza lavoro.

    4. Per convalidare le mappature, fai clic su Salva e recupera di nuovo il token.

    5. Per completare l'aggiornamento, fai clic su Salva ed esci.

Elimina un provider

gcloud

Per eliminare un provider, esegui questo comando:

gcloud iam workforce-pools providers delete PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Sostituisci quanto segue:

  • PROVIDER_ID: l'ID provider
  • WORKFORCE_POOL_ID: l'ID pool di forza lavoro

Console

Per eliminare un provider:

  1. Nella console Google Cloud , vai alla pagina Pool di identità per la forza lavoro:

    Vai a Pool di identità per la forza lavoro

  2. Nella tabella, seleziona il pool che contiene il provider che vuoi eliminare.

  3. Nella tabella Provider, fai clic su  Elimina provider accanto al provider che vuoi eliminare, quindi segui le richieste di conferma.

Annulla l'eliminazione di un provider

Per annullare l'eliminazione di un provider eliminato negli ultimi 30 giorni, esegui il seguente comando:

gcloud iam workforce-pools providers undelete PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Sostituisci quanto segue:

  • PROVIDER_ID: l'ID provider
  • WORKFORCE_POOL_ID: l'ID del pool di forza lavoro

Gestisci i JWK OIDC

Questa sezione mostra come gestire i JWK OIDC nei provider di pool di forza lavoro.

Crea un provider e carica le JWK OIDC

Per creare JWK OIDC, vedi Implementazioni di JWT, JWS, JWE, JWK e JWA.

Per caricare un file JWK OIDC quando crei un provider di pool di forza lavoro, esegui il comando gcloud iam workforce-pools providers create-oidc con --jwk-json-path="JWK_JSON_PATH". Sostituisci JWK_JSON_PATH con il percorso del file JSON JWK.

Questa operazione carica le chiavi dal file.

Aggiorna i JWK OIDC

Per aggiornare i JWK OIDC, esegui il comando gcloud iam workforce-pools providers update-oidc con --jwk-json-path="JWK_JSON_PATH". Sostituisci JWK_JSON_PATH con il percorso del file JSON JWK.

Questa operazione sostituisce le chiavi caricate esistenti con quelle nel file.

Elimina tutti i JWK OIDC caricati

Per eliminare tutti i JWK OIDC caricati e utilizzare l'URI dell'emittente per recuperare le chiavi, esegui il comando gcloud iam workforce-pools providers update-oidc con --jwk-json-path="JWK_JSON_PATH". Sostituisci JWK_JSON_PATH con il percorso di un file vuoto. Utilizza il flag --issuer-uri per impostare l'URI dell'emittente.

Questa operazione elimina tutte le chiavi caricate esistenti.

Passaggi successivi