Workforce Identity-Föderation mit Microsoft Entra ID konfigurieren

Sie können die Mitarbeiteridentitätsföderation mit dem Identitätsanbieter (IdP) Microsoft Entra ID konfigurieren und bis zu 400 Gruppen aus Microsoft Entra ID mithilfe von Microsoft Graph Google Cloud zuordnen. Anschließend können Sie diesen Gruppen IAM-Rollen zuweisen, sodass sich Microsoft Entra ID-Nutzer in diesen Gruppen in Google Cloudanmelden können. Die Nutzer können dann auf Google Cloud -Produkte zugreifen, für die ihnen IAM-Zugriff gewährt wurde und die auch die Workforce Identity-Föderation unterstützen.

Wenn Sie weniger als 150 Gruppen von Microsoft Entra ID zu Google Cloudzuordnen möchten, lesen Sie den Hilfeartikel Mitarbeiteridentitätsföderation mit Microsoft Entra ID konfigurieren und Nutzer anmelden.

Wichtige Konzepte

In diesem Abschnitt werden Konzepte beschrieben, die später in diesem Dokument zum Konfigurieren der Workforce Identity-Föderation verwendet werden.

Zusätzliche Attribute

Wenn Sie bis zu 400 Gruppen zuordnen möchten, verwenden Sie zusätzliche Attribute. Geben Sie dazu beim Erstellen des Workforce Identity-Poolanbieters extra-attributes-Flags an. Sie können zusätzliche Attribute mit den folgenden Protokollen verwenden:

  • OIDC mit implizitem Ablauf
  • OIDC mit Codevorgang
  • SAML 2.0-Protokoll

Die Anzahl der Gruppen-E-Mail-Adressen, die eine Microsoft Entra ID-Anwendung in einem Token ausgeben kann, ist auf 150 für SAML und 200 für JWT begrenzt. Weitere Informationen zu diesem Limit finden Sie unter Gruppenanforderungen für Anwendungen mit Microsoft Entra ID konfigurieren. Um mehr Gruppen abzurufen, verwendet die Workforce Identity-Föderation den OAuth 2.0-Client-Anmeldedatenfluss von Microsoft Identity, um Anmeldedaten zu erhalten, mit denen die Workforce Identity-Föderation die Microsoft Graph API abfragen und die Gruppen eines Nutzers abrufen kann.

So verwenden Sie zusätzliche Attribute:

  • Erstellen Sie eine neue Microsoft Entra ID-Anwendung oder aktualisieren Sie Ihre vorhandene Anwendung, um die Gruppenmitgliedschaften der Nutzer über die Microsoft Graph API abzurufen. Weitere Informationen dazu, wie Microsoft Graph eine große Anzahl von Gruppen aus Microsoft Entra ID abruft, finden Sie unter Gruppenüberschreitungen.

  • Wenn Sie den Workforce Identity-Poolanbieter erstellen, verwenden Sie extra-attributes-Flags, um die Workforce Identity-Föderation so zu konfigurieren, dass die E-Mail-Adressen oder Anzeigenamen der Nutzergruppen aus der Microsoft Graph API abgerufen werden.

Die Mitarbeiteridentitätsföderation kann bis zu 999 Gruppen von der Microsoft Graph API abrufen. Wenn die Microsoft Graph API mehr als 999 Gruppen zurückgibt, schlägt die Anmeldung fehl.

Wenn Sie die Anzahl der von der Microsoft Graph API zurückgegebenen Gruppen reduzieren möchten, können Sie die Abfrage der Mitarbeiteridentitätsföderation mit dem Flag --extra-attributes-filter verfeinern, wenn Sie den Anbieter des Mitarbeiteridentitätspools erstellen.

Nachdem die Mitarbeiteridentitätsföderation die Gruppen über die Microsoft Graph API abgerufen hat, wird das Zugriffstoken erstellt. Mit der Mitarbeiteridentitätsföderation können dem Zugriffstoken bis zu 400 Gruppen hinzugefügt werden. Wenn Sie die Anzahl der Gruppen weiter auf 400 oder weniger reduzieren möchten, geben Sie beim Erstellen des Workforce Identity-Poolanbieters eine Attributzuordnung an, die CEL-Ausdrücke (Common Expression Language) enthält.

Hinweis

  1. Sie benötigen eine Organisation von Google Cloud .

  2. Installieren Sie die Google Cloud CLI. Initialisieren Sie die Google Cloud CLI nach der Installation mit dem folgenden Befehl: 

    gcloud init

    Wenn Sie einen externen Identitätsanbieter (IdP) verwenden, müssen Sie sich zuerst mit Ihrer föderierten Identität in der gcloud CLI anmelden.

  3. Achten Sie darauf, dass in Microsoft Entra ID ID-Tokens für den impliziten Ablauf aktiviert sind. Weitere Informationen finden Sie unter Implizite ID-Token-Gewährung aktivieren.
  4. Für die Anmeldung muss Ihr IdP signierte Authentifizierungsinformationen bereitstellen: OIDC-IdPs müssen ein JWT bereitstellen und SAML-IdP-Antworten müssen signiert sein.
  5. Wenn Sie wichtige Informationen zu Änderungen an Ihrer Organisation oder IhrenGoogle Cloud -Produkten erhalten möchten, müssen Sie Wichtige Kontakte angeben. Weitere Informationen finden Sie unter Workforce Identity Federation – Übersicht.
  6. Alle Gruppen, die Sie zuordnen möchten, müssen in Microsoft Entra ID als Sicherheitsgruppen markiert sein.

Kosten

Die Workforce Identity-Föderation ist als kostenlose Funktion verfügbar. Für das detaillierte Audit-Logging der Workforce Identity-Föderation wird jedoch Cloud Logging verwendet. Informationen zu den Preisen für Logging finden Sie unter Google Cloud Observability-Preise.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle IAM Workforce Pool Admin (roles/iam.workforcePoolAdmin) für die Organisation zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Konfigurieren der Mitarbeiteridentitätsföderation benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Wenn Sie Berechtigungen in einer Entwicklungs- oder Testumgebung (nicht in einer Produktionsumgebung) konfigurieren, können Sie die einfache Rolle „IAM-Inhaber“ (roles/owner) zuweisen, die auch Berechtigungen für die Mitarbeiteridentitätsföderation enthält.

Microsoft Entra ID-Anwendung erstellen

In diesem Abschnitt erfahren Sie, wie Sie eine Microsoft Entra ID-Anwendung mithilfe des Microsoft Entra Admin Centers erstellen. Alternativ können Sie Ihre bestehende Anwendung aktualisieren. Weitere Informationen finden Sie unter Anwendungen im Microsoft Entra ID-Ökosystem einrichten.

Workforce Identity-Pools unterstützen die Föderation mit OIDC- und SAML-Protokollen.

OIDC

So erstellen Sie eine Microsoft Entra ID-Anwendungsregistrierung, die das OIDC-Protokoll verwendet:

  1. Melden Sie sich im Microsoft Entra Admin Center an.

  2. Gehen Sie zu Entra ID > App-Registrierungen.

  3. So konfigurieren Sie die Anwendungsregistrierung:

    1. Klicken Sie auf Neue Registrierung.

    2. Geben Sie einen Namen für die Anwendung ein.

    3. Wählen Sie unter Unterstützte Kontotypen eine Option aus.

    4. Wählen Sie im Abschnitt Weiterleitungs-URI in der Drop-down-Liste Plattform auswählen die Option Web aus.

    5. Geben Sie im Textfeld eine Weiterleitungs-URL ein. Ihre Nutzer werden nach der erfolgreichen Anmeldung zu dieser URL weitergeleitet. Wenn Sie den Zugriff auf die Console (föderiert) konfigurieren, müssen Sie das folgende URL-Format verwenden:

      https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

      Ersetzen Sie Folgendes:

      • WORKFORCE_POOL_ID: die ID eines Mitarbeiteridentitätspools, die Sie später in diesem Dokument beim Erstellen des Mitarbeiteridentitätspools verwenden, z. B. entra-id-oidc-pool.

      • WORKFORCE_PROVIDER_ID: eine ID des Anbieters des Workforce Identity-Pools, die Sie später in diesem Dokument beim Erstellen des Anbieters des Workforce Identity-Pools verwenden, z. B. entra-id-oidc-pool-provider.

        Informationen zum Formatieren der ID finden Sie in der API-Dokumentation im Abschnitt Abfrageparameter.

    6. Klicken Sie auf Registrieren, um die Anwendungsregistrierung zu erstellen.

    7. Wenn Sie die Beispielattributzuordnung verwenden möchten, die später in diesem Dokument bereitgestellt wird, müssen Sie ein benutzerdefiniertes department-Attribut erstellen.

SAML

So erstellen Sie eine Microsoft Entra ID-App-Registrierung, die das SAML-Protokoll verwendet:

  1. Melden Sie sich im Microsoft Entra Admin Center an.

  2. Rufen Sie Entra ID > Unternehmensanwendungen auf.

  3. So konfigurieren Sie die Unternehmensanwendung:

    1. Klicken Sie auf Neue Anwendung > Eigene Anwendung erstellen.

    2. Geben Sie im Bereich Eigene Anwendung erstellen einen Namen für Ihre Anwendung ein.

    3. Klicken Sie auf Erstellen.

    4. Gehen Sie zu Einmalanmeldung (SSO) > SAML.

    5. Aktualisieren Sie die grundlegende SAML-Konfiguration so:

      1. Geben Sie im Feld Identifier (Entity ID) (Kennung (Entitäts-ID)) den folgenden Wert ein:

        https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

        Ersetzen Sie Folgendes:

        • WORKFORCE_POOL_ID: die ID eines Mitarbeiteridentitätspools, die Sie später in diesem Dokument beim Erstellen des Mitarbeiteridentitätspools verwenden, z. B. entra-id-saml-pool.

        • WORKFORCE_PROVIDER_ID: eine ID des Workforce Identity-Anbieters, die Sie beim Erstellen des Workforce Identity-Anbieters später in diesem Dokument verwenden, z. B. entra-id-saml-pool-provider.

          Informationen zum Formatieren der ID finden Sie in der API-Dokumentation im Abschnitt Suchparameter.

      2. Geben Sie im Feld Antwort-URL (Assertion Consumer Service-URL) eine Weiterleitungs-URL ein. Ihre Nutzer werden nach der erfolgreichen Anmeldung zu dieser URL weitergeleitet. Wenn Sie den Zugriff auf die Console (föderiert) konfigurieren, müssen Sie das folgende URL-Format verwenden:

        https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

        Ersetzen Sie Folgendes:

        • WORKFORCE_POOL_ID: die ID des Workforce Identity-Pools.
        • WORKFORCE_PROVIDER_ID: die ID des Anbieters des Mitarbeiteridentitätspools.

      3. Wenn Sie die vom IdP initiierte Anmeldung aktivieren möchten, legen Sie das Feld Relay State (Relay-Status) auf den folgenden Wert fest:

        https://console.cloud.google/

      4. Klicken Sie zum Speichern der SAML-Anwendungskonfiguration auf Save.

    6. Wenn Sie die Beispielattributzuordnung verwenden möchten, die später in diesem Dokument bereitgestellt wird, müssen Sie ein benutzerdefiniertes department-Attribut erstellen.

  4. Weisen Sie der Anwendung Nutzer oder Gruppen zu.

Große Anzahl von Gruppen mit Microsoft Entra ID konfigurieren

In diesem Abschnitt wird beschrieben, wie Sie bis zu 400 Gruppen aus Microsoft Entra ID mithilfe der OIDC- und SAML-Protokolle der Mitarbeiteridentitätsföderation zuordnen.

Große Anzahl von Gruppen mit Microsoft Entra ID mit implizitem OIDC-Ablauf konfigurieren

In diesem Abschnitt wird beschrieben, wie Sie bis zu 400 Gruppen von Microsoft Entra ID der Mitarbeiteridentitätsföderation zuordnen. Dazu verwenden Sie das OpenID Connect-Protokoll (OIDC) mit implizitem Ablauf.

Microsoft Entra ID-Anwendung konfigurieren

Sie können eine vorhandene Microsoft Entra ID-Anwendung konfigurieren oder eine neue erstellen. So konfigurieren Sie Ihre Anwendung:

  1. Gehen Sie im Microsoft Entra ID-Portal so vor:
    • Folgen Sie der Anleitung unter Neue Anwendung registrieren, um eine neue Anwendung zu registrieren.
    • So aktualisieren Sie eine vorhandene Anwendung:
      • Gehen Sie zu Entra ID > App-Registrierungen.
      • Wählen Sie die Anwendung aus, die Sie aktualisieren möchten.
  2. Erstellen Sie in der Anwendung einen neuen Clientschlüssel. Folgen Sie dazu der Anleitung unter Zertifikate und Secrets. Notieren Sie sich den Clientschlüsselwert, da er nur einmal angezeigt wird.

  3. Fügen Sie die API-Berechtigung hinzu, damit die Workforce Identity-Föderation über die Microsoft Graph API auf die Informationen von Nutzern aus Microsoft Entra ID zugreifen kann:

    1. Rufen Sie API-Berechtigungen auf.
    2. Klicken Sie auf Berechtigung hinzufügen.
    3. Wählen Sie Microsoft Graph aus.
    4. Wählen Sie Anwendungsberechtigungen aus.
    5. Geben Sie im Suchfeld User.ReadBasic.All ein.
    6. Wählen Sie User.ReadBasic.All aus und klicken Sie dann auf Berechtigungen hinzufügen.

  4. Sie können Microsoft Entra ID-Gruppen über eine Gruppenobjekt-ID, eine Gruppen-E-Mail-Adresse für E-Mail-fähige Gruppen oder einen Gruppennamen abrufen.

    Wenn Sie Gruppen als Gruppen-E-Mail-Adressen oder Anzeigenamen abrufen, gehen Sie so vor: Wenn Sie Gruppen als Gruppenobjektkennungen abrufen, überspringen Sie diesen Schritt.

    1. Klicken Sie unter API-Berechtigungen auf Berechtigung hinzufügen.
    2. Wählen Sie Microsoft Graph aus.
    3. Wählen Sie Anwendungsberechtigungen aus.
    4. Geben Sie im Suchfeld GroupMember.Read.All ein.
    5. Wählen Sie GroupMember.Read.All aus und klicken Sie dann auf Berechtigungen hinzufügen.

  5. Erteilen Sie die Administratoreinwilligung für die konfigurierten API-Berechtigungen:

    1. Klicken Sie unter Konfigurierte Berechtigungen auf Administratoreinwilligung erteilen für TENANT_NAME.
    2. Wenn Sie zur Bestätigung aufgefordert werden, klicken Sie auf Ja.

  6. Notieren Sie sich die folgenden Konfigurationswerte aus Ihrer Anwendung, um den Anbieter des Workforce-Identitätspools später in diesem Dokument zu konfigurieren:

    1. Rufen Sie die Seite Übersicht Ihrer Microsoft Entra ID-Anwendungsregistrierung auf.
    2. Notieren Sie sich die folgenden Werte:
      • Anwendungs-ID (Client-ID)
      • Verzeichnis-ID (Mandanten-ID)
      • Clientschlüssel: der Wert, den Sie zuvor notiert haben.
    3. Klicken Sie auf Endpunkte.

    4. Suchen Sie den Endpunkt OpenID Connect-Metadatendokument. Der Aussteller-URI ist der URI des OpenID Connect-Metadatendokuments ohne das abschließende /.well-known/openid-configuration.

      Wenn beispielsweise der URI des OpenID Connect-Metadatendokuments https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.well-known/openid-configuration lautet, ist der Aussteller-URI https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.

Workforce Identity-Pool erstellen

gcloud

Führen Sie folgenden Befehl aus, um den Workforce Identity-Pool zu erstellen:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Ersetzen Sie Folgendes:

  • WORKFORCE_POOL_ID: Eine ID, die Sie ausgewählt haben, um den Google Cloud -Workforce-Pool darzustellen. Die Pool-ID muss unter allen Workforce Identity-Pools in Google Cloudglobal eindeutig sein. Informationen zum Formatieren der ID finden Sie in der API-Dokumentation im Abschnitt Abfrageparameter.
  • ORGANIZATION_ID: die numerische Organisations-ID Ihrer Google Cloud -Organisation für den Workforce Identity-Pool. Workforce Identity-Pools sind für alle Projekte und Ordner in der Organisation verfügbar.
  • DISPLAY_NAME: Optional. Ein Anzeigename für Ihren Workforce Identity-Pool.
  • DESCRIPTION: Optional. Beschreibung des Workforce Identity-Pools.
  • SESSION_DURATION: Optional. Die Sitzungsdauer als Zahl mit dem Suffix s, z. B. 3600s. Die Sitzungsdauer bestimmt, wie lange die Google Cloud -Zugriffstokens, die Console (föderiert)-Anmeldesitzungen und die gcloud CLI-Anmeldungssitzungen aus diesem Workforce-Pool gültig sind. Die Sitzungsdauer beträgt standardmäßig eine Stunde (3.600 Sekunden). Der Wert für die Sitzungsdauer muss zwischen 15 Minuten (900 s) und 12 Stunden (43.200 s) liegen.

Console

So erstellen Sie den Workforce Identity-Pool:

  1. Rufen Sie in der Google Cloud Console die Seite Workforce Identity-Pools auf:

    Zu Workforce Identity-Pools

  2. Wählen Sie die Organisation für Ihren Workforce Identity-Pool aus. Personalidentitätspools sind in allen Projekten und Ordnern einer Organisation verfügbar.

  3. Klicken Sie auf Pool erstellen und gehen Sie so vor:

    1. Geben Sie im Feld Name den Anzeigenamen des Pools ein. Die Pool-ID wird während der Eingabe automatisch aus dem Namen abgeleitet und unter dem Feld Name angezeigt. Sie können die Pool-ID aktualisieren, indem Sie neben der Pool-ID auf Bearbeiten klicken.

    2. Optional: Geben Sie unter Beschreibung eine Beschreibung des Pools ein.

    3. Klicken Sie zum Erstellen des Workforce Identity-Pools auf Weiter.

Die Sitzungsdauer des Mitarbeiteridentitätspools beträgt standardmäßig eine Stunde (3.600 s). Die Sitzungsdauer bestimmt, wie lange die Google Cloud -Zugriffstokens, die Console (föderiert) und die gcloud CLI-Anmeldesitzungen aus diesem Workforce-Pool gültig sind. Nachdem Sie den Pool erstellt haben, können Sie ihn aktualisieren, um eine benutzerdefinierte Sitzungsdauer festzulegen. Die Sitzungsdauer muss zwischen 15 Minuten (900 Sek.) und 12 Stunden (43.200 Sek.) liegen.

OIDC-Workforce Identity-Pool-Anbieter für den impliziten Ablauf konfigurieren

gcloud

Mit dem folgenden Befehl erstellen Sie den Anbieter des OIDC-Mitarbeiteridentitätspools:

gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global \
    --display-name=DISPLAY_NAME \
    --issuer-uri=ISSUER_URI \
    --client-id=CLIENT_ID \
    --attribute-mapping=ATTRIBUTE_MAPPING \
    --web-sso-response-type=id-token \
    --web-sso-assertion-claims-behavior=only-id-token-claims \
    --extra-attributes-issuer-uri=EXTRA_ATTRIBUTES_ISSUER_URI \
    --vendor-type="entra-id" \
    --extra-attributes-client-id=EXTRA_ATTRIBUTES_CLIENT_ID \
    --extra-attributes-client-secret-value=EXTRA_ATTRIBUTES_CLIENT_SECRET \
    --extra-attributes-type=EXTRA_ATTRIBUTES_TYPE  \
    --extra-attributes-filter=EXTRA_ATTRIBUTES_FILTER \
    --detailed-audit-logging

Ersetzen Sie Folgendes:

  • PROVIDER_ID: eine eindeutige Anbieter-ID Das Präfix gcp- ist reserviert und kann nicht in einem Pool oder einer Anbieter-ID verwendet werden.
  • WORKFORCE_POOL_ID: die ID des Workforce-Pools.
  • DISPLAY_NAME: Ein Anzeigename für den Anbieter.
  • ISSUER_URI: der Aussteller-URI aus der Microsoft Entra ID-Anwendung, die Sie zuvor in diesem Dokument erstellt haben.
  • CLIENT_ID: die Client-ID aus Ihrer Microsoft Entra ID-Anwendung.
  • ATTRIBUTE_MAPPING: die Zuordnung von Attributen aus Microsoft Entra ID zu Google Cloud. Wenn Sie --extra-attributes-Flags verwenden, um Gruppen von Microsoft Entra ID abzufragen, wird jede google.groups-Zuordnung ignoriert, die Standard-SAML- oder OIDC-Anforderungen verwendet. Wenn Sie beispielsweise die Attribute groups und subject aus Microsoft Entra ID zuordnen möchten, verwenden Sie die folgende Attributzuordnung: 
    --attribute-mapping="google.groups=assertion.groups, google.subject=assertion.oid"

    Weitere Informationen finden Sie unter Attributzuordnung.

  • EXTRA_ATTRIBUTES_ISSUER_URI: der Aussteller-URI aus Ihrer Microsoft Entra ID-Anwendung.
  • EXTRA_ATTRIBUTES_CLIENT_ID: Die Client-ID aus Ihrer Microsoft Entra ID-Anwendung.
  • EXTRA_ATTRIBUTES_CLIENT_SECRET: Der zusätzliche Clientschlüssel aus Ihrer Microsoft Entra ID-Anwendung.
  • EXTRA_ATTRIBUTES_TYPE: Verwenden Sie azure-ad-groups-mail, um die E‑Mail-Adressen der Gruppen abzurufen. Verwenden Sie azure-ad-groups-id, um die IDs der Gruppen abzurufen. Verwenden Sie azure-ad-groups-display-name, um die Anzeigenamen der Gruppen abzurufen.
  • EXTRA_ATTRIBUTES_FILTER: Optional. Ein Filterausdruck, mit dem die Microsoft Graph API nach Gruppen abgefragt wird. Mit diesem Parameter können Sie dafür sorgen, dass die Anzahl der aus dem IdP abgerufenen Gruppen unter dem Limit von 400 Gruppen bleibt.

    Im folgenden Beispiel werden die Gruppen abgerufen, deren E-Mail-ID das Präfix sales hat: 

    --extra-attributes-filter='"mail:sales"'

    Mit dem folgenden Ausdruck werden Gruppen mit einem Anzeigenamen abgerufen, der den String sales enthält.

    --extra-attributes-filter='"displayName:sales"'

  • Bei der detaillierten Audit-Protokollierung der Workforce Identity-Föderation werden Informationen, die von Ihrem IdP empfangen werden, in Logging protokolliert. Detaillierte Audit-Logs können Ihnen bei der Fehlerbehebung bei der Konfiguration Ihres Anbieters für Workforce Identity-Pools helfen. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detailliertem Audit-Logging finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Preisen für Logging finden Sie unter Google Cloud Observability-Preise.

    Wenn Sie das detaillierte Audit-Logging für einen Workforce Identity-Pool-Anbieter deaktivieren möchten, lassen Sie das Flag --detailed-audit-logging weg, wenn Sie gcloud iam workforce-pools providers create ausführen. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Workforce Identity-Pools auf:

    2. Zu Workforce Identity-Pools

  2. Wählen Sie in der Tabelle Workforce Identity-Pools den Pool aus, für den Sie den Anbieter erstellen möchten.
  3. Klicken Sie im Bereich Anbieter auf Anbieter hinzufügen.
  4. Wählen Sie in der Liste Anbieter auswählen Ihren Identitätsanbieter (IdP) aus.

    Wenn Ihr IdP nicht aufgeführt ist, wählen Sie Generischer Identitätsanbieter aus.

  5. Wählen Sie unter Authentifizierungsprotokoll auswählen die Option OpenID Connect (OIDC) aus.
  6. Führen Sie im Abschnitt Anbieter erstellen die folgenden Schritte aus:
    1. Geben Sie unter Name den Namen des Anbieters ein.
    2. Geben Sie unter Beschreibung eine Beschreibung für den Anbieter ein.
    3. Geben Sie unter Aussteller (URL) den URI des Ausstellers ein. Der OIDC-Aussteller-URI muss ein gültiges URI-Format haben und mit https beginnen. Beispiel: https://example.com/oidc
    4. Geben Sie unter Client-ID die OIDC-Client-ID ein, die bei Ihrem OIDC-IdP registriert ist. Die ID muss mit der aud-Anforderung des JWT übereinstimmen, die von Ihrem IdP ausgestellt wird.

    5. Wenn Sie einen aktivierten Anbieter erstellen möchten, muss die Option Anbieter aktivieren aktiviert sein.

    6. Klicken Sie auf Weiter.
  7. Kopieren Sie im Abschnitt Anbieterinformationen mit IdP teilen die URL. Konfigurieren Sie diese URL in Ihrem IdP als Weiterleitungs-URI, damit Ihr IdP weiß, wohin das Assertion-Token nach der Anmeldung gesendet werden soll.
  8. Klicken Sie auf Weiter.
  9. Führen Sie im Abschnitt OIDC-Webanmeldung konfigurieren die folgenden Schritte aus:
    1. Wählen Sie in der Liste Flow-Typ die Option ID-Token aus.
    2. In der Liste Verhalten bei Assertion-Anforderungen ist ID-Token ausgewählt.
  10. Klicken Sie auf Weiter.
  11. Optional: Wenn Sie das detaillierte Audit-Logging aktivieren möchten, klicken Sie im Abschnitt Anbieter konfigurieren für Detailliertes Logging auf den Schalter Audit-Logging für Attributwerte aktivieren.

    Bei der detaillierten Audit-Protokollierung der Workforce Identity-Föderation werden Informationen, die von Ihrem IdP empfangen werden, in Logging protokolliert. Mit dem detaillierten Audit-Logging können Sie Probleme mit der Konfiguration Ihres Anbieters für Workforce Identity-Pools beheben. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detailliertem Audit-Logging finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Preisen für Logging finden Sie unter Google Cloud Observability-Preise.

    Wenn Sie das detaillierte Audit-Logging für einen Anbieter von Workforce Identity-Pools deaktivieren möchten, lassen Sie die Ein/Aus-Schaltfläche Audit-Logging für Attributwerte aktivieren beim Erstellen des Anbieters deaktiviert. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

  12. Klicken Sie auf Senden, um den Anbieter zu erstellen.

Nachdem der Anbieter erstellt wurde, werden Sie zur Seite mit den Anbieterattributen weitergeleitet.

So konfigurieren Sie Attributzuordnungen und ‑bedingungen:

  1. Melden Sie sich bei Aufforderung bei Ihrem externen IdP an, um die Standardattributzuordnungen zu validieren.
  2. Auf der Seite „Anbieterattribute“ können Sie die Attributzuordnungen und ‑bedingungen ansehen und bearbeiten:
    1. So fügen Sie Attributzuordnungen hinzu oder bearbeiten sie:
      1. Klicken Sie auf Zuordnung hinzufügen, um eine neue Zuordnung hinzuzufügen, oder bearbeiten Sie die vorhandenen Zuordnungen.
      2. Geben Sie im Feld Google n, wobei n eine Zahl ist, einen der vonGoogle Cloudunterstützten Schlüssel ein.
      3. Geben Sie im entsprechenden Feld OIDC n den Namen des IdP-spezifischen Felds im CEL-Format ein.
    2. So erhöhen Sie die Anzahl der Gruppen:
      1. Klicken Sie auf Aktivieren, um zusätzliche Attribute zu aktivieren.
      2. Geben Sie in der geöffneten Unteraufgabe die folgenden Details ein:
        1. Geben Sie im Feld Aussteller-URI für zusätzliche Attribute die Aussteller-URL ein.
        2. Geben Sie im Feld Client-ID für zusätzliche Attribute die Client-ID ein.
        3. Geben Sie im Feld Clientschlüssel für zusätzliche Attribute den Clientschlüssel ein.
        4. Wählen Sie in der Liste Typ für zusätzliche Attribute einen Attributtyp für zusätzliche Attribute aus.
        5. Geben Sie im Feld Filter für zusätzliche Attribute einen Filterausdruck ein, mit dem die Microsoft Graph API nach Gruppen abgefragt wird.
        6. Klicken Sie auf Aktivieren.

      Nachdem Sie zusätzliche Attribute aktiviert haben, können Sie auf Bearbeiten klicken, um die Unteraufgabe wieder zu öffnen und die Details zu bearbeiten, oder auf Deaktivieren, um zusätzliche Attribute zu deaktivieren.

    3. So fügen Sie eine Attributbedingung hinzu:
      1. Klicken Sie auf Bedingung hinzufügen.
      2. Geben Sie im Feld Attributbedingungen eine Bedingung im CEL-Format ein, z. B. assertion.role == 'gcp-users'. Durch diese Beispielbedingung wird gewährleistet, dass sich nur Nutzer mit der Rolle gcp-users über diesen Anbieter anmelden können.
  3. Klicken Sie zum Validieren der Zuordnungen auf Speichern und Token neu abrufen.
  4. Klicken Sie auf Speichern und beenden, um die Einrichtung abzuschließen.

Viele Gruppen in Microsoft Entra ID mit dem OIDC-Codefluss konfigurieren

In diesem Abschnitt wird beschrieben, wie Sie bis zu 400 Gruppen von Microsoft Entra ID der Workforce Identity-Föderation zuordnen. Dazu verwenden Sie das OIDC-Protokoll mit Codefluss.

Microsoft Entra ID-Anwendung konfigurieren

Sie können eine vorhandene Microsoft Entra ID-Anwendung konfigurieren oder eine neue erstellen. So konfigurieren Sie Ihre Anwendung:

  1. Führen Sie im Microsoft Entra ID-Portal die folgenden Schritte aus:
    • Folgen Sie der Anleitung unter Neue Anwendung registrieren, um eine neue Anwendung zu registrieren.
    • So aktualisieren Sie eine vorhandene Anwendung:
      • Rufen Sie Entra ID > App-Registrierungen auf.
      • Wählen Sie die Anwendung aus, die Sie aktualisieren möchten.
  2. Erstellen Sie in der Anwendung einen neuen Clientschlüssel. Folgen Sie dazu der Anleitung unter Zertifikate und Secrets. Notieren Sie sich den Clientschlüsselwert, da er nur einmal angezeigt wird.

  3. Fügen Sie die API-Berechtigung hinzu, damit die Workforce Identity-Föderation über die Microsoft Graph API auf die Informationen von Nutzern aus Microsoft Entra ID zugreifen kann:

    1. Rufen Sie API-Berechtigungen auf.
    2. Klicken Sie auf Berechtigung hinzufügen.
    3. Wählen Sie Microsoft Graph aus.
    4. Wählen Sie Anwendungsberechtigungen aus.
    5. Geben Sie im Suchfeld User.ReadBasic.All ein.
    6. Wählen Sie User.ReadBasic.All aus und klicken Sie dann auf Berechtigungen hinzufügen.

  4. Sie können Microsoft Entra ID-Gruppen über eine Gruppenobjekt-ID, eine Gruppen-E-Mail-Adresse für E-Mail-fähige Gruppen oder einen Gruppennamen abrufen.

    Wenn Sie Gruppen als Gruppen-E-Mail-Adressen oder Anzeigenamen abrufen, gehen Sie so vor: Wenn Sie Gruppen als Gruppenobjektkennungen abrufen, überspringen Sie diesen Schritt.

    1. Klicken Sie unter API-Berechtigungen auf Berechtigung hinzufügen.
    2. Wählen Sie Microsoft Graph aus.
    3. Wählen Sie Anwendungsberechtigungen aus.
    4. Geben Sie im Suchfeld GroupMember.Read.All ein.
    5. Wählen Sie GroupMember.Read.All aus und klicken Sie dann auf Berechtigungen hinzufügen.

  5. Erteilen Sie die Administratoreinwilligung für die konfigurierten API-Berechtigungen:

    1. Klicken Sie unter Konfigurierte Berechtigungen auf Administratoreinwilligung erteilen für TENANT_NAME.
    2. Wenn Sie zur Bestätigung aufgefordert werden, klicken Sie auf Ja.

  6. Notieren Sie sich die folgenden Konfigurationswerte aus Ihrer Anwendung, um den Anbieter des Workforce-Identitätspools später in diesem Dokument zu konfigurieren:

    1. Rufen Sie die Seite Übersicht Ihrer Microsoft Entra ID-Anwendungsregistrierung auf.
    2. Notieren Sie sich die folgenden Werte:
      • Anwendungs-ID (Client-ID)
      • Verzeichnis-ID (Mandanten-ID)
      • Clientschlüssel: der Wert, den Sie zuvor notiert haben.
    3. Klicken Sie auf Endpunkte.

    4. Suchen Sie den Endpunkt OpenID Connect-Metadatendokument. Der Aussteller-URI ist der URI des OpenID Connect-Metadatendokuments ohne das abschließende /.well-known/openid-configuration.

      Wenn beispielsweise der URI des OpenID Connect-Metadatendokuments https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.well-known/openid-configuration lautet, ist der Aussteller-URI https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.

Workforce Identity-Pool erstellen

gcloud

Führen Sie folgenden Befehl aus, um den Workforce Identity-Pool zu erstellen:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Ersetzen Sie Folgendes:

  • WORKFORCE_POOL_ID: Eine ID, die Sie ausgewählt haben, um den Google Cloud -Workforce-Pool darzustellen. Die Pool-ID muss unter allen Workforce Identity-Pools in Google Cloudglobal eindeutig sein. Informationen zum Formatieren der ID finden Sie in der API-Dokumentation im Abschnitt Abfrageparameter.
  • ORGANIZATION_ID: die numerische Organisations-ID Ihrer Google Cloud -Organisation für den Workforce Identity-Pool. Workforce Identity-Pools sind für alle Projekte und Ordner in der Organisation verfügbar.
  • DISPLAY_NAME: Optional. Ein Anzeigename für Ihren Workforce Identity-Pool.
  • DESCRIPTION: Optional. Beschreibung des Workforce Identity-Pools.
  • SESSION_DURATION: Optional. Die Sitzungsdauer als Zahl mit dem Suffix s, z. B. 3600s. Die Sitzungsdauer bestimmt, wie lange die Google Cloud -Zugriffstokens, die Console (föderiert)-Anmeldesitzungen und die gcloud CLI-Anmeldungssitzungen aus diesem Workforce-Pool gültig sind. Die Sitzungsdauer beträgt standardmäßig eine Stunde (3.600 s). Der Wert für die Sitzungsdauer muss zwischen 15 Minuten (900 s) und 12 Stunden (43.200 s) liegen.

Console

So erstellen Sie den Workforce Identity-Pool:

  1. Rufen Sie in der Google Cloud Console die Seite Workforce Identity-Pools auf:

    Zu Workforce Identity-Pools

  2. Wählen Sie die Organisation für Ihren Workforce Identity-Pool aus. Workforce Identity-Pools sind in allen Projekten und Ordnern einer Organisation verfügbar.

  3. Klicken Sie auf Pool erstellen und gehen Sie so vor:

    1. Geben Sie im Feld Name den Anzeigenamen des Pools ein. Die Pool-ID wird während der Eingabe automatisch aus dem Namen abgeleitet und unter dem Feld Name angezeigt. Sie können die Pool-ID aktualisieren, indem Sie neben der Pool-ID auf Bearbeiten klicken.

    2. Optional: Geben Sie unter Beschreibung eine Beschreibung des Pools ein.

    3. Klicken Sie zum Erstellen des Workforce Identity-Pools auf Weiter.

Die Sitzungsdauer des Workforce Identity-Pools ist standardmäßig auf eine Stunde (3.600 Sekunden) festgelegt. Die Sitzungsdauer bestimmt, wie lange die Google Cloud -Zugriffstokens, die Console (föderiert) und die gcloud CLI-Anmeldesitzungen aus diesem Workforce-Pool gültig sind. Nachdem Sie den Pool erstellt haben, können Sie ihn aktualisieren, um eine benutzerdefinierte Sitzungsdauer festzulegen. Die Sitzungsdauer muss zwischen 15 Minuten (900 Sek.) und 12 Stunden (43.200 Sek.) liegen.

Anbieter des OIDC-Codefluss-Workforce Identity-Pools konfigurieren

gcloud

Führen Sie den folgenden Befehl aus, um den Anbieter des OIDC-Mitarbeiteridentitätspools zu erstellen:

gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global \
    --display-name=DISPLAY_NAME \
    --issuer-uri=ISSUER_URI \
    --client-id=CLIENT_ID \
    --client-secret-value="OIDC_CLIENT_SECRET" \
    --attribute-mapping=ATTRIBUTE_MAPPING \
    --web-sso-response-type=code \
    --web-sso-assertion-claims-behavior=merge-user-info-over-id-token-claims \
    --extra-attributes-issuer-uri=EXTRA_ATTRIBUTES_ISSUER_URI \
    --vendor-type="entra-id" \
    --extra-attributes-client-id=EXTRA_ATTRIBUTES_CLIENT_ID \
    --extra-attributes-client-secret-value=EXTRA_ATTRIBUTES_CLIENT_SECRET \
    --extra-attributes-type=EXTRA_ATTRIBUTES_TYPE  \
    --extra-attributes-filter=EXTRA_ATTRIBUTES_FILTER \
    --detailed-audit-logging

Ersetzen Sie Folgendes:

  • PROVIDER_ID: eine eindeutige Anbieter-ID Das Präfix gcp- ist reserviert und kann nicht in einem Pool oder einer Anbieter-ID verwendet werden.
  • WORKFORCE_POOL_ID: die ID des Workforce-Pools.
  • DISPLAY_NAME: Ein Anzeigename für den Anbieter.
  • ISSUER_URI: der Aussteller-URI aus der Microsoft Entra ID-Anwendung, die Sie zuvor in diesem Dokument erstellt haben.
  • CLIENT_ID: die Client-ID aus Ihrer Microsoft Entra ID-Anwendung.
  • ATTRIBUTE_MAPPING: die Zuordnung von Attributen aus Microsoft Entra ID zu Google Cloud. Wenn Sie --extra-attributes-Flags verwenden, um Gruppen von Microsoft Entra ID abzufragen, wird jede google.groups-Zuordnung ignoriert, die Standard-SAML- oder OIDC-Anforderungen verwendet. Wenn Sie beispielsweise die Attribute groups und subject aus Microsoft Entra ID zuordnen möchten, verwenden Sie die folgende Attributzuordnung: 
    --attribute-mapping="google.groups=assertion.groups, google.subject=assertion.oid"

    Weitere Informationen finden Sie unter Attributzuordnung.

  • EXTRA_ATTRIBUTES_ISSUER_URI: der Aussteller-URI aus Ihrer Microsoft Entra ID-Anwendung.
  • EXTRA_ATTRIBUTES_CLIENT_ID: Die Client-ID aus Ihrer Microsoft Entra ID-Anwendung.
  • EXTRA_ATTRIBUTES_CLIENT_SECRET: Der zusätzliche Clientschlüssel aus Ihrer Microsoft Entra ID-Anwendung.
  • EXTRA_ATTRIBUTES_TYPE: Verwenden Sie azure-ad-groups-mail, um die E‑Mail-Adressen der Gruppen abzurufen. Verwenden Sie azure-ad-groups-id, um die IDs der Gruppen abzurufen. Verwenden Sie azure-ad-groups-display-name, um die Anzeigenamen der Gruppen abzurufen.
  • EXTRA_ATTRIBUTES_FILTER: Optional. Ein Filterausdruck, mit dem die Microsoft Graph API nach Gruppen abgefragt wird. Mit diesem Parameter können Sie dafür sorgen, dass die Anzahl der aus dem IdP abgerufenen Gruppen unter dem Limit von 400 Gruppen bleibt.

    Im folgenden Beispiel werden die Gruppen abgerufen, deren E-Mail-ID das Präfix sales hat: 

    --extra-attributes-filter='"mail:sales"'

    Mit dem folgenden Ausdruck werden Gruppen mit einem Anzeigenamen abgerufen, der den String sales enthält.

    --extra-attributes-filter='"displayName:sales"'

  • Bei der detaillierten Audit-Protokollierung der Workforce Identity-Föderation werden Informationen, die von Ihrem IdP empfangen werden, in Logging protokolliert. Mit dem detaillierten Audit-Logging können Sie Probleme mit der Konfiguration Ihres Anbieters für Workforce Identity-Pools beheben. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detaillierter Audit-Protokollierung finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Preisen für Logging finden Sie unter Google Cloud Observability-Preise.

    Wenn Sie das detaillierte Audit-Logging für einen Workforce Identity-Pool-Anbieter deaktivieren möchten, lassen Sie das Flag --detailed-audit-logging weg, wenn Sie gcloud iam workforce-pools providers create ausführen. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Mitarbeiteridentitätspools auf:

    2. Zu Workforce Identity-Pools

  2. Wählen Sie in der Tabelle Workforce Identity-Pools den Pool aus, für den Sie den Anbieter erstellen möchten.
  3. Klicken Sie im Bereich Anbieter auf Anbieter hinzufügen.
  4. Wählen Sie in der Liste Anbieter auswählen Ihren Identitätsanbieter (IdP) aus.

    Wenn Ihr IdP nicht aufgeführt ist, wählen Sie Generischer Identitätsanbieter aus.

  5. Wählen Sie unter Authentifizierungsprotokoll auswählen die Option OpenID Connect (OIDC) aus.
  6. Führen Sie im Abschnitt Anbieter erstellen die folgenden Schritte aus:
    1. Geben Sie unter Name den Namen des Anbieters ein.
    2. Geben Sie unter Beschreibung eine Beschreibung für den Anbieter ein.
    3. Geben Sie unter Aussteller (URL) den URI des Ausstellers ein. Der OIDC-Aussteller-URI muss ein gültiges URI-Format haben und mit https beginnen. Beispiel: https://example.com/oidc
    4. Geben Sie unter Client-ID die OIDC-Client-ID ein, die bei Ihrem OIDC-IdP registriert ist. Die ID muss mit der aud-Anforderung des JWT übereinstimmen, die von Ihrem IdP ausgestellt wird.

    5. Wenn Sie einen aktivierten Anbieter erstellen möchten, muss die Option Anbieter aktivieren aktiviert sein.

    6. Klicken Sie auf Weiter.
  7. Kopieren Sie im Abschnitt Anbieterinformationen mit IdP teilen die URL. Konfigurieren Sie diese URL in Ihrem IdP als Weiterleitungs-URI, damit Ihr IdP weiß, wohin das Assertion-Token nach der Anmeldung gesendet werden soll.
  8. Klicken Sie auf Weiter.
  9. Führen Sie im Abschnitt OIDC-Webanmeldung konfigurieren die folgenden Schritte aus:
    1. Wählen Sie in der Liste Flow-Typ die Option Code aus.
    2. Wählen Sie in der Liste Verhalten bei Assertion-Anforderungen eine der folgenden Optionen aus:
      • Nutzerinformationen und ID-Token
      • Nur ID-Token
    3. Geben Sie im Feld Clientschlüssel den Clientschlüssel von Ihrem IdP ein.
  10. Klicken Sie auf Weiter.
  11. Optional: Wenn Sie das detaillierte Audit-Logging aktivieren möchten, klicken Sie im Abschnitt Anbieter konfigurieren für Detailliertes Logging auf den Schalter Audit-Logging für Attributwerte aktivieren.

    Bei der detaillierten Audit-Protokollierung der Workforce Identity-Föderation werden Informationen, die von Ihrem IdP empfangen werden, in Logging protokolliert. Mit dem detaillierten Audit-Logging können Sie Probleme mit der Konfiguration Ihres Anbieters für Workforce Identity-Pools beheben. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detailliertem Audit-Logging finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Preisen für Logging finden Sie unter Google Cloud Observability-Preise.

    Wenn Sie das detaillierte Audit-Logging für einen Anbieter von Workforce Identity-Pools deaktivieren möchten, lassen Sie die Option Audit-Logging für Attributwerte aktivieren beim Erstellen des Anbieters deaktiviert. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

  12. Klicken Sie auf Senden, um den Anbieter zu erstellen.

Nachdem der Anbieter erstellt wurde, werden Sie zur Seite mit den Anbieterattributen weitergeleitet.

So konfigurieren Sie Attributzuordnungen und ‑bedingungen:

  1. Melden Sie sich bei Aufforderung bei Ihrem externen IdP an, um die Standardattributzuordnungen zu validieren.
  2. Auf der Seite „Anbieterattribute“ können Sie die Attributzuordnungen und ‑bedingungen ansehen und bearbeiten:
    1. So fügen Sie Attributzuordnungen hinzu oder bearbeiten sie:
      1. Klicken Sie auf Zuordnung hinzufügen, um eine neue Zuordnung hinzuzufügen, oder bearbeiten Sie die vorhandenen Zuordnungen.
      2. Geben Sie im Feld Google n, wobei n eine Zahl ist, einen der vonGoogle Cloudunterstützten Schlüssel ein.
      3. Geben Sie im entsprechenden Feld OIDC n den Namen des IdP-spezifischen Felds im CEL-Format ein.
    2. So erhöhen Sie die Anzahl der Gruppen:
      1. Klicken Sie auf Aktivieren, um zusätzliche Attribute zu aktivieren.
      2. Geben Sie in der geöffneten Unteraufgabe die folgenden Details ein:
        1. Geben Sie im Feld Aussteller-URI für zusätzliche Attribute die Aussteller-URL ein.
        2. Geben Sie im Feld Client-ID für zusätzliche Attribute die Client-ID ein.
        3. Geben Sie im Feld Clientschlüssel für zusätzliche Attribute den Clientschlüssel ein.
        4. Wählen Sie in der Liste Typ für zusätzliche Attribute einen Attributtyp für zusätzliche Attribute aus.
        5. Geben Sie im Feld Filter für zusätzliche Attribute einen Filterausdruck ein, mit dem die Microsoft Graph API nach Gruppen abgefragt wird.
        6. Klicken Sie auf Aktivieren.

      Nachdem Sie zusätzliche Attribute aktiviert haben, können Sie auf Bearbeiten klicken, um die Unteraufgabe wieder zu öffnen und die Details zu bearbeiten, oder auf Deaktivieren, um zusätzliche Attribute zu deaktivieren.

    3. So fügen Sie eine Attributbedingung hinzu:
      1. Klicken Sie auf Bedingung hinzufügen.
      2. Geben Sie im Feld Attributbedingungen eine Bedingung im CEL-Format ein, z. B. assertion.role == 'gcp-users'. Durch diese Beispielbedingung wird gewährleistet, dass sich nur Nutzer mit der Rolle gcp-users über diesen Anbieter anmelden können.
  3. Klicken Sie zum Validieren der Zuordnungen auf Speichern und Token neu abrufen.
  4. Klicken Sie auf Speichern und beenden, um die Einrichtung abzuschließen.

Große Anzahl von Gruppen in Microsoft Entra ID mit SAML 2.0 konfigurieren

In diesem Abschnitt wird beschrieben, wie Sie bis zu 400 Gruppen von Microsoft Entra ID mithilfe des SAML 2.0-Protokolls der Workforce Identity-Föderation zuordnen.

Microsoft Entra ID-Anwendung konfigurieren

Sie können eine vorhandene Microsoft Entra ID-Anwendung konfigurieren oder eine neue erstellen. So konfigurieren Sie Ihre Anwendung:

  1. Gehen Sie im Microsoft Entra ID-Portal so vor:
    • Folgen Sie der Anleitung unter Neue Anwendung registrieren, um eine neue Anwendung zu registrieren.
    • So aktualisieren Sie eine vorhandene Anwendung:
      • Gehen Sie zu Entra ID > App-Registrierungen.
      • Wählen Sie die Anwendung aus, die Sie aktualisieren möchten.
  2. Erstellen Sie in der Anwendung einen neuen Clientschlüssel. Folgen Sie dazu der Anleitung unter Zertifikate und Secrets. Notieren Sie sich den Clientschlüsselwert, da er nur einmal angezeigt wird.

  3. Fügen Sie die API-Berechtigung hinzu, damit die Workforce Identity-Föderation über die Microsoft Graph API auf die Informationen von Nutzern aus Microsoft Entra ID zugreifen kann:

    1. Rufen Sie API-Berechtigungen auf.
    2. Klicken Sie auf Berechtigung hinzufügen.
    3. Wählen Sie Microsoft Graph aus.
    4. Wählen Sie Anwendungsberechtigungen aus.
    5. Geben Sie im Suchfeld User.ReadBasic.All ein.
    6. Wählen Sie User.ReadBasic.All aus und klicken Sie dann auf Berechtigungen hinzufügen.

  4. Sie können Microsoft Entra ID-Gruppen über eine Gruppenobjekt-ID, eine Gruppen-E-Mail-Adresse für E-Mail-fähige Gruppen oder einen Gruppennamen abrufen.

    Wenn Sie Gruppen als Gruppen-E-Mail-Adressen oder Anzeigenamen abrufen, gehen Sie so vor: Wenn Sie Gruppen als Gruppenobjektkennungen abrufen, überspringen Sie diesen Schritt.

    1. Klicken Sie unter API-Berechtigungen auf Berechtigung hinzufügen.
    2. Wählen Sie Microsoft Graph aus.
    3. Wählen Sie Anwendungsberechtigungen aus.
    4. Geben Sie im Suchfeld GroupMember.Read.All ein.
    5. Wählen Sie GroupMember.Read.All aus und klicken Sie dann auf Berechtigungen hinzufügen.

  5. Erteilen Sie die Administratoreinwilligung für die konfigurierten API-Berechtigungen:

    1. Klicken Sie unter Konfigurierte Berechtigungen auf Administratoreinwilligung erteilen für TENANT_NAME.
    2. Wenn Sie zur Bestätigung aufgefordert werden, klicken Sie auf Ja.

  6. Notieren Sie sich die folgenden Konfigurationswerte aus Ihrer Anwendung, um den Anbieter des Workforce-Identitätspools später in diesem Dokument zu konfigurieren:

    1. Rufen Sie die Seite Übersicht Ihrer Microsoft Entra ID-Anwendungsregistrierung auf.
    2. Notieren Sie sich die folgenden Werte:
      • Anwendungs-ID (Client-ID)
      • Verzeichnis-ID (Mandanten-ID)
      • Clientschlüssel: der Wert, den Sie zuvor notiert haben.
    3. Klicken Sie auf Endpunkte.

    4. Suchen Sie den Endpunkt OpenID Connect-Metadatendokument. Der Aussteller-URI ist der URI des OpenID Connect-Metadatendokuments ohne das abschließende /.well-known/openid-configuration.

      Wenn der URI des OpenID Connect-Metadatendokuments beispielsweise https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.well-known/openid-configuration lautet, ist der Aussteller-URI https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.

Workforce Identity-Pool erstellen

gcloud

Führen Sie folgenden Befehl aus, um den Workforce Identity-Pool zu erstellen:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Ersetzen Sie Folgendes:

  • WORKFORCE_POOL_ID: Eine ID, die Sie auswählen, um Ihren Google Cloud Workforce-Pool darzustellen. Die Pool-ID muss unter allen Workforce Identity-Pools in Google Cloudglobal eindeutig sein. Informationen zum Formatieren der ID finden Sie in der API-Dokumentation im Abschnitt Abfrageparameter.
  • ORGANIZATION_ID: die numerische Organisations-ID Ihrer Google Cloud -Organisation für den Workforce Identity-Pool. Workforce Identity-Pools sind für alle Projekte und Ordner in der Organisation verfügbar.
  • DISPLAY_NAME: Optional. Ein Anzeigename für Ihren Workforce Identity-Pool.
  • DESCRIPTION: Optional. Beschreibung des Workforce Identity-Pools.
  • SESSION_DURATION: Optional. Die Sitzungsdauer, ausgedrückt als Zahl, an die s angehängt ist, z. B. 3600s. Die Sitzungsdauer bestimmt, wie lange die Google Cloud -Zugriffstokens, die Console (föderiert)-Anmeldesitzungen und die gcloud CLI-Anmeldungssitzungen aus diesem Workforce-Pool gültig sind. Die Sitzungsdauer beträgt standardmäßig eine Stunde (3.600 s). Der Wert für die Sitzungsdauer muss zwischen 15 Minuten (900 Sekunden) und 12 Stunden (43.200 Sekunden) liegen.

Console

So erstellen Sie den Workforce Identity-Pool:

  1. Rufen Sie in der Google Cloud Console die Seite Workforce Identity-Pools auf:

    Zu Workforce Identity-Pools

  2. Wählen Sie die Organisation für Ihren Pool der Mitarbeiteridentitätsföderation aus. Workforce Identity-Pools sind in allen Projekten und Ordnern einer Organisation verfügbar.

  3. Klicken Sie auf Pool erstellen und gehen Sie so vor:

    1. Geben Sie im Feld Name den Anzeigenamen des Pools ein. Die Pool-ID wird während der Eingabe automatisch aus dem Namen abgeleitet und unter dem Feld Name angezeigt. Sie können die Pool-ID aktualisieren, indem Sie neben der Pool-ID auf Bearbeiten klicken.

    2. Optional: Geben Sie unter Beschreibung eine Beschreibung des Pools ein.

    3. Klicken Sie zum Erstellen des Workforce Identity-Pools auf Weiter.

Die Sitzungsdauer des Mitarbeiteridentitätspools beträgt standardmäßig eine Stunde (3.600 s). Die Sitzungsdauer bestimmt, wie lange die Google Cloud -Zugriffstokens, die Console (föderiert) und die gcloud CLI-Anmeldesitzungen aus diesem Workforce-Pool gültig sind. Nachdem Sie den Pool erstellt haben, können Sie ihn aktualisieren, um eine benutzerdefinierte Sitzungsdauer festzulegen. Die Sitzungsdauer muss zwischen 15 Minuten (900 Sek.) und 12 Stunden (43.200 Sek.) liegen.

SAML 2.0-Workforce-Identity-Pool-Anbieter konfigurieren

gcloud

Mit dem folgenden Befehl erstellen Sie den Anbieter des SAML-Mitarbeiteridentitätspools:

gcloud iam workforce-pools providers create-saml PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global \
    --display-name=DISPLAY_NAME \
    --idp-metadata-path=XML_METADATA_PATH \
    --attribute-mapping=ATTRIBUTE_MAPPING \
    --extra-attributes-issuer-uri=EXTRA_ATTRIBUTES_ISSUER_URI \
    --vendor-type="entra-id" \
    --extra-attributes-client-id=EXTRA_ATTRIBUTES_CLIENT_ID \
    --extra-attributes-client-secret-value=EXTRA_ATTRIBUTES_CLIENT_SECRET \
    --extra-attributes-type=EXTRA_ATTRIBUTES_TYPE  \
    --extra-attributes-filter=EXTRA_ATTRIBUTES_FILTER \
    --detailed-audit-logging

Ersetzen Sie Folgendes:

  • PROVIDER_ID: eine eindeutige Anbieter-ID Das Präfix gcp- ist reserviert und kann nicht in einem Pool oder einer Anbieter-ID verwendet werden.
  • WORKFORCE_POOL_ID: die ID des Workforce-Pools.
  • DISPLAY_NAME: ein Anzeigename für den Anbieter.
  • XML_METADATA_PATH: der Pfad zur SAML 2.0-XML-Metadatendatei.
  • ATTRIBUTE_MAPPING: die Zuordnung von Attributen von Microsoft Entra ID zu Google Cloud. Wenn Sie --extra-attributes-Flags verwenden, um Gruppen von Microsoft Entra ID abzufragen, wird jede google.groups-Zuordnung ignoriert, die Standard-SAML- oder OIDC-Anforderungen verwendet. Wenn Sie beispielsweise die Attribute groups und subject aus Microsoft Entra ID zuordnen möchten, verwenden Sie die folgende Attributzuordnung: 
    --attribute-mapping="google.subject=assertion.attributes['http://schemas.microsoft.com/identity/claims/objectidentifier']"

    Weitere Informationen finden Sie unter Attributzuordnung.

  • EXTRA_ATTRIBUTES_ISSUER_URI: der Aussteller-URI aus Ihrer Microsoft Entra ID-Anwendung.
  • EXTRA_ATTRIBUTES_CLIENT_ID: Die Client-ID aus Ihrer Microsoft Entra ID-Anwendung.
  • EXTRA_ATTRIBUTES_CLIENT_SECRET: Der zusätzliche Clientschlüssel aus Ihrer Microsoft Entra ID-Anwendung.
  • EXTRA_ATTRIBUTES_TYPE: Verwenden Sie azure-ad-groups-mail, um die E‑Mail-Adressen der Gruppen abzurufen. Verwenden Sie azure-ad-groups-id, um die IDs der Gruppen abzurufen. Verwenden Sie azure-ad-groups-display-name, um die Anzeigenamen der Gruppen abzurufen.
  • EXTRA_ATTRIBUTES_FILTER: Optional. Ein Filterausdruck, mit dem die Microsoft Graph API nach Gruppen abgefragt wird. Mit diesem Parameter können Sie dafür sorgen, dass die Anzahl der aus dem IdP abgerufenen Gruppen unter dem Limit von 400 Gruppen bleibt.

    Im folgenden Beispiel werden die Gruppen abgerufen, deren E-Mail-ID das Präfix sales hat: 

    --extra-attributes-filter='"mail:sales"'

    Mit dem folgenden Ausdruck werden Gruppen mit einem Anzeigenamen abgerufen, der den String sales enthält.

    --extra-attributes-filter='"displayName:sales"'

  • Bei der detaillierten Audit-Protokollierung der Workforce Identity-Föderation werden Informationen, die von Ihrem IdP empfangen werden, in Logging protokolliert. Mit dem detaillierten Audit-Logging können Sie Probleme mit der Konfiguration Ihres Anbieters für Workforce Identity-Pools beheben. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detailliertem Audit-Logging finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Preisen für Logging finden Sie unter Google Cloud Observability-Preise.

    Wenn Sie das detaillierte Audit-Logging für einen Workforce Identity-Pool-Anbieter deaktivieren möchten, lassen Sie das Flag --detailed-audit-logging weg, wenn Sie gcloud iam workforce-pools providers create ausführen. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Mitarbeiteridentitätspools auf:

    2. Zu Workforce Identity-Pools

  2. Wählen Sie in der Tabelle Workforce Identity-Pools den Pool aus, für den Sie den Anbieter erstellen möchten.
  3. Klicken Sie im Bereich Anbieter auf Anbieter hinzufügen.
  4. Wählen Sie in der Liste Anbieter auswählen Ihren Identitätsanbieter (IdP) aus.

    Wenn Ihr IdP nicht aufgeführt ist, wählen Sie Generischer Identitätsanbieter aus.

  5. Wählen Sie unter Authentifizierungsprotokoll auswählen die Option SAML aus.
  6. Führen Sie im Abschnitt Anbieter erstellen die folgenden Schritte aus:
    1. Geben Sie unter Name einen Namen für den Anbieter ein.
    2. Optional: Geben Sie unter Beschreibung eine Beschreibung für den Anbieter ein.
    3. Wählen Sie in der IdP-Metadatendatei (XML) die XML-Metadatendatei aus, die Sie zuvor in dieser Anleitung generiert haben.
    4. Wenn Sie einen aktivierten Anbieter erstellen möchten, muss die Option Anbieter aktivieren aktiviert sein.
    5. Klicken Sie auf Weiter.
  7. Kopieren Sie im Abschnitt Anbieterinformationen freigeben die URLs. Konfigurieren Sie in Ihrem IdP die erste URL als Entitäts-ID, mit der Ihre Anwendung für den IdP identifiziert wird. Konfigurieren Sie die andere URL als Weiterleitungs-URI, die Ihrem IdP mitteilt, wohin das Assertion-Token nach der Anmeldung gesendet werden soll.
  8. Klicken Sie auf Weiter.
  9. Optional: Wenn Sie das detaillierte Audit-Logging aktivieren möchten, klicken Sie im Abschnitt Anbieter konfigurieren unter Detailliertes Logging auf den Schalter Audit-Logging für Attributwerte aktivieren.

    Bei der detaillierten Audit-Protokollierung der Workforce Identity-Föderation werden Informationen, die von Ihrem IdP empfangen werden, in Logging protokolliert. Detaillierte Audit-Logs können Ihnen bei der Fehlerbehebung bei der Konfiguration Ihres Anbieters für Workforce Identity-Pools helfen. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detaillierter Audit-Protokollierung finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Preisen für Logging finden Sie unter Google Cloud Observability-Preise.

    Wenn Sie das detaillierte Audit-Logging für einen Anbieter von Workforce Identity-Pools deaktivieren möchten, lassen Sie die Ein/Aus-Schaltfläche Audit-Logging für Attributwerte aktivieren beim Erstellen des Anbieters deaktiviert. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

  10. Klicken Sie auf Senden, um den Anbieter zu erstellen.

Nachdem der Anbieter erstellt wurde, werden Sie zur Seite mit den Anbieterattributen weitergeleitet.

So konfigurieren Sie Attributzuordnungen und ‑bedingungen:

  1. Melden Sie sich bei Aufforderung bei Ihrem externen IdP an, um die Standardattributzuordnungen zu validieren.
  2. Auf der Seite „Anbieterattribute“ können Sie die Attributzuordnungen und ‑bedingungen ansehen und bearbeiten:
    1. So fügen Sie Attributzuordnungen hinzu oder bearbeiten sie:
      1. Klicken Sie auf Zuordnung hinzufügen, um eine neue Zuordnung hinzuzufügen, oder bearbeiten Sie die vorhandenen Zuordnungen.
      2. Wählen Sie im Feld Google n, wobei n eine Zahl ist, einen von Google Cloudunterstützten Schlüssel aus.
      3. Geben Sie im entsprechenden Feld SAML n den Attributnamen des IdP oder einen CEL-Ausdruck ein, z. B.: 
        google.subject=assertion.subject
attribute.costcenter=assertion.attributes.costcenter[0]
         In diesem Beispiel wird das IdP-Attribut assertion.subject dem Attribut google.subject und das IdP-Attribut assertion.attributes.costcenter[0] dem Attribut attribute.costcenter zugeordnet.
    2. So erhöhen Sie die Anzahl der Gruppen:
      1. Klicken Sie bei zusätzlichen Attributen auf Aktivieren.
      2. Geben Sie in der geöffneten Unteraufgabe die Details ein:
        1. Geben Sie im Feld Aussteller-URI für zusätzliche Attribute die Aussteller-URL ein.
        2. Geben Sie im Feld Client-ID für zusätzliche Attribute die Client-ID ein.
        3. Geben Sie im Feld Clientschlüssel für zusätzliche Attribute den Clientschlüssel ein.
        4. Wählen Sie in der Liste Typ für zusätzliche Attribute einen Attributtyp für zusätzliche Attribute aus.
        5. Geben Sie im Feld Filter für zusätzliche Attribute einen Filterausdruck ein, mit dem die Microsoft Graph API nach Gruppen abgefragt wird.
        6. Klicken Sie auf Aktivieren.

      Nachdem Sie zusätzliche Attribute aktiviert haben, können Sie auf Bearbeiten klicken, um die Unteraufgabe wieder zu öffnen und die Details zu bearbeiten, oder auf Deaktivieren, um zusätzliche Attribute zu deaktivieren.

    3. So fügen Sie eine Attributbedingung hinzu:
      1. Klicken Sie auf Bedingung hinzufügen.
      2. Geben Sie im Feld Attributbedingungen eine Bedingung im CEL-Format ein. Wenn Sie beispielsweise das Attribut ipaddr auf einen bestimmten IP-Bereich beschränken möchten, können Sie die Bedingung assertion.attributes.ipaddr.startsWith('98.11.12.') festlegen. Durch diese Beispielbedingung wird gewährleistet, dass sich nur Nutzer mit einer IP-Adresse, die mit 98.11.12. beginnt, über diesen Workforce-Anbieter anmelden können.
  3. Klicken Sie auf Speichern und Token neu abrufen, um die Zuordnungen zu validieren.
  4. Klicken Sie auf Speichern und beenden, um die Einrichtung abzuschließen.

Anbieterkonfiguration überprüfen

Bevor Sie den Anmeldevorgang für Endnutzer testen, können Sie prüfen, ob die Konfiguration Ihres Anbieters korrekt ist und ob Google Cloud Tokens mit Ihrem IdP austauschen kann.

Die Seite Anbieterattribute validieren in der Google Cloud Console enthält eine Attributanzeige, mit der Sie Ihre Konfiguration interaktiv testen und CEL-Ausdrücke (Common Expression Language) debuggen können. Mit der Attributansicht können Sie Folgendes tun:

  • Sehen Sie sich die Rohattribute an, die in der IdP-Assertion gesendet wurden.
  • Prüfen Sie, ob Ihre Attributzuordnungen und ‑bedingungen diese Attribute richtig transformieren.
  • Komplexe CEL-Ausdrücke in Echtzeit debuggen

So prüfen Sie die Anbieterkonfiguration:

  1. Wenn Sie den browserbasierten Anmeldevorgang für die Workforce Identity-Föderation aktivieren möchten, fügen Sie https://auth.cloud.google/signin-callback/locations/global/workforcePools/POOL_ID/providers/PROVIDER_ID der Liste der zulässigen Weiterleitungs-URIs Ihres IdP hinzu.

  2. Rufen Sie in der Google Cloud Console Workforce Identity-Pools auf.

    Zu Workforce Identity-Pools
  3. Klicken Sie in der Liste der Pools auf den Namen des Pools, den Sie prüfen möchten.
  4. Klicken Sie auf der Seite Workforce-Pool-Details auf den Namen des IdP, den Sie bestätigen möchten.
  5. Klicken Sie auf der Seite Anbieterdetails auf IdP-Token debuggen.
  6. Melden Sie sich im Dialogfeld Anmelden als Testnutzer bei Ihrem IdP an.

Auf der Seite Anbieterattribute validieren werden die zugeordneten Attribute und das Ergebnis Ihrer Attributbedingung angezeigt.

Im Bereich Zugeordnete Attribute aus Ihrem IdP-Token sehen Sie, wie Google-Attribute wie google.subject basierend auf Ihrer Zuordnungskonfiguration aus dem Token Ihres Identitätsanbieters (IdP) übernommen werden. Wenn eine Zuordnung falsch ist, wird ein Fehlersymbol angezeigt.

Im Abschnitt Attributbedingung wird das boolesche Ergebnis Ihrer Bedingung angezeigt. Wenn die Bedingung false ergibt, wird die Anmeldung blockiert.

Wenn Sie das vollständige Assertion-Token ansehen möchten, klicken Sie auf Vollständiges Token ansehen. Hier wird das JSON-Rohobjekt von Ihrem IdP angezeigt. Verweisen Sie in Ihren Zuordnungen mit dem Format assertion.PROPERTY_NAME auf eine Eigenschaft der obersten Ebene.

Anbieterkonfiguration bearbeiten

Sie können die Konfiguration bearbeiten, um Fehler zu beheben:

  1. Klicken Sie auf der Seite Anbieterattribute validieren auf Bearbeiten.
  2. Nehmen Sie die erforderlichen Änderungen vor.
  3. Wenn Sie einen neuen Test starten und die aktualisierten Ergebnisse sehen möchten, klicken Sie auf Speichern und Token noch einmal abrufen.

Gruppen IAM-Rollen zuweisen

In diesem Abschnitt weisen Sie Gruppen Rollen für Google Cloud -Ressourcen zu. Weitere Informationen zu Hauptkonto-IDs der Mitarbeiteridentitätsföderation finden Sie unter Workforce-Pool-Nutzer in IAM-Richtlinien darstellen.

Im folgenden Beispiel wird Nutzern in einer Microsoft Entra ID-Gruppe die Rolle „Storage-Administrator“ (roles/storage.admin) zugewiesen. 

gcloud projects add-iam-policy-binding PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

Ersetzen Sie Folgendes:

  • PROJECT_ID: die Projekt-ID
  • WORKFORCE_POOL_ID: die ID des Workforce Identity-Pools
  • GROUP_ID: die Gruppen-ID, die vom Wert von --extra-attributes-type abhängt, der zum Erstellen des Workforce Identity-Anbieters verwendet wurde:
    • azure-ad-groups-mail: Die Gruppen-ID ist eine E-Mail-Adresse, z. B. admin-group@altostrat.com.
    • azure-ad-groups-id: Die Gruppen-ID ist eine UUID für die Gruppe, z. B. abcdefgh-0123-0123-abcdef.

Anmelden und Zugriff testen

In diesem Abschnitt melden Sie sich als Workforce Identity-Pool-Nutzer an und testen, ob Sie Zugriff auf Google Cloud -Ressourcen haben.

Anmelden

In diesem Abschnitt erfahren Sie, wie Sie sich als föderierter Nutzer anmelden und aufGoogle Cloud -Ressourcen zugreifen.

(Föderierte) Anmeldung bei der Console

So melden Sie sich in der Google Cloud Console für die Mitarbeiteridentitätsföderation an, die auch als Console (föderiert) bezeichnet wird:

  1. Rufen Sie die (föderierte) Anmeldeseite der Konsole auf.

    Zur Konsole (föderiert)

  2. Geben Sie den Namen des Anbieters ein. Er muss so formatiert sein: 
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

    3. Geben Sie die Nutzeranmeldedaten in Microsoft Entra ID ein, wenn Sie dazu aufgefordert werden.

    Wenn Sie eine IdP-initiierte Anmeldung starten, verwenden Sie für die Relay-URL Folgendes: https://console.cloud.google/.

Browserbasierte Anmeldung bei der gcloud CLI

So melden Sie sich mit einem browserbasierten Anmeldevorgang in der gcloud CLI an:

Konfigurationsdatei erstellen

Führen Sie den folgenden Befehl aus, um eine Konfigurationsdatei für die Anmeldung zu erstellen:

Linux und macOS

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

Windows (PowerShell)

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

Ersetzen Sie Folgendes:

  • WORKFORCE_POOL_ID: Die ID des Workforce Identity Federation-Pools.
  • WORKFORCE_PROVIDER_ID: Die ID des Anbieters der Mitarbeiteridentitätsföderation.
  • LOGIN_CONFIG_PATH: Der Pfad, in den die Konfigurationsdatei für die Anmeldung geschrieben werden soll. Beispiel: login-config.json.

Die Konfigurationsdatei für die Anmeldung enthält die Endpunkte, die von der gcloud CLI verwendet werden, um den browserbasierten Authentifizierungsvorgang zu aktivieren und die Zielgruppe auf den IdP festzulegen, der im Anbieter des Workforce Identity-Pools konfiguriert wurde. Die Datei enthält keine vertraulichen Informationen.

Der Inhalt der Konfigurationsdatei für die Anmeldung sieht in etwa so aus:

{
  "universe_domain": "googleapis.com",
  "universe_cloud_web_domain": "cloud.google",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.google/authorize",
  "token_url": "https://sts.googleapis.com/v1/oauthtoken",
  "token_info_url": "https://sts.googleapis.com/v1/introspect"
}

Mit der browserbasierten Authentifizierung anmelden

Verweisen Sie mit einer Umgebungsvariablen, einem Attribut in der aktiven gcloud CLI-Konfiguration auf die Konfigurationsdatei für die Anmeldung oder verwenden Sie sie direkt mit dem Befehl gcloud auth login:

Umgebungsvariable

So verwenden Sie die Konfigurationsdatei für die Anmeldung mit einer Umgebungsvariablen:

  1. Legen Sie die Umgebungsvariable CLOUDSDK_AUTH_LOGIN_CONFIG_FILE auf den Pfad der Konfigurationsdatei für die Anmeldung fest.

  2. Führen Sie dazu diesen Befehl aus:

    gcloud auth login
  3. Die gcloud CLI verweist auf die Umgebungsvariable, um die Anmeldekonfigurationsdatei zu finden, und startet dann den Authentifizierungsprozess. Folgen Sie dem browserbasierten Ablauf, um die gcloud CLI zu authentifizieren und zu autorisieren, damit sie bei zukünftigen Befehlen in Ihrem Namen auf Ressourcen zugreifen kann.

Wenn Sie die Konfigurationsdatei für die Anmeldung für gcloud auth login-Befehle nicht mehr verwenden möchten, löschen Sie die Umgebungsvariable CLOUDSDK_AUTH_LOGIN_CONFIG_FILE.

gcloud CLI-Konfiguration

So verwenden Sie die Konfigurationsdatei für die Anmeldung mit einem Konfigurationsattribut der gcloud CLI:

  1. Legen Sie das Attribut auth/login_config_file der aktiven gcloud CLI-Konfiguration mit dem folgenden Befehl auf den Pfad der Anmeldekonfigurationsdatei fest: 

    gcloud config set auth/login_config_file LOGIN_CONFIG_PATH

  2. Führen Sie dazu diesen Befehl aus:

    gcloud auth login
  3. Die gcloud CLI verweist auf das Konfigurationsattribut, um die Konfigurationsdatei für die Anmeldung zu finden, und startet dann den Authentifizierungsprozess. Folgen Sie dem browserbasierten Ablauf, um die gcloud CLI zu authentifizieren und zu autorisieren, in Ihrem Namen auf Ressourcen zuzugreifen.

Wenn Sie die Konfigurationsdatei für die Anmeldung nicht mehr für gcloud auth login-Befehle verwenden möchten, heben Sie die Einstellung des Attributs mit dem folgenden Befehl auf: 

gcloud config unset auth/login_config_file

gcloud auth login

Wenn Sie die Konfigurationsdatei für die Anmeldung direkt mit dem Befehl gcloud auth login verwenden möchten, folgen Sie dieser Anleitung:

  • Wenn Sie das Flag --activate beim Erstellen der Konfigurationsdatei für die Anmeldung verwendet haben, führen Sie den folgenden Befehl aus: 

    gcloud auth login

  • Wenn Sie das Flag --activate beim Erstellen der Konfigurationsdatei für die Anmeldung nicht verwendet haben, führen Sie den folgenden Befehl aus:

    Linux und macOS

    gcloud auth login \
    --login-config=LOGIN_CONFIG_PATH

    Windows (PowerShell)

    gcloud auth login `
    --login-config=LOGIN_CONFIG_PATH

    Ersetzen Sie LOGIN_CONFIG_PATH durch den Pfad Ihrer Konfigurationsdatei für die Anmeldung.

Mit dem Befehl gcloud auth login werden Zugriffsanmeldedaten in Ihrem Basisverzeichnis gespeichert. Das authentifizierte Hauptkonto wird zum aktiven Hauptkonto in Ihrer aktiven gcloud CLI-Konfiguration. Sofern nicht anders angegeben, verwendet die gcloud CLI diese gespeicherten Anmeldedaten für den Zugriff auf Google Cloud.

Monitorlose Anmeldung bei der gcloud CLI

So melden Sie sich mit der gcloud CLI in Microsoft Entra ID an:

OIDC

  1. Führen Sie die Schritte unter Anmeldeanfrage senden aus. Melden Sie den Nutzer mithilfe von Microsoft Entra ID und OIDC in Ihrer Anwendung an.

  2. Kopieren Sie das ID-Token aus dem Parameter id_token der Weiterleitungs-URL und speichern Sie es in einer Datei an einem sicheren Ort auf Ihrem lokalen Computer, wo. Sie Im späteren Schritt PATH_TO_OIDC_ID_TOKEN auf den Pfad zu dieser Datei festlegen.

  3. Führen Sie den folgenden Befehl aus, um eine Konfigurationsdatei ähnlich dem Beispiel weiter unten in diesem Schritt zu generieren:

    gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --subject-token-type=urn:ietf:params:oauth:token-type:id_token \
    --credential-source-file=PATH_TO_OIDC_ID_TOKEN \
    --workforce-pool-user-project=WORKFORCE_POOL_USER_PROJECT \
    --output-file=config.json

    Ersetzen Sie Folgendes:

    • WORKFORCE_POOL_ID: die ID des Workforce Identity-Pools
    • WORKFORCE_PROVIDER_ID: die ID des Anbieters des Workforce Identity-Pools.
    • PATH_TO_OIDC_ID_TOKEN ist der Pfad zum Speicherort der Datei, an dem das Identitätsanbieter-Token gespeichert ist.
    • WORKFORCE_POOL_USER_PROJECT: die Projektnummer oder ID, die für Kontingente und die Abrechnung verwendet wird. Das Hauptkonto muss die Berechtigung serviceusage.services.use für dieses Projekt haben.

    Wenn der Befehl abgeschlossen ist, wird die folgende Konfigurationsdatei von Microsoft Entra ID erstellt:

    {
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "subject_token_type": "urn:ietf:params:oauth:token-type:id_token",
  "token_url": "https://sts.googleapis.com/v1/token",
  "workforce_pool_user_project": "WORKFORCE_POOL_USER_PROJECT",
  "credential_source": {
    "file": "PATH_TO_OIDC_CREDENTIALS"
  }
}

  4. Öffnen Sie die gcloud-CLI und führen Sie den folgenden Befehl aus:

    gcloud auth login --cred-file=PATH_TO_OIDC_CREDENTIALS

    Ersetzen Sie PATH_TO_OIDC_CREDENTIALS durch den Pfad zur Ausgabedatei aus einem vorherigen Schritt.

    Die gcloud-CLI sendet Ihre Anmeldedaten transparent an den Endpunkt des Security Token-Services. Auf dem Endpunkt werden sie gegen temporäre Google Cloud -Zugriffstokens ausgetauscht.

    Sie können jetzt gcloud CLI-Befehle fürGoogle Cloudausführen.

SAML

  1. Melden Sie einen Nutzer bei Ihrer Microsoft Entra ID-Anwendung an und rufen Sie die SAML-Antwort ab.

  2. Speichern Sie die von Microsoft Entra ID zurückgegebene SAML-Antwort an einem sicheren Ort auf Ihrem lokalen Computer und speichern Sie den Pfad dann so:

    SAML_ASSERTION_PATH=SAML_ASSERTION_PATH

  3. Führen Sie den folgenden Befehl aus, um eine Konfigurationsdatei für Anmeldedaten zu generieren:

    gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --subject-token-type=urn:ietf:params:oauth:token-type:saml2 \
    --credential-source-file=SAML_ASSERTION_PATH  \
    --workforce-pool-user-project=PROJECT_ID  \
    --output-file=config.json

    Ersetzen Sie Folgendes:

    • WORKFORCE_PROVIDER_ID: die ID des Anbieters des Workforce Identity-Pools, den Sie zuvor in dieser Anleitung erstellt haben
    • WORKFORCE_POOL_ID: die ID des Workforce Identity-Pools, den Sie zuvor in dieser Anleitung erstellt haben.
    • SAML_ASSERTION_PATH: der Pfad der SAML-Assertion-Datei.
    • PROJECT_ID: die Projekt-ID

    Die generierte Konfigurationsdatei sieht in etwa so aus:

    {
   "type": "external_account",
   "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
   "subject_token_type": "urn:ietf:params:oauth:token-type:saml2",
   "token_url": "https://sts.googleapis.com/v1/token",
   "credential_source": {
     "file": "SAML_ASSERTION_PATH"
   },
   "workforce_pool_user_project": "PROJECT_ID"
}

  4. Führen Sie den folgenden Befehl aus, um sich mit dem Tokenaustausch der Workforce Identity Federation in der gcloud CLI anzumelden:

    gcloud auth login --cred-file=config.json

    Die gcloud CLI tauscht dann Ihre Microsoft Entra ID-Anmeldedaten transparent gegen temporäre Google Cloud -Zugriffstokens aus. Mit den Zugriffstokens können Sie auf Google Cloudzugreifen.

    Die Ausgabe sollte in etwa so aussehen:

    Authenticated with external account user credentials for:
[principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/USER_ID].

  5. Führen Sie folgenden Befehl aus, um die Konten mit Anmeldedaten und Ihr aktives Konto aufzulisten:

    gcloud auth list

Testzugriff

Sie haben jetzt Zugriff auf die Google Cloud -Produkte, die die Workforce Identity-Föderation unterstützen und auf die Sie Zugriff erhalten haben. Sie haben zuvor in diesem Dokument allen Identitäten innerhalb der Gruppen-ID, die Sie in gcloud projects add-iam-policy-binding für das Projekt TEST_PROJECT_ID angegeben haben, die Rolle „Storage-Admin“ (roles/storage.admin) zugewiesen.

Sie können jetzt testen, ob Sie Zugriff haben. Dazu listen Sie Cloud Storage-Buckets auf.

Konsole (föderiert)

So testen Sie, ob Sie über die Console (föderiert) Zugriff haben:

  • Rufen Sie die Cloud Storage-Seite auf.

    Cloud Storage aufrufen

  • Prüfen Sie, ob Sie die Liste der vorhandenen Buckets für den TEST_PROJECT_ID sehen.

gcloud-CLI

Wenn Sie testen möchten, ob Sie Zugriff über die gcloud CLI haben, können Sie Cloud Storage-Buckets und -Objekte für das Projekt auflisten, auf das Sie Zugriff haben. Führen Sie hierzu den folgenden Befehl aus. Das Hauptkonto muss die Berechtigung serviceusage.services.use für das angegebene Projekt haben.

gcloud storage ls --project="TEST_PROJECT_ID"

Nutzer löschen

Die Mitarbeiteridentitätsföderation erstellt Nutzermetadaten und -ressourcen für föderierte Nutzeridentitäten. Wenn Sie Nutzer in Ihrem IdP löschen, müssen Sie diese Ressourcen auch explizit in Google Cloudlöschen. Weitere Informationen finden Sie unter Nutzer und Daten der Mitarbeiteridentitätsföderation löschen.

Wenn Sie die aktiven Sitzungen eines Nutzers sofort beenden möchten, können Sie seine Sitzungen widerrufen. Weitere Informationen finden Sie unter Mitarbeiteridentitätsföderation – Nutzersitzungen widerrufen.

Möglicherweise werden Ressourcen weiterhin einem gelöschten Nutzer zugeordnet. Das liegt daran, dass das Löschen von Nutzermetadaten und ‑ressourcen einen Vorgang mit langer Ausführungszeit erfordert. Nachdem Sie das Löschen der Identität eines Nutzers eingeleitet haben, können Prozesse, die der Nutzer vor dem Löschen gestartet hat, bis zum Abschluss oder bis zur Abbrechen fortgesetzt werden.

Nächste Schritte