Gerenciar provedores de pool de identidade da força de trabalho

Este guia descreve como executar operações comuns com a federação de identidade da força de trabalho. Para configurar a federação de identidade da força de trabalho, consulte os seguintes guias:

Antes de começar

  1. Você precisa ter uma organização do Google Cloud configurada.

  2. Instale a CLI do Google Cloud. Após a instalação, inicialize a Google Cloud CLI executando o seguinte comando: 

    gcloud init

    Ao usar um provedor de identidade (IdP) externo, primeiro faça login na CLI gcloud com sua identidade federada.

Gerenciar pools

Esta seção mostra como gerenciar pools de federação de identidade da força de trabalho.

Criar um pool

Para criar um pool de força de trabalho, execute o seguinte comando:

gcloud

Para criar o pool de identidade de colaboradores, execute o seguinte comando:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Substitua:

  • WORKFORCE_POOL_ID: um ID que você quer representar no seu pool de forças de trabalho do Google Cloud . O ID do pool precisa ser globalmente exclusivo em todos os pools de identidade de colaboradores em Google Cloud. Para informações sobre como formatar o ID, consulte a seção Parâmetros de consulta na documentação da API.
  • ORGANIZATION_ID: o ID da organização numérico do Google Cloud para o pool de identidade de colaboradores. Os pools de identidades da força de trabalho estão disponíveis em todos os projetos e pastas da organização.
  • DISPLAY_NAME: opcional. Um nome de exibição para o pool de identidade de colaboradores.
  • DESCRIPTION: opcional. : uma descrição do pool de identidade de colaboradores
  • SESSION_DURATION: opcional. A duração da sessão, expressa como um número anexado com s, por exemplo, 3600s. A duração da sessão determina por quanto tempo os tokens de acesso do Google Cloud , as sessões de login do console (federado) e as sessões de login da CLI gcloud deste pool de força de trabalho são válidos. A duração padrão da sessão é de uma hora (3.600 segundos). O valor da duração da sessão precisa estar entre 15 minutos (900s) e 12 horas (43200s).

Console

Para criar o pool de identidades de colaboradores, faça o seguinte:

  1. No console Google Cloud , acesse a página Pools de identidade da força de trabalho:

    Acessar pools de identidade de colaboradores

  2. Selecione a organização do pool de identidade da força de trabalho. Os pools de identidade de colaboradores estão disponíveis em todos os projetos e pastas de uma organização.

  3. Clique em Criar pool e faça o seguinte:

    1. No campo Nome, digite o nome de exibição do pool. O ID do pool é derivado automaticamente do nome à medida que você digita e é exibido no campo Nome. Para atualizar o ID do pool, clique em Editar ao lado dele.

    2. Opcional: em Descrição, insira uma descrição do pool.

    3. Para criar o pool de identidades de colaboradores, clique em Próxima.

A duração da sessão do pool de identidade de colaboradores é de uma hora (3.600 segundos) por padrão. A duração da sessão determina por quanto tempo os Google Cloud tokens de acesso, o console (federado) e as sessões de login da CLI gcloud desse pool de força de trabalho são válidos. Depois de criar o pool, é possível atualizar o pool para definir uma duração da sessão personalizada. A duração da sessão precisa ser de 15 minutos (900s) a 12 horas (43200s).

Ver detalhes do pool

gcloud

Para conferir os detalhes de um pool de força de trabalho específico usando a CLI gcloud, execute o seguinte comando:

gcloud iam workforce-pools describe WORKFORCE_POOL_ID \
    --location=global

Substitua WORKFORCE_POOL_ID pelo ID do pool de forças de trabalho que você escolheu quando criou o pool.

Console

Para ver os detalhes de um pool de força de trabalho específico usando o console do Google Cloud , faça o seguinte:

  1. No console do Google Cloud , acesse a página Pools de identidade da força de trabalho:

    Acessar pools de identidade de colaboradores

  2. Em Pools de força de trabalho, selecione o pool.

    O console do Google Cloud exibe os detalhes do pool, incluindo o ID, a descrição, o status, o principal do Identity and Access Management (IAM), os registros e os provedores configurados.

Listar pools

gcloud

Para listar os pools de forças de trabalho na organização, execute o seguinte comando:

gcloud iam workforce-pools list \
    --organization=ORGANIZATION_ID \
    --location=global

Substitua ORGANIZATION_ID pelo ID da organização.

Console

Para listar pools de força de trabalho usando o console Google Cloud , faça o seguinte:

  1. No console Google Cloud , acesse a página Pools de identidade da força de trabalho:

    Acessar pools de identidade de colaboradores

  2. Na tabela, acesse a lista de pools.

Atualizar um pool

gcloud

Para atualizar um pool de forças de trabalho específico, execute o seguinte comando:

gcloud iam workforce-pools update WORKFORCE_POOL_ID \
    --description="DESCRIPTION" \
    --location=global

Substitua:

  • WORKFORCE_POOL_ID: o ID do pool da força de trabalho
  • DESCRIPTION: a descrição do pool

Console

Para atualizar um pool de força de trabalho específico usando o console Google Cloud , faça o seguinte:

  1. No console do Google Cloud , acesse a página Pools de identidade da força de trabalho:

    Acessar pools de identidade de colaboradores

  2. Na tabela, selecione o pool.

  3. Clique em  Editar, atualize os parâmetros do pool e clique em Salvar.

Excluir um pool

gcloud

Para excluir um pool de identidades de colaboradores, execute o seguinte comando:

gcloud iam workforce-pools delete WORKFORCE_POOL_ID \
    --location=global

Substitua WORKFORCE_POOL_ID pelo ID do pool de forças de trabalho.

Console

Para excluir um pool de força de trabalho específico usando o console Google Cloud , faça o seguinte:

  1. No console do Google Cloud , acesse a página Pools de identidade de colaboradores:

    Acessar pools de identidade de colaboradores

  2. Em Pools de força de trabalho, clique em  Excluir no pool que você quer excluir.

  3. Siga as instruções adicionais.

Cancelar exclusão de um pool

É possível cancelar a exclusão de um pool de identidades de força de trabalho que foi excluído nos últimos 30 dias.

Para cancelar a exclusão de um pool, execute o seguinte comando:

gcloud iam workforce-pools undelete WORKFORCE_POOL_ID \
    --location=global

Substitua WORKFORCE_POOL_ID pelo ID do pool de forças de trabalho.

Configurar um provedor no pool de forças de trabalho

Nesta seção, explicamos como configurar provedores de pool de identidades de colaboradores usando a CLI gcloud e o console do Google Cloud .

Criar um provedor do OIDC

Nesta seção, descrevemos como criar um provedor de pool de identidades de colaboradores para um IdP do OIDC.

gcloud

Fluxo de códigos

Para criar um provedor do OIDC que usa o fluxo do código de autorização para login na Web, execute o seguinte comando:

gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
    --client-secret-value="OIDC_CLIENT_SECRET" \
    --web-sso-response-type="code" \
    --web-sso-assertion-claims-behavior="merge-user-info-over-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --detailed-audit-logging \
    --location=global

Substitua:

  • WORKFORCE_PROVIDER_ID: um ID exclusivo do provedor do pool de identidade da força de trabalho. O prefixo gcp- é reservado e não pode ser usado em um ID de pool de identidades da força de trabalho ou de provedor de pool de identidades da força de trabalho.
  • WORKFORCE_POOL_ID: o ID do pool de identidades de colaboradores para conectar seu IdP.
  • DISPLAY_NAME é um nome de exibição fácil de usar para o provedor. Por exemplo, idp-eu-employees.
  • DESCRIPTION: uma descrição opcional do provedor de colaboradores. Por exemplo, IdP for Partner Example Organization employees
  • ISSUER_URI: o URI do emissor do OIDC, em um formato de URI válido, que começa com https, por exemplo, https://example.com/oidc. Observação: por motivos de segurança, ISSUER_URI precisa usar o esquema HTTPS.
  • OIDC_CLIENT_ID: o ID do cliente do OIDC registrado no IdP do OIDC; o ID precisa corresponder à declaração aud do JWT emitido pelo IdP.
  • OIDC_CLIENT_SECRET: a chave secreta do cliente do OIDC
  • WEB_SSO_ADDITIONAL_SCOPES: escopos adicionais opcionais a serem enviados ao IdP do OIDC para o console (federado) ou o login baseado no navegador da CLI gcloud.
  • ATTRIBUTE_MAPPING: um mapeamento de atributo. Confira a seguir um exemplo de mapeamento de atributos: 
    google.subject=assertion.oid
google.groups=assertion.groups,
attribute.costcenter=assertion.costcenter
     Neste exemplo, os atributos do IdP assertion.oid, assertion.groups e assertion.costcenter na declaração OIDC são mapeados para os atributos do Google Cloud google.subject, google.groups e attribute.costcenter, respectivamente.
  • ATTRIBUTE_CONDITION: uma condição do atributo. Por exemplo: assertion.role == 'gcp-users'. Este exemplo de condição garante que apenas os usuários com o papel gcp-users possam fazer login usando este provedor.
  • JWK_JSON_PATH: um caminho opcional para JWKs do OIDC de upload local. Se esse parâmetro não for fornecido,o Google Cloud usará o caminho /.well-known/openid-configuration do IdP para gerar as JWKs que contêm as chaves públicas. Para mais informações sobre JWKs OIDC enviados localmente, consulte Gerenciar JWKs OIDC.

  • O registro de auditoria detalhado da federação de identidade de colaboradores registra as informações recebidas do IdP no Logging. A geração de registros de auditoria detalhada pode ajudar a resolver problemas na configuração do provedor de pool de identidades de colaboradores. Para saber como resolver erros de mapeamento de atributos com a geração de registros de auditoria detalhada, consulte Erros gerais de mapeamento de atributos. Para saber mais sobre os preços do Logging, consulte Preços do Google Cloud Observability.

    Para desativar o registro de auditoria detalhado de um provedor de pool de identidade de colaboradores, omita a flag --detailed-audit-logging ao executar gcloud iam workforce-pools providers create. Para desativar o registro de auditoria detalhado, também é possível atualizar o provedor.

A flag --web-sso-assertion-claims-behavior controla como as declarações do OIDC são incluídas no objeto assertion usado para mapeamentos e condições de atributos. Para o fluxo do código de autorização (--web-sso-response-type="code"), é possível definir essa flag como um dos seguintes valores:

  • merge-user-info-over-id-token-claims: mescla as declarações do endpoint UserInfo do OIDC com as declarações do token de ID. Se ambos contiverem o mesmo nome de declaração, o valor da declaração UserInfo terá prioridade. Use esse valor quando o IdP retornar outros atributos de usuário ou declarações de grupo do endpoint UserInfo.
  • only-id-token-claims: inclui apenas declarações do token de ID. Use esse valor quando todas as declarações necessárias para seus mapeamentos e condições de atributos já estiverem presentes no token de ID.
Na resposta ao comando, POOL_RESOURCE_NAME é o nome do pool. Por exemplo, locations/global/workforcePools/enterprise-example-organization-employees.

Fluxo implícito

Para criar um provedor de pool de identidade da força de trabalho do OIDC que use o fluxo implícito para login na Web, execute o seguinte comando:

gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
    --web-sso-response-type="id-token" \
    --web-sso-assertion-claims-behavior="only-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --detailed-audit-logging \
    --location=global

Substitua:

  • WORKFORCE_PROVIDER_ID: um ID exclusivo do provedor do pool de identidade da força de trabalho. O prefixo gcp- é reservado e não pode ser usado em um ID de pool de identidades da força de trabalho ou de provedor de pool de identidades da força de trabalho.
  • WORKFORCE_POOL_ID: o ID do pool de identidades de colaboradores para conectar seu IdP.
  • DISPLAY_NAME é um nome de exibição fácil de usar para o provedor. Por exemplo, idp-eu-employees.
  • DESCRIPTION: uma descrição opcional do provedor de colaboradores. Por exemplo, IdP for Partner Example Organization employees
  • ISSUER_URI: o URI do emissor do OIDC, em um formato de URI válido, que começa com https, por exemplo, https://example.com/oidc. Observação: por motivos de segurança, ISSUER_URI precisa usar o esquema HTTPS.
  • OIDC_CLIENT_ID: o ID do cliente do OIDC registrado no IdP do OIDC; o ID precisa corresponder à declaração aud do JWT emitido pelo IdP.
  • WEB_SSO_ADDITIONAL_SCOPES: escopos adicionais opcionais a serem enviados ao IdP do OIDC para o console (federado) ou o login baseado no navegador da CLI gcloud.
  • ATTRIBUTE_MAPPING: um mapeamento de atributo. Confira a seguir um exemplo de mapeamento de atributos: 
    google.subject=assertion.oid
google.groups=assertion.groups,
attribute.costcenter=assertion.costcenter
     Neste exemplo, os atributos do IdP assertion.oid, assertion.groups e assertion.costcenter na declaração OIDC são mapeados para os atributos do Google Cloud google.subject, google.groups e attribute.costcenter, respectivamente.
  • ATTRIBUTE_CONDITION: uma condição do atributo. Por exemplo: assertion.role == 'gcp-users'. Este exemplo de condição garante que apenas os usuários com o papel gcp-users possam fazer login usando este provedor.
  • JWK_JSON_PATH: um caminho opcional para JWKs do OIDC de upload local. Se esse parâmetro não for fornecido,o Google Cloud vai usar o caminho /.well-known/openid-configuration do IdP para gerar as JWKs que contêm as chaves públicas. Para mais informações sobre JWKs OIDC enviados localmente, consulte Gerenciar JWKs OIDC.

  • O registro de auditoria detalhado da federação de identidade de colaboradores registra as informações recebidas do IdP no Logging. A geração de registros de auditoria detalhada pode ajudar a resolver problemas na configuração do provedor de pool de identidades de colaboradores. Para saber como resolver problemas de mapeamento de atributos com a geração de registros de auditoria detalhada, consulte Erros gerais de mapeamento de atributos. Para saber mais sobre os preços do Logging, consulte Preços do Google Cloud Observability.

    Para desativar o registro de auditoria detalhado de um provedor de pool de identidade de colaboradores, omita a flag --detailed-audit-logging ao executar gcloud iam workforce-pools providers create. Para desativar o registro de auditoria detalhado, também é possível atualizar o provedor.

Para o fluxo implícito (--web-sso-response-type="id-token"), defina a flag --web-sso-assertion-claims-behavior como only-id-token-claims, que inclui apenas declarações do token de ID no objeto assertion. O fluxo implícito não aceita o valor merge-user-info-over-id-token-claims.

Na resposta ao comando, POOL_RESOURCE_NAME é o nome do pool. Por exemplo, locations/global/workforcePools/enterprise-example-organization-employees.

Console

Fluxo de códigos

  1. No console Google Cloud , acesse a página Pools de identidade da força de trabalho:

    Acessar pools de identidade de colaboradores

  2. Na tabela Pools de identidade de colaboradores, selecione o pool em que você quer criar o provedor.
  3. Na seção Provedores, clique em Adicionar provedor.
  4. Na lista Selecionar um fornecedor de provedor, escolha seu IdP.

    Se o IdP não estiver listado, selecione Provedor de identidade genérico.

  5. Em Selecionar um protocolo de autenticação, selecione OpenID Connect (OIDC).
  6. Na seção Criar um provedor, faça o seguinte:
    1. Em Nome, digite um nome para o provedor.
    2. Em Descrição, digite uma descrição para o provedor.
    3. Em Emissor (URL), insira o URI do emissor. O URI do emissor do OIDC precisa estar em um formato de URI válido e começar com https. por exemplo, https://example.com/oidc.
    4. Em ID do cliente, insira o ID do cliente OIDC registrado no seu IdP OIDC. O ID precisa corresponder à declaração aud do JWT emitido pelo IdP.
    5. Para criar um provedor ativado, verifique se a opção Ativar provedor está ativada.
    6. Clique em Continuar.
  7. Na seção Compartilhar as informações do seu provedor com o IdP, copie o URL. No IdP, configure esse URL como o URI de redirecionamento, que informa ao IdP qual será o destino do token de declaração após o login.
  8. Clique em Continuar.
  9. Na seção Configurar o login na Web do OIDC, faça o seguinte:
    1. Na lista Tipo de fluxo, selecione Código.
    2. Na lista Comportamento das declarações de declaração, selecione uma das seguintes opções:
      • Informações do usuário e token de ID: mescla declarações do endpoint UserInfo com declarações do token de ID, preferindo valores de declaração UserInfo para o mesmo nome de declaração. Selecione essa opção quando o IdP retornar outros atributos de usuário ou declarações de grupo do endpoint UserInfo.
      • Somente o token de ID: inclui apenas declarações do token de ID. Selecione essa opção quando todas as declarações necessárias para seus mapeamentos e condições de atributos já estiverem presentes no token de ID.
    3. No campo Chave secreta do cliente, insira a chave secreta do cliente do seu IdP.

    4. Opcional: se você selecionou Okta como seu IdP, adicione outros escopos de OIDC no campo Outros escopos além de openid, perfil e e-mail.
  10. Clique em Continuar.
  11. Na seção Configurar provedor, em Geração de registros detalhada, clique no botão Ativar a geração de registros de auditoria do valor do atributo.

    O registro de auditoria detalhado da federação de identidade de colaboradores registra as informações recebidas do IdP no Logging. O registro detalhado de auditoria pode ajudar a resolver problemas na configuração do provedor do pool de identidades da força de trabalho. Para saber como resolver problemas de mapeamento de atributos com a geração de registros de auditoria detalhada, consulte Erros gerais de mapeamento de atributos. Para saber mais sobre os preços do Logging, consulte Preços do Google Cloud Observability.

    Para desativar o registro de auditoria detalhado de um provedor de pool de identidades da força de trabalho, deixe a opção Ativar a geração de registros de auditoria do valor do atributo desativada ao criar o provedor. Para desativar a geração de registros de auditoria detalhada, também é possível atualizar o provedor.

  12. Para criar o provedor, clique em Enviar.

Depois que o provedor for criado, você será redirecionado para a página de atributos do provedor.

Para configurar mapeamentos e condições de atributos, faça o seguinte:

  1. Quando solicitado, faça login no seu IdP externo para validar os mapeamentos de atributos padrão.
  2. Na página de atributos do provedor, veja e edite os mapeamentos e as condições de atributos:
    1. Para adicionar ou editar mapeamentos de atributos, faça o seguinte:
      1. Clique em Adicionar mapeamento para incluir um novo ou edite os mapeamentos atuais.
      2. No campo Google n, em que n é um número, selecione uma chave compatível com Google Cloud.
      3. No campo OIDC n correspondente, insira o nome do atributo do IdP ou uma expressão CEL.
    2. Para adicionar uma condição de atributo, faça o seguinte:
      1. Clique em Adicionar condição.
      2. No campo Condições do atributo, insira uma condição no formato CEL. Por exemplo, assertion.role == 'gcp-users'. Este exemplo de condição garante que apenas os usuários com o papel gcp-users possam fazer login usando este provedor.
  3. Para validar os mapeamentos, clique em Salvar e buscar token novamente.
  4. Para concluir a configuração, clique em Salvar e sair.

Fluxo implícito

  1. No console do Google Cloud , acesse a página Pools de identidade de colaboradores:

    Acessar pools de identidade de colaboradores

  2. Na tabela Pools de identidade de colaboradores, selecione o pool em que você quer criar o provedor.
  3. Na seção Provedores, clique em Adicionar provedor.
  4. Na lista Selecionar um fornecedor do provedor, selecione seu IdP.

    Se o IdP não estiver listado, selecione Provedor de identidade genérico.

  5. Em Selecionar um protocolo de autenticação, selecione OpenID Connect (OIDC).
  6. Na seção Criar um provedor, faça o seguinte:
    1. Em Nome, digite um nome para o provedor.
    2. Em Descrição, digite uma descrição para o provedor.
    3. Em Emissor (URL), insira o URI do emissor. O URI do emissor do OIDC precisa estar em um formato de URI válido e começar com https. por exemplo, https://example.com/oidc.
    4. Em ID do cliente, insira o ID do cliente OIDC registrado no seu IdP OIDC. O ID precisa corresponder à declaração aud do JWT emitido pelo IdP.
    5. Para criar um provedor ativado, verifique se a opção Ativar provedor está ativada.
    6. Clique em Continuar.
  7. Na seção Compartilhe as informações do seu provedor com o IdP, copie o URL. No IdP, configure este URL como o URI de redirecionamento, que informa ao IdP para onde enviar o token de declaração após o login.
  8. Clique em Continuar.
  9. Na seção Configurar o login na Web do OIDC, faça o seguinte:
    1. Na lista Tipo de fluxo, selecione Token de ID.
    2. Na lista Comportamento das declarações de declaração, a opção Token de ID está selecionada.
    3. Opcional: se você selecionou Okta como seu IdP, adicione outros escopos de OIDC no campo Outros escopos além de openid, perfil e e-mail.
  10. Clique em Continuar.
  11. Na seção Configurar provedor, em Registro detalhado, clique no botão Ativar a geração de registros de auditoria do valor do atributo.

    O registro de auditoria detalhado da federação de identidade de colaboradores registra as informações recebidas do seu IdP no Cloud Logging. A geração de registros de auditoria detalhada pode ajudar a resolver problemas na configuração do provedor de pool de identidades de colaboradores. Para saber como resolver problemas de mapeamento de atributos com a geração de registros de auditoria detalhada, consulte Erros gerais de mapeamento de atributos. Para saber mais sobre os preços do Logging, consulte Preços do Google Cloud Observability.

    Para desativar a geração de registros de auditoria detalhados para um provedor de pool de identidades de colaboradores, deixe a opção Ativar a geração de registros de auditoria do valor do atributo desativada ao criar o provedor. Para desativar a geração de registros de auditoria detalhada, também é possível atualizar o provedor.

  12. Para criar o provedor, clique em Enviar.

Depois que o provedor for criado, você será redirecionado para a página de atributos do provedor.

Para configurar mapeamentos e condições de atributos, faça o seguinte:

  1. Quando solicitado, faça login no seu IdP externo para validar os mapeamentos de atributos padrão.
  2. Na página de atributos do provedor, veja e edite os mapeamentos e as condições de atributos:
    1. Para adicionar ou editar mapeamentos de atributos, faça o seguinte:
      1. Clique em Adicionar mapeamento para incluir um novo ou editar os mapeamentos atuais.
      2. No campo Google n, em que n é um número, selecione uma chave compatível com Google Cloud.
      3. No campo OIDC n correspondente, insira o nome do atributo do IdP ou uma expressão CEL.
    2. Para adicionar uma condição de atributo, faça o seguinte:
      1. Clique em Adicionar condição.
      2. No campo Condições do atributo, insira uma condição no formato CEL. Por exemplo, assertion.role == 'gcp-users'. Este exemplo de condição garante que apenas os usuários com o papel gcp-users possam fazer login usando este provedor.
  3. Para validar os mapeamentos, clique em Salvar e buscar token novamente.
  4. Para concluir a configuração, clique em Salvar e sair.

Criar um provedor SAML

Nesta seção, descrevemos como criar um provedor de pool de identidades de colaboradores para um IdP SAML.

gcloud

Para criar o provedor, execute o seguinte comando:

gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
    --workforce-pool="WORKFORCE_POOL_ID" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --idp-metadata-path="XML_METADATA_PATH" \
    --detailed-audit-logging \
    --location="global"

Substitua:

  • WORKFORCE_PROVIDER_ID: o ID do provedor de colaboradores
  • WORKFORCE_POOL_ID: o ID do pool da força de trabalho

  • ATTRIBUTE_MAPPING: um mapeamento de atributo. Por exemplo, para mapear um assunto, o mapeamento é feito da seguinte forma:

    
google.subject=assertion.subject,
google.groups=assertion.attributes['https://example.com/aliases'],
attribute.department=assertion.attributes.department[0]

  • ATTRIBUTE_CONDITION: uma condição de atributo opcional. Por exemplo, assertion.subject.endsWith("@example.com")

  • XML_METADATA_PATH: o caminho para o arquivo de metadados formatado em XML do seu IdP

O prefixo gcp- é reservado e não pode ser usado em um ID de pool de identidades de colaboradores ou de provedor de pool de identidades de colaboradores.

Esse comando atribui o assunto e o departamento na declaração SAML aos atributos google.subject e attribute.department, respectivamente. Além disso, a condição do atributo garante que apenas os usuários com um tema terminado em @example.com possam fazer login usando esse provedor de força de trabalho.

O registro de auditoria detalhado da federação de identidade de colaboradores registra as informações recebidas do IdP no Logging. O registro detalhado de auditoria pode ajudar a resolver problemas na configuração do provedor do pool de identidades da força de trabalho. Para saber como resolver problemas de mapeamento de atributos com a geração de registros de auditoria detalhada, consulte Erros gerais de mapeamento de atributos. Para saber mais sobre os preços do Logging, consulte Preços do Google Cloud Observability.

Para desativar os registros de auditoria detalhados de um provedor de pool de identidade de colaboradores, omita a flag --detailed-audit-logging ao executar gcloud iam workforce-pools providers create. Para desativar o registro de auditoria detalhado, também é possível atualizar o provedor.

Console

Para configurar o provedor SAML usando o console Google Cloud , faça o seguinte:

  1. No console do Google Cloud , acesse a página Pools de identidade de colaboradores:

    Acessar pools de identidade de colaboradores

  2. Na tabela Pools de identidade de colaboradores, selecione o pool em que você quer criar o provedor.
  3. Na seção Provedores, clique em Adicionar provedor.
  4. Na lista Selecionar um fornecedor do provedor, selecione seu IdP.

    Se o IdP não estiver na lista, selecione Provedor de identidade genérico.

  5. Em Selecionar um protocolo de autenticação, escolha SAML.
  6. Na seção Criar um provedor, faça o seguinte:
    1. Em Nome, digite um nome para o provedor.
    2. Opcional: em Descrição, digite uma descrição para o provedor.
    3. Em Arquivo de metadados do IdP (XML), selecione o arquivo XML de metadados gerado anteriormente neste guia.
    4. Para criar um provedor ativado, verifique se a opção Ativar provedor está ativada.
    5. Clique em Continuar.
  7. Na seção Compartilhe as informações do provedor, copie os URLs. No IdP, configure o primeiro URL como o ID da entidade, que identifica seu aplicativo para o IdP. Configure o outro URL como o URI de redirecionamento, que informa ao IdP para onde enviar o token de declaração após o login.
  8. Clique em Continuar.
  9. Na seção Configurar provedor, em Registro detalhado, clique no botão Ativar a geração de registros de auditoria do valor do atributo.

    O registro de auditoria detalhado da federação de identidade de colaboradores registra as informações recebidas do seu IdP no Cloud Logging. A geração de registros de auditoria detalhada pode ajudar a resolver problemas na configuração do provedor de pool de identidades de colaboradores. Para saber como resolver problemas de mapeamento de atributos com registros de auditoria detalhados, consulte Erros gerais de mapeamento de atributos. Para saber mais sobre os preços do Logging, consulte Preços do Google Cloud Observability.

    Para desativar o registro de auditoria detalhado de um provedor de pool de identidades da força de trabalho, deixe a opção Ativar a geração de registros de auditoria do valor do atributo desativada ao criar o provedor. Para desativar o registro de auditoria detalhado, também é possível atualizar o provedor.

  10. Para criar o provedor, clique em Enviar.

Depois que o provedor for criado, você será redirecionado para a página de atributos do provedor.

Para configurar mapeamentos e condições de atributos, faça o seguinte:

  1. Quando solicitado, faça login no seu IdP externo para validar os mapeamentos de atributos padrão.
  2. Na página de atributos do provedor, visualize e edite os mapeamentos e as condições de atributos:
    1. Para adicionar ou editar mapeamentos de atributos, faça o seguinte:
      1. Clique em Adicionar mapeamento para incluir um novo mapeamento ou editar os atuais.
      2. No campo Google n, em que n é um número, selecione uma chave compatível com o Google Cloud .
      3. No campo SAML n correspondente, insira o nome do atributo do IdP ou uma expressão CEL. Por exemplo: 
        google.subject=assertion.subject
attribute.costcenter=assertion.attributes.costcenter[0]
         Neste exemplo, o atributo do IdP assertion.subject é mapeado para google.subject, e o atributo do IdP assertion.attributes.costcenter[0] é mapeado para attribute.costcenter.
    2. Para adicionar uma condição de atributo, faça o seguinte:
      1. Clique em Adicionar condição.
      2. No campo Condições de atributo, insira uma condição no formato CEL. Por exemplo, para limitar o atributo ipaddr a um determinado intervalo de IP, defina a condição assertion.attributes.ipaddr.startsWith('98.11.12.'). Este exemplo de condição garante que apenas os usuários com um endereço IP que comece com 98.11.12. possam fazer login usando esse provedor de força de trabalho.
  3. Para validar seus mapeamentos, clique em Salvar e buscar token novamente.
  4. Para concluir a configuração, clique em Salvar e sair.

Ver detalhes do provedor

gcloud

Para conferir os detalhes de um provedor, execute o seguinte comando:

gcloud iam workforce-pools providers describe PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Substitua:

  • PROVIDER_ID: o ID do provedor
  • WORKFORCE_POOL_ID: o ID do pool da força de trabalho

Console

Para ver os detalhes de um provedor e validar os mapeamentos de atributos de token, faça o seguinte:

  1. No console Google Cloud , acesse a página Pools de identidade da força de trabalho:

    Acessar pools de identidade de colaboradores

  2. Na tabela, selecione o pool que você quer ver o provedor.

  3. Na tabela Provedores, selecione o provedor.

    O painel Detalhes do provedor é aberto e mostra a configuração do provedor e o resumo dos Atributos.

  4. Opcional: para inspecionar declarações avaliadas, mapeamentos de atributos e atributos extras do Entra ID do Microsoft Entra ID, clique em Depurar token do IdP e faça login no IdP externo quando solicitado.

Listar provedores

gcloud

Para listar os provedores, execute este comando:

gcloud iam workforce-pools providers list \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Substitua WORKFORCE_POOL_ID pelo ID do pool de forças de trabalho.

Console

Para conferir uma lista de provedores, faça o seguinte:

  1. No console Google Cloud , acesse a página Pools de identidade da força de trabalho:

    Acessar pools de identidade de colaboradores

  2. Na tabela, selecione o pool para listar os provedores.

  3. Na tabela Provedores, confira a lista de provedores.

Atualizar um provedor

gcloud

Para atualizar um provedor OIDC após a criação, execute o seguinte comando:

gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --description="DESCRIPTION" \
    --detailed-audit-logging \
    --location=global

Substitua:

  • PROVIDER_ID: o ID do provedor
  • WORKFORCE_POOL_ID: o ID do pool da força de trabalho
  • DESCRIPTION: a descrição
  • Para ativar a geração de registros de auditoria detalhados, adicione a flag --detailed-audit-logging a gcloud iam workforce-pools providers update. Para desativar o registro de auditoria detalhado, adicione a flag --no-detailed-audit-logging ao comando de atualização.

Console

Para atualizar um provedor, faça o seguinte:

  1. No console do Google Cloud , acesse a página Pools de identidade da força de trabalho:

    Acessar pools de identidade de colaboradores

  2. Na tabela, selecione o pool em que você quer atualizar o provedor.

  3. Na tabela Provedores, clique em  Editar provedor ao lado do provedor que você quer atualizar.

  4. Atualize o nome de exibição, a descrição, o status ou as configurações do OIDC do provedor, como Emissor (URL), ID do cliente, Tipo de resposta ou a chave secreta do cliente (clicando em Editar chave secreta do cliente) e clique em Salvar.

  5. Opcional: para ver ou editar mapeamentos e condições de atributos, faça o seguinte:

    1. Na seção Atributos do provedor, clique em Configurar atributos.

    2. Quando solicitado, faça login no seu IdP externo.

    3. Na página de atributos do provedor, confira e edite os mapeamentos, atributos extras ou condições:

      • Para adicionar ou editar mapeamentos, clique em Adicionar mapeamento e insira as chaves e os valores. Para mais detalhes, consulte mapeamentos de atributos.

      • Para adicionar ou editar condições, clique em Adicionar condição e insira uma expressão CEL. Para mais detalhes, consulte condições de atributo.

      Para instruções completas, consulte Configurar a federação de identidade de colaboradores.

    4. Para validar os mapeamentos, clique em Salvar e buscar token novamente.

    5. Para concluir a atualização, clique em Salvar e sair.

Excluir um provedor

gcloud

Para excluir um provedor, execute o seguinte comando:

gcloud iam workforce-pools providers delete PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Substitua:

  • PROVIDER_ID: o ID do provedor
  • WORKFORCE_POOL_ID: o ID do pool da força de trabalho

Console

Para excluir um provedor, faça o seguinte:

  1. No console Google Cloud , acesse a página Pools de identidade da força de trabalho:

    Acessar pools de identidade de colaboradores

  2. Na tabela, selecione o pool que contém o provedor que você quer excluir.

  3. Na tabela Provedores, clique em  Excluir provedor ao lado do provedor que você quer excluir e siga as instruções de confirmação.

Cancelar a exclusão de um provedor

Para cancelar a exclusão de um provedor excluído nos últimos 30 dias, execute o comando a seguir:

gcloud iam workforce-pools providers undelete PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Substitua:

  • PROVIDER_ID: o ID do provedor
  • WORKFORCE_POOL_ID: o ID do pool da força de trabalho

Gerenciar JWKs do OIDC

Nesta seção, mostramos como gerenciar JWKs do OIDC em provedores de pool da força de trabalho.

Criar um provedor e fazer upload de JWKs do OIDC

Para criar JWKs do OIDC, consulte Implementações de JWT, JWS, JWE, JWK e JWA.

Para fazer upload de um arquivo JWK do OIDC ao criar um provedor de pool da força de trabalho, execute o comando gcloud iam workforce-pools providers create-oidc com --jwk-json-path="JWK_JSON_PATH". Substitua JWK_JSON_PATH pelo caminho para o arquivo JSON do JWKs.

Essa operação faz upload das chaves do arquivo.

Atualizar JWKs do OIDC

Para atualizar as JWKs do OIDC, execute o comando gcloud iam workforce-pools providers update-oidc com --jwk-json-path="JWK_JSON_PATH". Substitua JWK_JSON_PATH pelo caminho para o arquivo JSON do JWKs.

Essa operação substitui todas as chaves atuais enviadas pelas chaves no arquivo.

Excluir todos os JWKs do OIDC enviados por upload

Para excluir todas as JWKs OIDC enviadas e usar o URI do emissor para buscar as chaves, execute o comando gcloud iam workforce-pools providers update-oidc com --jwk-json-path="JWK_JSON_PATH". Substitua JWK_JSON_PATH pelo caminho para um arquivo vazio. Use a flag --issuer-uri para definir o URI do emissor.

Essa operação exclui todas as chaves enviadas.

A seguir