הגדרת איחוד שירותי אימות הזהות של כוח העבודה באמצעות Microsoft Entra ID

אתם יכולים להגדיר את איחוד שירותי אימות הזהות של כוח עבודה עם ספק הזהויות (IdP) של Microsoft Entra ID, ולמפות עד 400 קבוצות מ-Microsoft Entra ID ל- Google Cloud באמצעות Microsoft Graph. אחרי זה תוכלו להקצות תפקידי IAM לקבוצות האלה, וכך לאפשר למשתמשי Microsoft Entra ID בקבוצות האלה להיכנס ל- Google Cloud. המשתמשים יכולים לגשת למוצרי Google Cloud שקיבלו אליהם גישה ב-IAM, ושתומכים באיחוד שירותי אימות הזהות של כוח העבודה.

כדי למפות פחות מ-150 קבוצות מ-Microsoft Entra ID ל- Google Cloud, קראו את המאמר הגדרה של איחוד שירותי אימות הזהות של כוח העבודה באמצעות Microsoft Entra ID וכניסת משתמשים.

מושגים מרכזיים

בקטע הזה מתוארים מושגים שמשמשים להגדרת איחוד שירותי אימות הזהות של כוח עבודה, בהמשך המסמך.

מאפיינים נוספים

כדי למפות עד 400 קבוצות, אתם יכולים להשתמש במאפיינים נוספים על ידי ציון דגלי extra-attributes כשאתם יוצרים את הספק של מאגר הזהויות של כוח העבודה. אפשר להשתמש במאפיינים נוספים עם הפרוטוקולים הבאים:

• ‫OIDC עם זרם הענקת גישה משתמע
• ‫OIDC עם זרימת קוד
• פרוטוקול SAML 2.0

מספר כתובות האימייל של קבוצות שאפליקציית Microsoft Entra ID יכולה להנפיק באסימון מוגבל ל-150 ל-SAML ול-200 ל-JWT. מידע נוסף על המגבלה הזו זמין במאמר הגדרת בקשות של קבוצות משתמשים לאפליקציות באמצעות Microsoft Entra ID. כדי לאחזר קבוצות נוספות, איחוד שירותי אימות הזהות של כוח העבודה משתמש בתהליך של פרטי כניסה של לקוח OAuth 2.0 של Microsoft Identity כדי לקבל פרטי כניסה שמאפשרים לאיחוד שירותי אימות הזהות של כוח העבודה לשלוח שאילתות ל-Microsoft Graph API ולאחזר את הקבוצות של המשתמש.

כדי להשתמש במאפיינים נוספים, צריך לבצע את הפעולות הבאות:

• יוצרים אפליקציה חדשה ב-Microsoft Entra ID או מעדכנים את האפליקציה הקיימת כדי לקבל את החברות בקבוצות של המשתמשים מ-Microsoft Graph API. במאמר Group overages מוסבר איך Microsoft Graph מאחזר מספר גדול של קבוצות מ-Microsoft Entra ID.

• כשיוצרים את הספק של מאגר הזהויות של כוח העבודה, משתמשים בדגלים של extra-attributes כדי להגדיר את איחוד שירותי אימות הזהות של כוח העבודה, כך שיאחזר את כתובות האימייל או השמות המוצגים של קבוצות המשתמשים מ-Microsoft Graph API.

חשוב: אם מגדירים מאפיינים נוספים, המערכת מתעלמת מכל הקבוצות שצוינו בטענת הנכוֹנוּת (assertion) של SAML או OIDC. בנוסף, כל בעיה בהגדרות של מאפיינים נוספים, כמו מזהה לקוח או סוד לקוח שגויים, תגרום לכישלון של ניסיון הכניסה.

איחוד שירותי אימות הזהות של כוח העבודה יכול לאחזר עד 999 קבוצות מ-Microsoft Graph API. אם Microsoft Graph API מחזיר יותר מ-999 קבוצות, הכניסה נכשלת.

כדי לצמצם את מספר הקבוצות שמוחזרות על ידי Microsoft Graph API, אתם יכולים לצמצם את השאילתה של איחוד שירותי אימות הזהות של כוח העבודה באמצעות הדגל --extra-attributes-filter כשאתם יוצרים את הספק של מאגר הזהויות של כוח העבודה.

אחרי שאיחוד שירותי אימות הזהות של כוח העבודה מאחזר את הקבוצות מ-Microsoft Graph API, הוא מנפיק את טוקן הגישה. באיחוד שירותי אימות הזהות של כוח עבודה אפשר להוסיף עד 400 קבוצות לטוקן הגישה. כדי לסנן עוד יותר את מספר הקבוצות ל-400 או פחות, צריך לציין מיפוי מאפיינים שמכיל ביטויים של Common Expression Language‏ (CEL) כשיוצרים את הספק של מאגר הזהויות של כוח העבודה.

לפני שמתחילים

1. מוודאים שמוגדר ארגון ב- Google Cloud .

2. התקינו את ה-CLI של Google Cloud. אחר כך, אתחלו את ה-CLI של Google Cloud באמצעות הפקודה הבאה:

   gcloud init

   אם אתם משתמשים בספק זהויות חיצוני (IdP), קודם אתם צריכים להיכנס ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.

   הערה: אם התקנתם את ה-CLI של gcloud, השתמשו בפקודה gcloud components update כדי לבדוק אם הגרסה העדכנית מותקנת.
3. צריך לוודא שהטוקנים של המזהים ב-Microsoft Entra ID מאפשרים זרם הענקת גישה משתמע. מידע נוסף זמין במאמר הפעלת הענקת גישה משתמעת של טוקן מזהה.
4. כדי להיכנס, ספק הזהויות שלכם צריך לספק פרטי אימות חתומים: ספקי זהויות שתומכים ב-OIDC צריכים לספק אסימון JWT, ותשובות שמגיעות מספקי זהויות שתומכים ב-SAML חייבות להיות חתומות.
5. כדי לקבל מידע חשוב על שינויים בארגון או במוצריGoogle Cloud , צריך לספק אנשי קשר חיוניים. מידע נוסף זמין במאמר סקירה כללית על איחוד שירותי אימות הזהות של כוח עבודה.
6. כל הקבוצות שאתם מתכוונים למפות צריכות להיות מסומנות כקבוצות אבטחה ב-Microsoft Entra ID.
   חשוב: אפשר לאחזר עד 999 קבוצות.

עלויות

איחוד שירותי אימות הזהות של כוח עבודה זמין כתכונה ללא עלות. עם זאת, רישום מפורט ביומן הביקורת של איחוד שירותי אימות הזהות של כוח העבודה מתבצע באמצעות Cloud Logging. למידע על התמחור של Logging, קראו את המאמר התמחור של Google Cloud Observability.

התפקידים הנדרשים

כדי לקבל את ההרשאות שנדרשות להגדרה של איחוד שירותי אימות הזהות של כוח עבודה, צריך לבקש מהאדמין להקצות לכם ב-IAM את התפקיד אדמין של מאגר זהויות של כוח עבודה (roles/iam.workforcePoolAdmin) בארגון. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

אם אתם מגדירים הרשאות בסביבת פיתוח או בדיקה, ולא בסביבת ייצור, אתם יכולים להקצות את התפקיד הבסיסי "בעלים" ב-IAM‏ (roles/owner), שכולל גם הרשאות לאיחוד שירותי אימות הזהות של כוח העבודה.

יצירת אפליקציה ב-Microsoft Entra ID

בקטע הזה מוסבר איך יוצרים אפליקציה של Microsoft Entra ID באמצעות מרכז הניהול של Microsoft Entra. אפשר גם לעדכן את האפליקציה הקיימת. פרטים נוספים מופיעים במאמר הגדרת אפליקציות בסביבה העסקית של Microsoft Entra ID.

מאגרי הזהויות של כוח העבודה תומכים באיחוד בעזרת הפרוטוקולים OIDC ו-SAML.

OIDC

כדי לרשום אפליקציה של Microsoft Entra ID שמשתמשת בפרוטוקול OIDC:

1. נכנסים למרכז הניהול של Microsoft Entra.

2. עוברים אל Entra ID > App registrations.

3. כדי להתחיל את הרישום של האפליקציה:

   1. לוחצים על New registration.

   2. נותנים שם לאפליקציה.

   3. בוחרים אפשרות ב-Supported account types.

   4. ב-Redirect URI, פותחים את הרשימה הנפתחת Select a Platform ובוחרים ב-Web.

   5. בשדה הטקסט מזינים כתובת URL להפניה אוטומטית. המשתמשים שייכנסו לחשבון יופנו לכתובת ה-URL הזו. אם מגדירים את הגישה למסוף (מאוחד), צריך להשתמש בכתובת URL בפורמט הבא:

      https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
      

      מחליפים את מה שכתוב בשדות הבאים:

      • ‫WORKFORCE_POOL_ID: המזהה של מאגר הזהויות של כוח העבודה שבו משתמשים כשיוצרים את מאגר הזהויות של כוח העבודה בהמשך המסמך הזה, לדוגמה: entra-id-oidc-pool.

      • ‫WORKFORCE_PROVIDER_ID: המזהה של ספק מאגר הזהויות של כוח העבודה, שבו משתמשים כשיוצרים את ספק מאגר הזהויות של כוח העבודה בהמשך המאמר. לדוגמה, entra-id-oidc-pool-provider.

        למידע נוסף על הפורמט של המזהה, תוכלו להיעזר בחלק פרמטרים של שאילתה במשאבי העזרה של ה-API

   6. לוחצים על Register כדי לרשום את האפליקציה.

   7. כדי להשתמש בדוגמה של מיפוי המאפיינים שמוצגת בהמשך המאמר הזה, צריך ליצור מאפיין department בהתאמה אישית.

SAML

כדי לרשום אפליקציה של Microsoft Entra ID שמשתמשת בפרוטוקול SAML:

1. נכנסים למרכז הניהול של Microsoft Entra.

2. עוברים אל Entra ID > Enterprise applications.

3. כדי להגדיר את האפליקציה הארגונית:

   1. לוחצים על New application > Create your own application.

   2. בחלונית Create your own application שמופיעה, מזינים שם לאפליקציה.

   3. לוחצים על יצירה.

   4. עוברים אל Single sign-on (כניסה יחידה) > SAML.

   5. מעדכנים את Basic SAML Configuration:

      1. בשדה Identifier (Entity ID), מזינים את הערך הבא:

         https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
         

         מחליפים את מה שכתוב בשדות הבאים:

         • ‫WORKFORCE_POOL_ID: המזהה של מאגר הזהויות של כוח העבודה, שבו משתמשים כשיוצרים את מאגר הזהויות של כוח העבודה בהמשך המאמר הזה. לדוגמה, entra-id-saml-pool.

         • ‫WORKFORCE_PROVIDER_ID: המזהה של ספק מאגר הזהויות של כוח העבודה, שבו משתמשים כשיוצרים את ספק מאגר הזהויות של כוח העבודה בהמשך המאמר. לדוגמה, entra-id-saml-pool-provider.

           למידע נוסף על הפורמט של המזהה, תוכלו להיעזר בחלק פרמטרים של שאילתה במשאבי העזרה של ה-API

      2. בשדה Reply URL (Assertion Consumer Service URL)‎, מזינים כתובת URL להפניה אוטומטית. המשתמשים שייכנסו לחשבון יופנו לכתובת ה-URL הזו. אם מגדירים את הגישה למסוף (מאוחד), צריך להשתמש בכתובת URL בפורמט הבא:

         https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
         

         מחליפים את מה שכתוב בשדות הבאים:

         • ‫WORKFORCE_POOL_ID: המזהה של מאגר הזהויות של כוח העבודה.
         • ‫WORKFORCE_PROVIDER_ID: מזהה הספק של מאגר הזהויות של כוח העבודה.

      3. כדי להפעיל כניסה ביוזמת ספק הזהויות, הגדירו את השדה Relay State לערך הבא:

         https://console.cloud.google/
         

      4. לוחצים על Save כדי לשמור את ההגדרות של אפליקציית SAML.

   6. כדי להשתמש בדוגמה של מיפוי המאפיינים שמוצגת בהמשך המאמר הזה, צריך ליצור מאפיין department בהתאמה אישית.

4. מקצים משתמשים או קבוצות לאפליקציה.

הגדרת מספר גדול של קבוצות באמצעות Microsoft Entra ID

בקטע הזה מוסבר איך למפות עד 400 קבוצות מ-Microsoft Entra ID לאיחוד שירותי אימות הזהות של כוח העבודה באמצעות הפרוטוקולים OIDC ו-SAML.

הגדרת מספר גדול של קבוצות באמצעות Microsoft Entra ID עם זרם הענקת גישה משתמע של OIDC

בקטע הזה מוסבר איך למפות עד 400 קבוצות מ-Microsoft Entra ID לאיחוד שירותי אימות הזהות של כוח עבודה, באמצעות פרוטוקול OpenID Connect‏ (OIDC) עם זרם הענקת גישה משתמע.

הגדרת האפליקציה של Microsoft Entra ID

אתם יכולים להגדיר אפליקציה קיימת של Microsoft Entra ID או ליצור אפליקציה חדשה. כדי להגדיר את האפליקציה:

1. בפורטל של Microsoft Entra ID, מבצעים את הפעולות הבאות:
   • כדי לרשום אפליקציה חדשה, פועלים לפי ההוראות במאמר רישום אפליקציה חדשה.
   • כדי לעדכן אפליקציה קיימת:
     • עוברים אל Entra ID > App registrations.
     • בוחרים את האפליקציה שרוצים לעדכן.
2. יוצרים סוד לקוח חדש באפליקציה לפי ההוראות בקטע אישורים וסודות. חשוב לתעד את הערך של סוד הלקוח כי הוא מוצג רק פעם אחת.

3. מוסיפים את הרשאת ה-API כדי לאפשר לאיחוד שירותי אימות הזהות של כוח העבודה לגשת לפרטי המשתמשים מ-Microsoft Entra ID באמצעות Microsoft Graph API:

   1. עוברים אל API permissions (הרשאות API).
   2. לוחצים על הוספת הרשאה.
   3. בוחרים באפשרות Microsoft Graph.
   4. לוחצים על הרשאות לאפליקציות.
   5. בשדה החיפוש, מזינים User.ReadBasic.All.
   6. לוחצים על User.ReadBasic.All ואז על הוספת הרשאות.

4. אתם יכולים לאחזר קבוצות ב-Microsoft Entra ID באמצעות מזהה אובייקט של קבוצה (ID), כתובת אימייל של קבוצה (לקבוצות עם כתובת אימייל) או שם תצוגה של קבוצה.

   אם אתם מאחזרים קבוצות ככתובות אימייל או כשמות לתצוגה של קבוצות, בצעו את הפעולות הבאות. אם אתם מאחזרים קבוצות כמזהי אובייקטים של קבוצות, דלגו על השלב הזה.

   1. בקטע API permissions, לוחצים על Add a permission.
   2. בוחרים באפשרות Microsoft Graph.
   3. לוחצים על הרשאות לאפליקציות.
   4. בשדה החיפוש, מזינים GroupMember.Read.All.
   5. לוחצים על GroupMember.Read.All ואז על הוספת הרשאות.

5. נותנים הסכמה של אדמין להרשאות ה-API שהוגדרו:

   1. בקטע Configured permissions, לוחצים על Grant admin consent for TENANT_NAME.
   2. כשמופיעה בקשה לאישור, לוחצים על כן.
   הערה: כדי לאפשר לאיחוד שירותי אימות הזהות של כוח העבודה לשלוח שאילתות לגבי חברויות של משתמשים וקבוצות מ-Microsoft Entra ID דרך Microsoft Graph API, נדרשת הסכמה של אדמין הדייר (tenant). אם לא ניתנה הסכמת אדמין, ניסיונות הכניסה נכשלים ומוצגת שגיאת הרשאה.

6. כדי להגדיר את הספק של מאגר הזהויות של כוח העבודה בהמשך המסמך, מתעדים את ערכי ההגדרות הבאים מהאפליקציה:

   1. עוברים לדף Overview של רישום האפליקציה ב-Microsoft Entra ID.
   2. מתעדים את הערכים הבאים:
      • מזהה אפליקציה (לקוח)
      • מזהה הספרייה (הדייר)
      • ‫Client secret: הערך שתיעדתם קודם.
   3. לוחצים על נקודות קצה.

   4. מאתרים את נקודת הקצה (endpoint) של מסמך המטא-נתונים של OpenID Connect. ה-URI של המנפיק הוא ה-URI של מסמך המטא-נתונים של OpenID Connect, בלי /.well-known/openid-configuration בסוף.

      לדוגמה, אם ה-URI של מסמך המטא-נתונים של OpenID Connect הוא https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.well-known/openid-configuration, ה-URI של המנפיק הוא https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.

יצירת מאגר זהויות של כוח העבודה

gcloud

כדי ליצור את מאגר הזהויות של כוח העבודה, מריצים את הפקודה הבאה:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

מחליפים את מה שכתוב בשדות הבאים:

• ‫WORKFORCE_POOL_ID: המזהה שבחרתם כדי לייצג את מאגר כוח העבודה ב- Google Cloud . מזהה המאגר חייב להיות ייחודי באופן גלובלי בכל מאגרי הזהויות של כוח העבודה ב- Google Cloud. מידע על הפורמט של המזהה מופיע בקטע פרמטרים של שאילתה במאמרי העזרה של ה-API.
• ‫ORGANIZATION_ID: מזהה הארגון (מספרי) של הארגון ב- Google Cloud למאגר הזהויות של כוח העבודה. מאגרי הזהויות של כוח העבודה זמינים בכל הפרויקטים והתיקיות בארגון.
• ‫DISPLAY_NAME: אופציונלי. שם לתצוגה של מאגר הזהויות של כוח העבודה.
• ‫DESCRIPTION: אופציונלי. תיאור של מאגר זהויות של כוח עבודה.
• ‫SESSION_DURATION: אופציונלי. משך הסשן, מיוצג כמספר שאחריו מופיע s – לדוגמה, 3600s. משך הסשן קובע לכמה זמן יהיו פעילים טוקני הגישה ל- Google Cloud , המסוף (איחוד), החיבור לסשן והחיבור ל-ה-CLI של gcloud מהמאגר של כוח העבודה. משך הסשן שמוגדר כברירת מחדל הוא שעה (3,600 שניות). הערך של משך הסשן צריך להיות בין 15 דקות (900 שניות) ל-12 שעות (43,200 שניות).

טיפ: אפשר להריץ את הפקודה gcloud iam workforce-pools create --help כדי למצוא פרמטרים נוספים שאפשר להתאים אישית בפקודה הזו.

המסוף

כדי ליצור את מאגר הזהויות של כוח העבודה:

1. נכנסים לדף Workforce Identity Pools במסוף Google Cloud :

   כניסה לדף Workforce Identity Pools

2. בוחרים את הארגון של מאגר הזהויות של כוח העבודה. מאגרי זהויות כוח עבודה זמינים בכל הפרויקטים והתיקיות בארגון.

3. לוחצים על Create pool ומבצעים את הפעולות הבאות:

   1. בשדה Name, מזינים את השם לתצוגה של המאגר. מזהה המאגר נגזר באופן אוטומטי מהשם בזמן ההקלדה, ומוצג מתחת לשדה Name. כדי לעדכן את מזהה המאגר, לוחצים על Edit ליד מזהה המאגר.

   2. אופציונלי: בשדה Description, מזינים תיאור של המאגר.

   3. כדי ליצור את מאגר הזהויות של כוח העבודה, לוחצים על Next.

משך הסשן של מאגר הזהויות של כוח העבודה מוגדר כברירת מחדל לשעה (3,600 שניות). משך הסשן קובע לכמה זמן יהיו פעילים אסימוני הגישה ל- Google Cloud , המסוף (איחוד), החיבור לסשן והחיבור ל-CLI של gcloud מהמאגר של כוח העבודה. אחרי שיוצרים את המאגר, אפשר לעדכן את המאגר כדי להגדיר משך סשן בהתאמה אישית. משך הסשן צריך להיות בין 15 דקות (900 שניות) ל-12 שעות (43,200 שניות).

הגדרת ספק הזהויות של כוח העבודה ב-OIDC עם זרם הענקת גישה משתמע

gcloud

כדי ליצור את הספק של מאגר הזהויות לכוח העבודה ב-OIDC, מריצים את הפקודה הבאה:

gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global \
    --display-name=DISPLAY_NAME \
    --issuer-uri=ISSUER_URI \
    --client-id=CLIENT_ID \
    --attribute-mapping=ATTRIBUTE_MAPPING \
    --web-sso-response-type=id-token \
    --web-sso-assertion-claims-behavior=only-id-token-claims \
    --extra-attributes-issuer-uri=EXTRA_ATTRIBUTES_ISSUER_URI \
    --vendor-type="entra-id" \
    --extra-attributes-client-id=EXTRA_ATTRIBUTES_CLIENT_ID \
    --extra-attributes-client-secret-value=EXTRA_ATTRIBUTES_CLIENT_SECRET \
    --extra-attributes-type=EXTRA_ATTRIBUTES_TYPE  \
    --extra-attributes-filter=EXTRA_ATTRIBUTES_FILTER \
    --detailed-audit-logging
    

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROVIDER_ID: מזהה ספק ייחודי. התוספת לשם המאפיין gcp- שמורה ואי אפשר להשתמש בה במזהה של מאגר או של ספק.
• ‫WORKFORCE_POOL_ID: מזהה מאגר של כוח העבודה.
• ‫DISPLAY_NAME: השם המוצג של הספק.
• ‫ISSUER_URI: ה-URI של המנפיק מאפליקציית Microsoft Entra ID שיצרתם קודם במאמר הזה.
• ‫CLIENT_ID: מזהה הלקוח מהאפליקציה של Microsoft Entra ID.
• ‫ATTRIBUTE_MAPPING: מיפוי המאפיינים מ-Microsoft Entra ID אל Google Cloud. אם משתמשים בדגלים של --extra-attributes כדי לשלוח שאילתות לקבוצות מ-Microsoft Entra ID, המערכת מתעלמת מכל מיפוי של google.groups שמשתמש בהצהרות סטנדרטיות של SAML או OIDC. לדוגמה, כדי למפות את המאפיינים groups ו-subject מ-Microsoft Entra ID, משתמשים במיפוי המאפיינים הבא:

  --attribute-mapping="google.groups=assertion.groups, google.subject=assertion.oid"

  מידע נוסף זמין במאמר מיפוי מאפיינים.

• ‫EXTRA_ATTRIBUTES_ISSUER_URI: ה-URI של המנפיק מהאפליקציה ב-Microsoft Entra ID.
  הערה: אם יש בעיה בהגדרה של מאפיינים נוספים, כמו מזהה לקוח או סוד שגויים, ניסיון הכניסה נכשל.
• ‫EXTRA_ATTRIBUTES_CLIENT_ID: מזהה הלקוח מהאפליקציה של Microsoft Entra ID.
• ‫EXTRA_ATTRIBUTES_CLIENT_SECRET: סוד הלקוח הנוסף מהאפליקציה של Microsoft Entra ID.
• ‫EXTRA_ATTRIBUTES_TYPE: משתמשים ב-azure-ad-groups-mail כדי לאחזר את כתובות האימייל של הקבוצות. משתמשים ב-azure-ad-groups-id כדי לאחזר את המזהים של הקבוצות. משתמשים ב-azure-ad-groups-display-name כדי לאחזר את השמות המוצגים של הקבוצות.
• ‫EXTRA_ATTRIBUTES_FILTER: אופציונלי. ביטוי סינון שמשמש לשאילתות ב-Microsoft Graph API לקבוצות. אפשר להשתמש בפרמטר הזה כדי לוודא שמספר הקבוצות שנשלפות מ-IdP נשאר מתחת למגבלה של 400 קבוצות.

  בדוגמה הבאה, הפקודה מאחזרת את הקבוצות עם הקידומת sales במזהה האימייל שלהן:

  --extra-attributes-filter='"mail:sales"'

  הביטוי הבא מאחזר קבוצות עם שם מוצג שמכיל את המחרוזת sales.

  --extra-attributes-filter='"displayName:sales"'

• רישום מפורט ביומן הביקורת של איחוד שירותי אימות הזהות של כוח עבודה מתעד ב-Logging את המידע שהתקבל מה-IdP. רישום מפורט ביומן הביקורת יכול לעזור לכם לפתור בעיות בהגדרות של הספק של מאגר הזהויות של כוח העבודה. כדי ללמוד איך לפתור שגיאות במיפוי מאפיינים באמצעות רישום מפורט ביומן הביקורת, קראו את המאמר שגיאות כלליות במיפוי מאפיינים. למידע על התמחור של Logging, קראו את המאמר התמחור של Google Cloud Observability.

  כדי להשבית את יומן הביקורת המפורט של ספק מאגר זהויות של כוח עבודה, משמיטים את הדגל --detailed-audit-logging כשמריצים את gcloud iam workforce-pools providers create. כדי להשבית את הרישום המפורט ביומני הביקורת, אתם יכולים גם לעדכן את הספק.

המסוף

1. במסוף Google Cloud , נכנסים לדף Workforce Identity Pools:

כניסה לדף Workforce Identity Pools

2. בטבלה Workforce Identity Pools, בוחרים את המאגר שרוצים ליצור בשבילו את הספק.
3. בקטע Providers, לוחצים על Add Provider.
4. ברשימה Select a Provider vendor, בוחרים את ספק הזהויות (IdP).

   אם ספק הזהויות שלכם לא מופיע ברשימה, בוחרים באפשרות Generic Identity Provider.

5. בקטע Select an authentication protocol, בוחרים באפשרות OpenID Connect (OIDC).
6. בקטע Create a provider, מבצעים את הפעולות הבאות:
   1. בקטע שם, מזינים את השם של הספק.
   2. בקטע תיאור, מזינים את התיאור של הספק.
   3. בשדה Issuer (URL), מזינים את ה-URI של המנפיק. ה-URI של מנפיק OIDC צריך להיות בפורמט URI תקין ולהתחיל ב-https. לדוגמה: https://example.com/oidc.
   4. בשדה Client ID, מזינים את מזהה הלקוח ב-OIDC שרשום ב-IdP של OIDC. המזהה צריך להיות תואם להצהרת aud של ה-JWT שמונפקת על ידי ה-IdP.

   5. כדי ליצור ספק שמופעל, מוודאים שהאפשרות Enable provider מופעלת.

   6. לוחצים על Continue.
7. בקטע Share your provider information with IdP, מעתיקים את כתובת ה-URL. ב-IdP, מגדירים את כתובת ה-URL הזו כ-URI להפניה אוטומטית, כדי שה-IdP יידע לאן לשלוח את אסימון טענת הנכוֹנוּת (assertion) אחרי ההתחברות.
8. לוחצים על Continue.
9. בקטע Configure OIDC Web Sign-in, מבצעים את הפעולות הבאות:
   1. ברשימה Flow type, בוחרים באפשרות טוקן של מזהה.
   2. ברשימה Assertion claims behavior, האפשרות טוקן של מזהה מסומנת.
10. לוחצים על Continue.
11. אופציונלי: כדי להפעיל רישום מפורט ביומן הביקורת, בקטע Configure provider, לוחצים על המתג Enable attribute value audit logging בשדה Detailed logging.

    רישום מפורט ביומן הביקורת של איחוד שירותי אימות הזהות של כוח עבודה מתעד ב-Logging את המידע שהתקבל מה-IdP. רישום מפורט ביומן הביקורת יכול לעזור לכם לפתור בעיות בהגדרות של הספק של מאגר הזהויות של כוח העבודה. כדי ללמוד איך לפתור שגיאות במיפוי מאפיינים באמצעות רישום מפורט ביומן הביקורת, קראו את המאמר שגיאות כלליות במיפוי מאפיינים. למידע על התמחור של Logging, קראו את המאמר התמחור של Google Cloud Observability.

    כדי להשבית את יומן הביקורת המפורט של ספק מאגר הזהויות של כוח העבודה, משאירים את המתג Enable attribute value audit logging במצב מושבת כשיוצרים את הספק. כדי להשבית את הרישום המפורט ביומן הביקורת, אתם יכולים גם לעדכן את הספק.

12. כדי ליצור את הספק, לוחצים על Submit.

אחרי שיוצרים את הספק, מועברים לדף המאפיינים של הספק.

כדי להגדיר מיפויים ותנאים של מאפיינים:

1. כשמוצגת בקשה, נכנסים ל-IdP החיצוני כדי לאמת את מיפויי המאפיינים שמוגדרים כברירת מחדל.
2. בדף המאפיינים של הספק, אפשר לראות ולערוך את מיפויי המאפיינים והתנאים:
   1. כדי להוסיף או לערוך מיפויים של מאפיינים:
      1. לוחצים על הוספת מיפוי כדי להוסיף מיפוי חדש, או עורכים את המיפויים הקיימים.
      2. בשדה Google n, כאשר n הוא מספר, מזינים את אחד מהמפתחות הנתמכים ב-Google Cloud.
      3. בשדה OIDC n המתאים, מזינים את השם של השדה הספציפי ל-IdP שרוצים למפות, בפורמט CEL.
   2. כדי להגדיל את מספר הקבוצות:
      1. לוחצים על הפעלה כדי להוסיף מאפיינים נוספים.
      2. במשימת המשנה שנפתחת, מזינים את הפרטים הבאים:
         1. בשדה מזהה URI של מנפיק המאפיינים הנוספים, מזינים את כתובת ה-URL של המנפיק.
         2. בשדה Extra Attributes Client ID (מזהה לקוח של מאפיינים נוספים), מזינים את מזהה הלקוח.
         3. בשדה Extra Attributes Client Secret, מזינים את סוד הלקוח.
         4. ברשימה Extra Attributes Type, בוחרים סוג מאפיין למאפיינים הנוספים.
         5. בשדה Extra Attributes Filter, מזינים ביטוי סינון שמשמש לשליחת שאילתות ל-Microsoft Graph API לגבי קבוצות.
         6. לוחצים על Enable.

      אחרי שמפעילים את המאפיינים הנוספים, אפשר ללחוץ על עריכה כדי לפתוח מחדש את תת-המשימה ולערוך את הפרטים, או ללחוץ על השבתה כדי להשבית את המאפיינים הנוספים.

   3. כדי להוסיף תנאי למאפיין:
      אזהרה: אם ל-IdP עם כמה דיירים יש מנפיק URI אחד, צריך להשתמש בתנאי מאפיינים כדי לוודא שהגישה מוגבלת לדייר הנכון. מידע נוסף זמין במאמר שימוש בתנאי מאפיינים כשמאחדים עם GitHub או עם ספקי זהויות אחרים עם כמה דיירים.
      1. לוחצים על הוספת תנאי.
      2. בשדה Attribute Conditions, מזינים תנאי בפורמט CEL, לדוגמה assertion.role == 'gcp-users'. התנאי לדוגמה הזה מבטיח שרק משתמשים עם התפקיד gcp-users יוכלו להיכנס באמצעות הספק הזה.
3. כדי לאמת את המיפויים, לוחצים על Save and refetch token.
4. כדי לסיים את ההגדרה, לוחצים על שמירה ויציאה.

הגדרת מספר גדול של קבוצות ב-Microsoft Entra ID באמצעות תהליך קוד OIDC

כאן מוסבר איך למפות עד 400 קבוצות מ-Microsoft Entra ID לאיחוד שירותי אימות הזהות של כוח העבודה, באמצעות פרוטוקול OIDC עם זרימת קוד.

הגדרת האפליקציה של Microsoft Entra ID

אתם יכולים להגדיר אפליקציה קיימת של Microsoft Entra ID או ליצור אפליקציה חדשה. כדי להגדיר את האפליקציה:

1. בפורטל של Microsoft Entra ID, מבצעים את הפעולות הבאות:
   • כדי לרשום אפליקציה חדשה, פועלים לפי ההוראות במאמר רישום אפליקציה חדשה.
   • כדי לעדכן אפליקציה קיימת:
     • עוברים אל Entra ID > App registrations.
     • בוחרים את האפליקציה שרוצים לעדכן.
2. יוצרים סוד לקוח חדש באפליקציה לפי ההוראות בקטע אישורים וסודות. חשוב לתעד את הערך של סוד הלקוח כי הוא מוצג רק פעם אחת.

3. מוסיפים את הרשאת ה-API כדי לאפשר לאיחוד שירותי אימות הזהות של כוח העבודה לגשת לפרטי המשתמשים מ-Microsoft Entra ID באמצעות Microsoft Graph API:

   1. עוברים אל API permissions (הרשאות API).
   2. לוחצים על הוספת הרשאה.
   3. בוחרים באפשרות Microsoft Graph.
   4. בוחרים באפשרות Delegated permissions.
   5. בשדה החיפוש, מזינים User.ReadBasic.All.
   6. לוחצים על User.ReadBasic.All ואז על הוספת הרשאות.

4. אתם יכולים לאחזר קבוצות ב-Microsoft Entra ID באמצעות מזהה אובייקט של קבוצה (ID), כתובת אימייל של קבוצה (לקבוצות עם כתובת אימייל) או שם תצוגה של קבוצה.

   אם אתם מאחזרים קבוצות ככתובות אימייל או כשמות לתצוגה של קבוצות, בצעו את הפעולות הבאות. אם אתם מאחזרים קבוצות כמזהי אובייקטים של קבוצות, דלגו על השלב הזה.

   1. בקטע API permissions, לוחצים על Add a permission.
   2. בוחרים באפשרות Microsoft Graph.
   3. בוחרים באפשרות Delegated permissions.
   4. בשדה החיפוש, מזינים GroupMember.Read.All.
   5. לוחצים על GroupMember.Read.All ואז על הוספת הרשאות.

5. נותנים הסכמה של אדמין להרשאות ה-API שהוגדרו:

   1. בקטע Configured permissions, לוחצים על Grant admin consent for TENANT_NAME.
   2. כשמופיעה בקשה לאישור, לוחצים על כן.
   הערה: כדי לאפשר לאיחוד שירותי אימות הזהות של כוח העבודה לשלוח שאילתות לגבי חברויות של משתמשים וקבוצות מ-Microsoft Entra ID דרך Microsoft Graph API, נדרשת הסכמה של אדמין הדייר (tenant). אם לא ניתנה הסכמת אדמין, ניסיונות הכניסה נכשלים ומוצגת שגיאת הרשאה.

6. כדי להגדיר את הספק של מאגר הזהויות של כוח העבודה בהמשך המסמך, מתעדים את ערכי ההגדרות הבאים מהאפליקציה:

   1. עוברים לדף Overview של רישום האפליקציה ב-Microsoft Entra ID.
   2. מתעדים את הערכים הבאים:
      • מזהה אפליקציה (לקוח)
      • מזהה הספרייה (הדייר)
      • ‫Client secret: הערך שתיעדתם קודם.
   3. לוחצים על נקודות קצה.

   4. מאתרים את נקודת הקצה (endpoint) של מסמך המטא-נתונים של OpenID Connect. ה-URI של המנפיק הוא ה-URI של מסמך המטא-נתונים של OpenID Connect, בלי /.well-known/openid-configuration בסוף.

      לדוגמה, אם ה-URI של מסמך המטא-נתונים של OpenID Connect הוא https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.well-known/openid-configuration, ה-URI של המנפיק הוא https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.

יצירת מאגר זהויות של כוח העבודה

gcloud

כדי ליצור את מאגר הזהויות של כוח העבודה, מריצים את הפקודה הבאה:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

מחליפים את מה שכתוב בשדות הבאים:

• ‫WORKFORCE_POOL_ID: המזהה שבחרתם כדי לייצג את מאגר כוח העבודה ב- Google Cloud . מזהה המאגר חייב להיות ייחודי באופן גלובלי בכל מאגרי הזהויות של כוח העבודה ב- Google Cloud. מידע על הפורמט של המזהה מופיע בקטע פרמטרים של שאילתה במאמרי העזרה של ה-API.
• ‫ORGANIZATION_ID: מזהה הארגון (מספרי) של הארגון ב- Google Cloud למאגר הזהויות של כוח העבודה. מאגרי הזהויות של כוח העבודה זמינים בכל הפרויקטים והתיקיות בארגון.
• ‫DISPLAY_NAME: אופציונלי. שם לתצוגה של מאגר הזהויות של כוח העבודה.
• ‫DESCRIPTION: אופציונלי. תיאור של מאגר זהויות של כוח עבודה.
• ‫SESSION_DURATION: אופציונלי. משך הסשן, מיוצג כמספר שאחריו מופיע s – לדוגמה, 3600s. משך הסשן קובע לכמה זמן יהיו פעילים טוקני הגישה ל- Google Cloud , המסוף (איחוד), החיבור לסשן והחיבור ל-ה-CLI של gcloud מהמאגר של כוח העבודה. משך הסשן שמוגדר כברירת מחדל הוא שעה (3,600 שניות). הערך של משך הסשן צריך להיות בין 15 דקות (900 שניות) ל-12 שעות (43,200 שניות).

טיפ: אפשר להריץ את הפקודה gcloud iam workforce-pools create --help כדי למצוא פרמטרים נוספים שאפשר להתאים אישית בפקודה הזו.

המסוף

כדי ליצור את מאגר הזהויות של כוח העבודה:

1. נכנסים לדף Workforce Identity Pools במסוף Google Cloud :

   כניסה לדף Workforce Identity Pools

2. בוחרים את הארגון של מאגר הזהויות של כוח העבודה. מאגרי זהויות כוח עבודה זמינים בכל הפרויקטים והתיקיות בארגון.

3. לוחצים על Create pool ומבצעים את הפעולות הבאות:

   1. בשדה Name, מזינים את השם לתצוגה של המאגר. מזהה המאגר נגזר באופן אוטומטי מהשם בזמן ההקלדה, ומוצג מתחת לשדה Name. כדי לעדכן את מזהה המאגר, לוחצים על Edit ליד מזהה המאגר.

   2. אופציונלי: בשדה Description, מזינים תיאור של המאגר.

   3. כדי ליצור את מאגר הזהויות של כוח העבודה, לוחצים על Next.

משך הסשן של מאגר הזהויות של כוח העבודה מוגדר כברירת מחדל לשעה (3,600 שניות). משך הסשן קובע לכמה זמן יהיו פעילים אסימוני הגישה ל- Google Cloud , המסוף (איחוד), החיבור לסשן והחיבור ל-CLI של gcloud מהמאגר של כוח העבודה. אחרי שיוצרים את המאגר, אפשר לעדכן את המאגר כדי להגדיר משך סשן בהתאמה אישית. משך הסשן צריך להיות בין 15 דקות (900 שניות) ל-12 שעות (43,200 שניות).

הגדרת הספק של מאגר הזהויות של כוח העבודה בתהליך הקוד של OIDC

gcloud

כדי ליצור את הספק של מאגר הזהויות לכוח העבודה ב-OIDC, מריצים את הפקודה הבאה:

gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global \
    --display-name=DISPLAY_NAME \
    --issuer-uri=ISSUER_URI \
    --client-id=CLIENT_ID \
    --client-secret-value="OIDC_CLIENT_SECRET" \
    --attribute-mapping=ATTRIBUTE_MAPPING \
    --web-sso-response-type=code \
    --web-sso-assertion-claims-behavior=merge-user-info-over-id-token-claims \
    --extra-attributes-issuer-uri=EXTRA_ATTRIBUTES_ISSUER_URI \
    --vendor-type="entra-id" \
    --extra-attributes-client-id=EXTRA_ATTRIBUTES_CLIENT_ID \
    --extra-attributes-client-secret-value=EXTRA_ATTRIBUTES_CLIENT_SECRET \
    --extra-attributes-type=EXTRA_ATTRIBUTES_TYPE  \
    --extra-attributes-filter=EXTRA_ATTRIBUTES_FILTER \
    --detailed-audit-logging
    

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROVIDER_ID: מזהה ספק ייחודי. התוספת לשם המאפיין gcp- שמורה ואי אפשר להשתמש בה במזהה של מאגר או של ספק.
• ‫WORKFORCE_POOL_ID: מזהה מאגר של כוח העבודה.
• ‫DISPLAY_NAME: השם המוצג של הספק.
• ‫ISSUER_URI: ה-URI של המנפיק מאפליקציית Microsoft Entra ID שיצרתם קודם במאמר הזה.
• ‫CLIENT_ID: מזהה הלקוח מהאפליקציה של Microsoft Entra ID.
• ‫ATTRIBUTE_MAPPING: מיפוי המאפיינים מ-Microsoft Entra ID אל Google Cloud. אם משתמשים בדגלים של --extra-attributes כדי לשלוח שאילתות לקבוצות מ-Microsoft Entra ID, המערכת מתעלמת מכל מיפוי של google.groups שמשתמש בהצהרות סטנדרטיות של SAML או OIDC. לדוגמה, כדי למפות את המאפיינים groups ו-subject מ-Microsoft Entra ID, משתמשים במיפוי המאפיינים הבא:

  --attribute-mapping="google.groups=assertion.groups, google.subject=assertion.oid"

  מידע נוסף זמין במאמר מיפוי מאפיינים.

• ‫EXTRA_ATTRIBUTES_ISSUER_URI: ה-URI של המנפיק מהאפליקציה ב-Microsoft Entra ID.
  הערה: אם יש בעיה בהגדרה של מאפיינים נוספים, כמו מזהה לקוח או סוד שגויים, ניסיון הכניסה נכשל.
• ‫EXTRA_ATTRIBUTES_CLIENT_ID: מזהה הלקוח מהאפליקציה של Microsoft Entra ID.
• ‫EXTRA_ATTRIBUTES_CLIENT_SECRET: סוד הלקוח הנוסף מהאפליקציה של Microsoft Entra ID.
• ‫EXTRA_ATTRIBUTES_TYPE: משתמשים ב-azure-ad-groups-mail כדי לאחזר את כתובות האימייל של הקבוצות. משתמשים ב-azure-ad-groups-id כדי לאחזר את המזהים של הקבוצות. משתמשים ב-azure-ad-groups-display-name כדי לאחזר את השמות המוצגים של הקבוצות.
• ‫EXTRA_ATTRIBUTES_FILTER: אופציונלי. ביטוי סינון שמשמש לשאילתות ב-Microsoft Graph API לקבוצות. אפשר להשתמש בפרמטר הזה כדי לוודא שמספר הקבוצות שנשלפות מ-IdP נשאר מתחת למגבלה של 400 קבוצות.

  בדוגמה הבאה, הפקודה מאחזרת את הקבוצות עם הקידומת sales במזהה האימייל שלהן:

  --extra-attributes-filter='"mail:sales"'

  הביטוי הבא מאחזר קבוצות עם שם מוצג שמכיל את המחרוזת sales.

  --extra-attributes-filter='"displayName:sales"'

• רישום מפורט ביומן הביקורת של איחוד שירותי אימות הזהות של כוח עבודה מתעד ב-Logging את המידע שהתקבל מה-IdP. רישום מפורט ביומן הביקורת יכול לעזור לכם לפתור בעיות בהגדרות של הספק של מאגר הזהויות של כוח העבודה. כדי ללמוד איך לפתור שגיאות במיפוי מאפיינים באמצעות רישום מפורט ביומן הביקורת, קראו את המאמר שגיאות כלליות במיפוי מאפיינים. למידע על התמחור של Logging, קראו את המאמר התמחור של Google Cloud Observability.

  כדי להשבית את יומן הביקורת המפורט של ספק מאגר זהויות של כוח עבודה, משמיטים את הדגל --detailed-audit-logging כשמריצים את gcloud iam workforce-pools providers create. כדי להשבית את הרישום המפורט ביומני הביקורת, אתם יכולים גם לעדכן את הספק.

המסוף

1. במסוף Google Cloud , נכנסים לדף Workforce Identity Pools:

כניסה לדף Workforce Identity Pools

2. בטבלה Workforce Identity Pools, בוחרים את המאגר שרוצים ליצור בשבילו את הספק.
3. בקטע Providers, לוחצים על Add Provider.
4. ברשימה Select a Provider vendor, בוחרים את ספק הזהויות (IdP).

   אם ספק הזהויות שלכם לא מופיע ברשימה, בוחרים באפשרות Generic Identity Provider.

5. בקטע Select an authentication protocol, בוחרים באפשרות OpenID Connect (OIDC).
6. בקטע Create a provider, מבצעים את הפעולות הבאות:
   1. בקטע שם, מזינים את השם של הספק.
   2. בקטע תיאור, מזינים את התיאור של הספק.
   3. בשדה Issuer (URL), מזינים את ה-URI של המנפיק. ה-URI של מנפיק OIDC צריך להיות בפורמט URI תקין ולהתחיל ב-https. לדוגמה: https://example.com/oidc.
   4. בשדה Client ID, מזינים את מזהה הלקוח ב-OIDC שרשום ב-IdP של OIDC. המזהה צריך להיות תואם להצהרת aud של ה-JWT שמונפקת על ידי ה-IdP.

   5. כדי ליצור ספק שמופעל, מוודאים שהאפשרות Enable provider מופעלת.

   6. לוחצים על Continue.
7. בקטע Share your provider information with IdP, מעתיקים את כתובת ה-URL. ב-IdP, מגדירים את כתובת ה-URL הזו כ-URI להפניה אוטומטית, כדי שה-IdP יידע לאן לשלוח את אסימון טענת הנכוֹנוּת (assertion) אחרי ההתחברות.
8. לוחצים על Continue.
9. בקטע Configure OIDC Web Sign-in, מבצעים את הפעולות הבאות:
   1. ברשימה Flow type, בוחרים באפשרות Code.
   2. ברשימה Assertion claims behavior, בוחרים באחת מהאפשרויות הבאות:
      • פרטי המשתמש וטוקן של מזהה
      • רק טוקן של מזהה
   3. בשדה Client secret, מזינים את סוד הלקוח מספק הזהויות.
10. לוחצים על Continue.
11. אופציונלי: כדי להפעיל רישום מפורט ביומן הביקורת, בקטע Configure provider, לוחצים על המתג Enable attribute value audit logging בשדה Detailed logging.

    רישום מפורט ביומן הביקורת של איחוד שירותי אימות הזהות של כוח עבודה מתעד ב-Logging את המידע שהתקבל מה-IdP. רישום מפורט ביומן הביקורת יכול לעזור לכם לפתור בעיות בהגדרות של הספק של מאגר הזהויות של כוח העבודה. כדי ללמוד איך לפתור שגיאות במיפוי מאפיינים באמצעות רישום מפורט ביומן הביקורת, קראו את המאמר שגיאות כלליות במיפוי מאפיינים. למידע על התמחור של Logging, קראו את המאמר התמחור של Google Cloud Observability.

    כדי להשבית את יומן הביקורת המפורט של ספק מאגר הזהויות של כוח העבודה, משאירים את המתג Enable attribute value audit logging במצב מושבת כשיוצרים את הספק. כדי להשבית את הרישום המפורט ביומן הביקורת, אתם יכולים גם לעדכן את הספק.

12. כדי ליצור את הספק, לוחצים על Submit.

אחרי שיוצרים את הספק, מועברים לדף המאפיינים של הספק.

כדי להגדיר מיפויים ותנאים של מאפיינים:

1. כשמוצגת בקשה, נכנסים ל-IdP החיצוני כדי לאמת את מיפויי המאפיינים שמוגדרים כברירת מחדל.
2. בדף המאפיינים של הספק, אפשר לראות ולערוך את מיפויי המאפיינים והתנאים:
   1. כדי להוסיף או לערוך מיפויים של מאפיינים:
      1. לוחצים על הוספת מיפוי כדי להוסיף מיפוי חדש, או עורכים את המיפויים הקיימים.
      2. בשדה Google n, כאשר n הוא מספר, מזינים את אחד מהמפתחות הנתמכים ב-Google Cloud.
      3. בשדה OIDC n המתאים, מזינים את השם של השדה הספציפי ל-IdP שרוצים למפות, בפורמט CEL.
   2. כדי להגדיל את מספר הקבוצות:
      1. לוחצים על הפעלה כדי להוסיף מאפיינים נוספים.
      2. במשימת המשנה שנפתחת, מזינים את הפרטים הבאים:
         1. בשדה מזהה URI של מנפיק המאפיינים הנוספים, מזינים את כתובת ה-URL של המנפיק.
         2. בשדה Extra Attributes Client ID (מזהה לקוח של מאפיינים נוספים), מזינים את מזהה הלקוח.
         3. בשדה Extra Attributes Client Secret, מזינים את סוד הלקוח.
         4. ברשימה Extra Attributes Type, בוחרים סוג מאפיין למאפיינים הנוספים.
         5. בשדה Extra Attributes Filter, מזינים ביטוי סינון שמשמש לשליחת שאילתות ל-Microsoft Graph API לגבי קבוצות.
         6. לוחצים על Enable.

      אחרי שמפעילים את המאפיינים הנוספים, אפשר ללחוץ על עריכה כדי לפתוח מחדש את תת-המשימה ולערוך את הפרטים, או ללחוץ על השבתה כדי להשבית את המאפיינים הנוספים.

   3. כדי להוסיף תנאי למאפיין:
      אזהרה: אם ל-IdP עם כמה דיירים יש מנפיק URI אחד, צריך להשתמש בתנאי מאפיינים כדי לוודא שהגישה מוגבלת לדייר הנכון. מידע נוסף זמין במאמר שימוש בתנאי מאפיינים כשמאחדים עם GitHub או עם ספקי זהויות אחרים עם כמה דיירים.
      1. לוחצים על הוספת תנאי.
      2. בשדה Attribute Conditions, מזינים תנאי בפורמט CEL, לדוגמה assertion.role == 'gcp-users'. התנאי לדוגמה הזה מבטיח שרק משתמשים עם התפקיד gcp-users יוכלו להיכנס באמצעות הספק הזה.
3. כדי לאמת את המיפויים, לוחצים על Save and refetch token.
4. כדי לסיים את ההגדרה, לוחצים על שמירה ויציאה.

הגדרת מספר גדול של קבוצות ב-Microsoft Entra ID באמצעות SAML 2.0

כאן מוסבר איך למפות עד 400 קבוצות מ-Microsoft Entra ID לאיחוד שירותי אימות הזהות של כוח העבודה באמצעות פרוטוקול SAML 2.0.

הגדרת האפליקציה של Microsoft Entra ID

אתם יכולים להגדיר אפליקציה קיימת של Microsoft Entra ID או ליצור אפליקציה חדשה. כדי להגדיר את האפליקציה:

1. בפורטל של Microsoft Entra ID, מבצעים את הפעולות הבאות:
   • כדי לרשום אפליקציה חדשה, פועלים לפי ההוראות במאמר רישום אפליקציה חדשה.
   • כדי לעדכן אפליקציה קיימת:
     • עוברים אל Entra ID > App registrations.
     • בוחרים את האפליקציה שרוצים לעדכן.
2. יוצרים סוד לקוח חדש באפליקציה לפי ההוראות בקטע אישורים וסודות. חשוב לתעד את הערך של סוד הלקוח כי הוא מוצג רק פעם אחת.

3. מוסיפים את הרשאת ה-API כדי לאפשר לאיחוד שירותי אימות הזהות של כוח העבודה לגשת לפרטי המשתמשים מ-Microsoft Entra ID באמצעות Microsoft Graph API:

   1. עוברים אל API permissions (הרשאות API).
   2. לוחצים על הוספת הרשאה.
   3. בוחרים באפשרות Microsoft Graph.
   4. לוחצים על הרשאות לאפליקציות.
   5. בשדה החיפוש, מזינים User.ReadBasic.All.
   6. לוחצים על User.ReadBasic.All ואז על הוספת הרשאות.

4. אתם יכולים לאחזר קבוצות ב-Microsoft Entra ID באמצעות מזהה אובייקט של קבוצה (ID), כתובת אימייל של קבוצה (לקבוצות עם כתובת אימייל) או שם תצוגה של קבוצה.

   אם אתם מאחזרים קבוצות ככתובות אימייל או כשמות לתצוגה של קבוצות, בצעו את הפעולות הבאות. אם אתם מאחזרים קבוצות כמזהי אובייקטים של קבוצות, דלגו על השלב הזה.

   1. בקטע API permissions, לוחצים על Add a permission.
   2. בוחרים באפשרות Microsoft Graph.
   3. לוחצים על הרשאות לאפליקציות.
   4. בשדה החיפוש, מזינים GroupMember.Read.All.
   5. לוחצים על GroupMember.Read.All ואז על הוספת הרשאות.

5. נותנים הסכמה של אדמין להרשאות ה-API שהוגדרו:

   1. בקטע Configured permissions, לוחצים על Grant admin consent for TENANT_NAME.
   2. כשמופיעה בקשה לאישור, לוחצים על כן.
   הערה: כדי לאפשר לאיחוד שירותי אימות הזהות של כוח העבודה לשלוח שאילתות לגבי חברויות של משתמשים וקבוצות מ-Microsoft Entra ID דרך Microsoft Graph API, נדרשת הסכמה של אדמין הדייר (tenant). אם לא ניתנה הסכמת אדמין, ניסיונות הכניסה נכשלים ומוצגת שגיאת הרשאה.

6. כדי להגדיר את הספק של מאגר הזהויות של כוח העבודה בהמשך המסמך, מתעדים את ערכי ההגדרות הבאים מהאפליקציה:

   1. עוברים לדף Overview של רישום האפליקציה ב-Microsoft Entra ID.
   2. מתעדים את הערכים הבאים:
      • מזהה אפליקציה (לקוח)
      • מזהה הספרייה (הדייר)
      • ‫Client secret: הערך שתיעדתם קודם.
   3. לוחצים על נקודות קצה.

   4. מאתרים את נקודת הקצה (endpoint) של מסמך המטא-נתונים של OpenID Connect. ה-URI של המנפיק הוא ה-URI של מסמך המטא-נתונים של OpenID Connect, בלי /.well-known/openid-configuration בסוף.

      לדוגמה, אם ה-URI של מסמך המטא-נתונים של OpenID Connect הוא https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.well-known/openid-configuration, ה-URI של המנפיק הוא https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.

      הערה: למרות שפרוטוקול האימות הראשי הוא SAML 2.0, צריך את ה-URI הזה של המנפיק בשביל הדגל --extra-attributes-issuer-uri. איחוד שירותי אימות הזהות של כוח העבודה מתחבר ל-Microsoft Graph באמצעות פרטי כניסה של לקוח OAuth 2.0 כדי לאחזר חברויות בקבוצות שניתנות להתאמה לעומס.

יצירת מאגר זהויות של כוח העבודה

gcloud

כדי ליצור את מאגר הזהויות של כוח העבודה, מריצים את הפקודה הבאה:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

מחליפים את מה שכתוב בשדות הבאים:

• ‫WORKFORCE_POOL_ID: המזהה שבחרתם כדי לייצג את מאגר כוח העבודה ב- Google Cloud . מזהה המאגר חייב להיות ייחודי באופן גלובלי בכל מאגרי הזהויות של כוח העבודה ב- Google Cloud. מידע על הפורמט של המזהה מופיע בקטע פרמטרים של שאילתה במאמרי העזרה של ה-API.
• ‫ORGANIZATION_ID: מזהה הארגון (מספרי) של הארגון ב- Google Cloud למאגר הזהויות של כוח העבודה. מאגרי הזהויות של כוח העבודה זמינים בכל הפרויקטים והתיקיות בארגון.
• ‫DISPLAY_NAME: אופציונלי. שם לתצוגה של מאגר הזהויות של כוח העבודה.
• ‫DESCRIPTION: אופציונלי. תיאור של מאגר זהויות של כוח עבודה.
• ‫SESSION_DURATION: אופציונלי. משך הסשן, מיוצג כמספר שאחריו מופיע s – לדוגמה, 3600s. משך הסשן קובע לכמה זמן יהיו פעילים טוקני הגישה ל- Google Cloud , המסוף (איחוד), החיבור לסשן והחיבור ל-ה-CLI של gcloud מהמאגר של כוח העבודה. משך הסשן שמוגדר כברירת מחדל הוא שעה (3,600 שניות). הערך של משך הסשן צריך להיות בין 15 דקות (900 שניות) ל-12 שעות (43,200 שניות).

טיפ: אפשר להריץ את הפקודה gcloud iam workforce-pools create --help כדי למצוא פרמטרים נוספים שאפשר להתאים אישית בפקודה הזו.

המסוף

כדי ליצור את מאגר הזהויות של כוח העבודה:

1. נכנסים לדף Workforce Identity Pools במסוף Google Cloud :

   כניסה לדף Workforce Identity Pools

2. בוחרים את הארגון של מאגר הזהויות של כוח העבודה. מאגרי זהויות כוח עבודה זמינים בכל הפרויקטים והתיקיות בארגון.

3. לוחצים על Create pool ומבצעים את הפעולות הבאות:

   1. בשדה Name, מזינים את השם לתצוגה של המאגר. מזהה המאגר נגזר באופן אוטומטי מהשם בזמן ההקלדה, ומוצג מתחת לשדה Name. כדי לעדכן את מזהה המאגר, לוחצים על Edit ליד מזהה המאגר.

   2. אופציונלי: בשדה Description, מזינים תיאור של המאגר.

   3. כדי ליצור את מאגר הזהויות של כוח העבודה, לוחצים על Next.

משך הסשן של מאגר הזהויות של כוח העבודה מוגדר כברירת מחדל לשעה (3,600 שניות). משך הסשן קובע לכמה זמן יהיו פעילים אסימוני הגישה ל- Google Cloud , המסוף (איחוד), החיבור לסשן והחיבור ל-CLI של gcloud מהמאגר של כוח העבודה. אחרי שיוצרים את המאגר, אפשר לעדכן את המאגר כדי להגדיר משך סשן בהתאמה אישית. משך הסשן צריך להיות בין 15 דקות (900 שניות) ל-12 שעות (43,200 שניות).

הגדרת הספק של מאגר הזהויות של כוח העבודה ב-SAML 2.0

gcloud

כדי ליצור את הספק של מאגר הזהויות לכוח העבודה ב-SAML, מריצים את הפקודה הבאה:

gcloud iam workforce-pools providers create-saml PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global \
    --display-name=DISPLAY_NAME \
    --idp-metadata-path=XML_METADATA_PATH \
    --attribute-mapping=ATTRIBUTE_MAPPING \
    --extra-attributes-issuer-uri=EXTRA_ATTRIBUTES_ISSUER_URI \
    --vendor-type="entra-id" \
    --extra-attributes-client-id=EXTRA_ATTRIBUTES_CLIENT_ID \
    --extra-attributes-client-secret-value=EXTRA_ATTRIBUTES_CLIENT_SECRET \
    --extra-attributes-type=EXTRA_ATTRIBUTES_TYPE  \
    --extra-attributes-filter=EXTRA_ATTRIBUTES_FILTER \
    --detailed-audit-logging
    

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROVIDER_ID: מזהה ספק ייחודי. התוספת לשם המאפיין gcp- שמורה ואי אפשר להשתמש בה במזהה של מאגר או של ספק.
• ‫WORKFORCE_POOL_ID: מזהה מאגר של כוח העבודה.
• ‫DISPLAY_NAME: השם המוצג של הספק.
• ‫XML_METADATA_PATH: הנתיב לקובץ המטא-נתונים בפורמט XML של SAML 2.0.
• ‫ATTRIBUTE_MAPPING: מיפוי המאפיינים מ-Microsoft Entra ID אל Google Cloud. אם משתמשים בדגלים של --extra-attributes כדי לשלוח שאילתות לקבוצות מ-Microsoft Entra ID, המערכת מתעלמת מכל מיפוי של google.groups שמשתמש בהצהרות סטנדרטיות של SAML או OIDC. לדוגמה, כדי למפות את המאפיינים groups ו-subject מ-Microsoft Entra ID, משתמשים במיפוי המאפיינים הבא:

  --attribute-mapping="google.subject=assertion.attributes['http://schemas.microsoft.com/identity/claims/objectidentifier']"

  מידע נוסף זמין במאמר מיפוי מאפיינים.

• ‫EXTRA_ATTRIBUTES_ISSUER_URI: ה-URI של המנפיק מהאפליקציה ב-Microsoft Entra ID.
  הערה: אם יש בעיה בהגדרה של מאפיינים נוספים, כמו מזהה לקוח או סוד שגויים, ניסיון הכניסה נכשל.
• ‫EXTRA_ATTRIBUTES_CLIENT_ID: מזהה הלקוח מהאפליקציה של Microsoft Entra ID.
• ‫EXTRA_ATTRIBUTES_CLIENT_SECRET: סוד הלקוח הנוסף מהאפליקציה של Microsoft Entra ID.
• ‫EXTRA_ATTRIBUTES_TYPE: משתמשים ב-azure-ad-groups-mail כדי לאחזר את כתובות האימייל של הקבוצות. משתמשים ב-azure-ad-groups-id כדי לאחזר את המזהים של הקבוצות. משתמשים ב-azure-ad-groups-display-name כדי לאחזר את השמות המוצגים של הקבוצות.
• ‫EXTRA_ATTRIBUTES_FILTER: אופציונלי. ביטוי סינון שמשמש לשאילתות ב-Microsoft Graph API לקבוצות. אפשר להשתמש בפרמטר הזה כדי לוודא שמספר הקבוצות שנשלפות מ-IdP נשאר מתחת למגבלה של 400 קבוצות.

  בדוגמה הבאה, הפקודה מאחזרת את הקבוצות עם הקידומת sales במזהה האימייל שלהן:

  --extra-attributes-filter='"mail:sales"'

  הביטוי הבא מאחזר קבוצות עם שם מוצג שמכיל את המחרוזת sales.

  --extra-attributes-filter='"displayName:sales"'

• רישום מפורט ביומן הביקורת של איחוד שירותי אימות הזהות של כוח עבודה מתעד ב-Logging את המידע שהתקבל מה-IdP. רישום מפורט ביומן הביקורת יכול לעזור לכם לפתור בעיות בהגדרות של הספק של מאגר הזהויות של כוח העבודה. כדי ללמוד איך לפתור שגיאות במיפוי מאפיינים באמצעות רישום מפורט ביומן הביקורת, קראו את המאמר שגיאות כלליות במיפוי מאפיינים. למידע על התמחור של Logging, קראו את המאמר התמחור של Google Cloud Observability.

  כדי להשבית את יומן הביקורת המפורט של ספק מאגר זהויות של כוח עבודה, משמיטים את הדגל --detailed-audit-logging כשמריצים את gcloud iam workforce-pools providers create. כדי להשבית את הרישום המפורט ביומני הביקורת, אתם יכולים גם לעדכן את הספק.

המסוף

1. במסוף Google Cloud , נכנסים לדף Workforce Identity Pools:

כניסה לדף Workforce Identity Pools

2. בטבלה Workforce Identity Pools, בוחרים את המאגר שרוצים ליצור בשבילו את הספק.
3. בקטע Providers, לוחצים על Add Provider.
4. ברשימה Select a Provider vendor, בוחרים את ספק הזהויות (IdP).

   אם ספק הזהויות שלכם לא מופיע ברשימה, בוחרים באפשרות Generic Identity Provider.

5. בקטע Select an authentication protocol, בוחרים באפשרות SAML.
6. בקטע Create a provider, מבצעים את הפעולות הבאות:
   1. בקטע שם, מזינים שם לספק.
   2. אופציונלי: בשדה Description, מזינים תיאור לספק.
   3. בשדה IDP metadata file (XML), בוחרים את קובץ ה-XML של המטא-נתונים שיצרתם קודם במדריך הזה.
   4. כדי ליצור ספק שמופעל, מוודאים שהאפשרות Enable provider מופעלת.
   5. לוחצים על Continue.
7. בקטע Share your provider information, מעתיקים את כתובות ה-URL. ב-IdP, מגדירים את כתובת ה-URL הראשונה כמזהה הישות, שמזהה את האפליקציה ב-IdP. מגדירים את כתובת ה-URL השנייה ככתובת ה-URI להפניה אוטומטית, שמציינת ל-IdP לאן לשלוח את אסימון ההצהרה אחרי ההתחברות.
8. לוחצים על Continue.
9. אופציונלי: כדי להפעיל רישום מפורט ביומן הביקורת, בקטע Configure provider, בקטע Detailed logging, לוחצים על המתג Enable attribute value audit logging.

   רישום מפורט ביומן הביקורת של איחוד שירותי אימות הזהות של כוח עבודה מתעד ב-Logging את המידע שהתקבל מה-IdP. רישום מפורט ביומן הביקורת יכול לעזור לכם לפתור בעיות בהגדרות של הספק של מאגר הזהויות של כוח העבודה. כדי ללמוד איך לפתור שגיאות במיפוי מאפיינים באמצעות רישום מפורט ביומן הביקורת, קראו את המאמר שגיאות כלליות במיפוי מאפיינים. למידע על התמחור של Logging, קראו את המאמר התמחור של Google Cloud Observability.

   כדי להשבית את יומן הביקורת המפורט של ספק מאגר הזהויות של כוח העבודה, משאירים את המתג Enable attribute value audit logging במצב מושבת כשיוצרים את הספק. כדי להשבית את הרישום המפורט ביומן הביקורת, אתם יכולים גם לעדכן את הספק.

10. כדי ליצור את הספק, לוחצים על Submit.

אחרי שיוצרים את הספק, מועברים לדף המאפיינים של הספק.

כדי להגדיר מיפויים ותנאים של מאפיינים:

1. כשמוצגת בקשה, נכנסים ל-IdP החיצוני כדי לאמת את מיפויי המאפיינים שמוגדרים כברירת מחדל.
2. בדף המאפיינים של הספק, אפשר לראות ולערוך את מיפויי המאפיינים והתנאים:
   1. כדי להוסיף או לערוך מיפויים של מאפיינים:
      1. לוחצים על הוספת מיפוי כדי להוסיף מיפוי חדש, או עורכים את המיפויים הקיימים.
      2. בשדה Google n, שבו n הוא מספר, בוחרים מפתח שנתמך ב- Google Cloud.
      3. בשדה SAML n התואם, מזינים את שם המאפיין של ה-IdP או ביטוי CEL, לדוגמה:

         google.subject=assertion.subject
         attribute.costcenter=assertion.attributes.costcenter[0]

         בדוגמה הזו, מאפיין ה-IdP שנקרא assertion.subject ממופה ל-google.subject, ומאפיין ה-IdP שנקרא assertion.attributes.costcenter[0] ממופה ל-attribute.costcenter.
   2. כדי להגדיל את מספר הקבוצות:
      1. לוחצים על הפעלה כדי להוסיף מאפיינים נוספים.
      2. במשימת המשנה שנפתחת, מזינים את הפרטים:
         1. בשדה מזהה URI של מנפיק המאפיינים הנוספים, מזינים את כתובת ה-URL של המנפיק.
         2. בשדה Extra Attributes Client ID (מזהה לקוח של מאפיינים נוספים), מזינים את מזהה הלקוח.
         3. בשדה Extra Attributes Client Secret, מזינים את סוד הלקוח.
         4. ברשימה Extra Attributes Type, בוחרים סוג מאפיין למאפיינים הנוספים.
         5. בשדה Extra Attributes Filter, מזינים ביטוי סינון שמשמש לשליחת שאילתות ל-Microsoft Graph API לגבי קבוצות.
         6. לוחצים על Enable.

      אחרי שמפעילים את המאפיינים הנוספים, אפשר ללחוץ על עריכה כדי לפתוח מחדש את תת-המשימה ולערוך את הפרטים, או ללחוץ על השבתה כדי להשבית את המאפיינים הנוספים.

   3. כדי להוסיף תנאי למאפיין:
      אזהרה: אם ל-IdP עם כמה דיירים יש מנפיק URI אחד, צריך להשתמש בתנאי מאפיינים כדי לוודא שהגישה מוגבלת לדייר הנכון. מידע נוסף זמין במאמר שימוש בתנאי מאפיינים כשמאחדים עם GitHub או עם ספקי זהויות אחרים עם כמה דיירים.
      1. לוחצים על הוספת תנאי.
      2. בשדה Attribute Conditions, מזינים תנאי בפורמט CEL. לדוגמה, כדי להגביל את המאפיין ipaddr לטווח מסוים של כתובות IP, אפשר ליצור את התנאי assertion.attributes.ipaddr.startsWith('98.11.12.'). התנאי לדוגמה הזה מבטיח שרק משתמשים עם כתובת IP שמתחילה ב-98.11.12. יוכלו להיכנס באמצעות ספק הזהויות הזה לכוח העבודה.
3. כדי לאמת את המיפויים, לוחצים על Save and refetch token.
4. כדי לסיים את ההגדרה, לוחצים על שמירה ויציאה.

אימות הגדרות הספק

לפני שבודקים את תהליך הכניסה של משתמשי הקצה, אפשר לוודא שהגדרת הספק נכונה ושאפשר להחליף אסימונים בין Google Cloud לבין ה-IdP.

הדף Validate your provider attributes במסוף Google Cloud כולל כלי להצגת מאפיינים שמאפשר לבדוק באופן אינטראקטיבי את ההגדרות ולנפות באגים בביטויים של Common Expression Language‏ (CEL). אתם יכולים להשתמש במציג המאפיינים כדי:

• לראות את המאפיינים הגולמיים שנשלחו בטענת הנכוֹנוּת (assertion) של ה-IdP.
• מוודאים שמיפויי המאפיינים והתנאים משנים את המאפיינים האלה בצורה נכונה.
• ניפוי באגים של ביטויי CEL מורכבים בזמן אמת.

כדי לאמת את הגדרת הספק:

1. כדי להפעיל את תהליך הכניסה מבוסס-הדפדפן לאיחוד שירותי אימות הזהות של כוח עבודה, צריך להוסיף את https://auth.cloud.google/signin-callback/locations/global/workforcePools/POOL_ID/providers/PROVIDER_ID לרשימת ה-URIs המותרים להפניה אוטומטית של ה-IdP.

2. במסוף Google Cloud , נכנסים לדף Workforce Identity Pools.

   כניסה לדף Workforce Identity Pools
3. ברשימת המאגרים, לוחצים על שם המאגר שרוצים לאמת.
4. בדף Workforce pool details, לוחצים על השם של ה-IdP שרוצים לאמת.
5. בדף פרטי הספק, לוחצים על ניפוי באגים של אסימון IdP.
6. בתיבת הדו-שיח Sign in, נכנסים ל-IdP כמשתמש לבדיקה.

בדף Validate your provider attributes מוצגים המאפיינים הממופים והתוצאה של תנאי המאפיין.

בקטע Mapped attributes from your IdP token מוצג איך מאפייני Google, כמו google.subject, מאוכלסים מהאסימון של ה-IdP על סמך הגדרת המיפוי. אם המיפוי שגוי, מופיע סמל שגיאה.

בקטע Attribute condition מוצגת התוצאה הבוליאנית של התנאי. אם התנאי מקבל את הערך false, הכניסה נחסמת.

כדי לראות את אסימון ההצהרה המלא, לוחצים על הצגת האסימון המלא. כאן מוצג אובייקט ה-JSON הגולמי מספק הזהויות שלכם. כדי להפנות לנכס ברמה העליונה במיפויים, משתמשים בפורמט assertion.PROPERTY_NAME.

עריכת הגדרות הספק

כדי לתקן שגיאות, אפשר לערוך את ההגדרות:

1. בדף Validate your provider attributes, לוחצים על Edit.
2. מבצעים את השינויים הנדרשים.
3. כדי להתחיל בדיקה חדשה ולראות את התוצאות המעודכנות, לוחצים על שמירה ואחזור מחדש של הטוקן.

הקצאת תפקידי IAM לקבוצות

בקטע הזה אתם מקצים תפקידים לקבוצות במשאבים של Google Cloud . מידע נוסף על מזהי חשבונות משתמשים באיחוד שירותי אימות הזהות של כוח עבודה מופיע במאמר ייצוג המשתמשים במאגרי כוח עבודה בכללי מדיניות IAM.

בדוגמה הבאה, התפקיד Storage Admin ‏(roles/storage.admin) מוקצה למשתמשים בקבוצה ב-Microsoft Entra ID.

gcloud projects add-iam-policy-binding PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: מזהה הפרויקט
• ‫WORKFORCE_POOL_ID: המזהה של מאגר הזהויות של כוח העבודה
• ‫GROUP_ID: מזהה הקבוצה, שתלוי בערך של --extra-attributes-type ששימש ליצירת הספק של מאגר הזהויות של כוח העבודה, באופן הבא:
  • ‫azure-ad-groups-mail: מזהה הקבוצה הוא כתובת אימייל, לדוגמה: [e-mail]
  • ‫azure-ad-groups-id: מזהה הקבוצה הוא UUID של הקבוצה. לדוגמה: abcdefgh-0123-0123-abcdef

כניסה לחשבון ובדיקת גישה

בקטע הזה נכנסים כמשתמש של מאגר הזהויות של כוח העבודה ובודקים שיש גישה למשאבים של Google Cloud .

כניסה

בקטע הזה מוסבר איך נכנסים כמשתמש מאיחוד שירותי האימות ומקבלים גישה למשאביGoogle Cloud .

כניסה לחשבון במסוף (איחוד)

כדי להיכנס למסוף של Google Cloud , שנקרא גם המסוף (המאוחד), מבצעים את הפעולות הבאות:

1. עוברים לדף הכניסה של המסוף (איחוד).

   כניסה למסוף (איחוד)

2. מזינים את שם הספק בפורמט הבא:

   locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

אם מופיעה בקשה, מזינים את פרטי הכניסה של המשתמש ב-Microsoft Entra ID.

אם התחלתם תהליך כניסה באמצעות ספק הזהויות, השתמשו בכתובת ה-URL הבאה בשביל שרת הממסר: https://console.cloud.google/.

כניסה באמצעות הדפדפן ל-CLI של gcloud

כדי להיכנס ל-CLI של gcloud באמצעות הדפדפן, מבצעים את הפעולות הבאות:

יוצרים קובץ תצורה

מריצים את הפקודה הבאה כדי ליצור קובץ תצורה לכניסה:

‫Linux ו-macOS

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

‏Windows (PowerShell)

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

הערה: אפשר להפעיל את קובץ הגדרות ההתחברות כברירת המחדל של ה-CLI של gcloud, על ידי הוספת הדגל --activate. אחרי זה אפשר להריץ את gcloud auth login כדי לאשר את ה-CLI של gcloud בלי לציין את הנתיב של קובץ התצורה בכל פעם.

מחליפים את מה שכתוב בשדות הבאים:

• ‫WORKFORCE_POOL_ID: המזהה של מאגר הזהויות של כוח העבודה.
• ‫WORKFORCE_PROVIDER_ID: המזהה של ספק איחוד שירותי אימות הזהות של כוח העבודה.
• ‫LOGIN_CONFIG_PATH: הנתיב שבו ייכתב קובץ התצורה להתחברות. לדוגמה, login-config.json.

קובץ הגדרות ההתחברות מכיל את נקודות הקצה (endpoints) שבהן ה-CLI של gcloud משתמש כדי להפעיל את תהליך האימות בדפדפן ולהגדיר את הקהל ל-IdP שהוגדר בספק של מאגר הזהויות של כוח העבודה. הקובץ לא מכיל מידע סודי.

התוכן של קובץ התצורה לכניסה נראה כך:

{
  "universe_domain": "googleapis.com",
  "universe_cloud_web_domain": "cloud.google",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.google/authorize",
  "token_url": "https://sts.googleapis.com/v1/oauthtoken",
  "token_info_url": "https://sts.googleapis.com/v1/introspect"
}

זהירות: מומלץ לוודא קודם שתוכן הקובץ הזה נכון ואז להגן עליו. לדוגמה, אפשר להגדיר אותו לקריאה בלבד ולהגביל את הגישה אליו באמצעות ACL. אם הקובץ לא מאומת, גורם זדוני עם גישת כתיבה אליו עלול לשנות את נקודות הקצה וליירט את פרטי הכניסה.

כניסה באמצעות אימות בדפדפן

מפנים לקובץ התצורה של ההתחברות באמצעות משתנה סביבה, מאפיין בהגדרות האישיות הפעילות של ה-CLI של gcloud, או משתמשים בו ישירות באמצעות הפקודה gcloud auth login:

משתנה הסביבה

כדי להשתמש בקובץ התצורה של ההתחברות עם משתנה סביבה, מבצעים את ההוראות הבאות:

1. מגדירים את משתנה הסביבה CLOUDSDK_AUTH_LOGIN_CONFIG_FILE לנתיב של קובץ התצורה להתחברות.

2. מריצים את הפקודה הבאה:

   gcloud auth login

3. ה-CLI של gcloud מפנה למשתנה הסביבה כדי למצוא את קובץ התצורה של ההתחברות, ואז מתחיל את תהליך האימות. פועלים לפי התהליך בדפדפן כדי לאמת את ה-CLI של gcloud ולתת לו הרשאה לגשת למשאבים בשמכם בפקודות עתידיות.

כדי להפסיק להשתמש בקובץ התצורה שמשמש לכניסה לפקודות gcloud auth login, צריך לנקות את משתנה הסביבה CLOUDSDK_AUTH_LOGIN_CONFIG_FILE.

ההגדרות האישיות של ה-CLI של gcloud

כדי להשתמש בקובץ התצורה של ההתחברות עם מאפיין הגדרה של ה-CLI של gcloud, פועלים לפי ההוראות הבאות:

1. מגדירים את המאפיין auth/login_config_file של מערך ההגדרות האישיות הפעיל של ה-CLI של gcloud לנתיב של קובץ התצורה של ההתחברות, באמצעות הפקודה הבאה:

   gcloud config set auth/login_config_file LOGIN_CONFIG_PATH

2. מריצים את הפקודה הבאה:

   gcloud auth login

3. ה-CLI של gcloud מפנה למאפיין של מערך ההגדרות האישיות כדי למצוא את קובץ התצורה של ההתחברות, ואז מתחיל את תהליך האימות. פועלים לפי התהליך בדפדפן כדי לאמת את ה-CLI של gcloud ולתת לו הרשאה לגשת למשאבים בשמכם בפקודות עתידיות.

כדי להפסיק להשתמש בקובץ התצורה של ההתחברות לפקודות gcloud auth login, מבטלים את הגדרת המאפיין באמצעות הפקודה הבאה:

gcloud config unset auth/login_config_file

gcloud auth login

כדי להשתמש בקובץ התצורה של ההתחברות ישירות עם הפקודה gcloud auth login, צריך לפעול לפי ההוראות הבאות:

• אם השתמשתם בדגל --activate כשיצרתם את קובץ התצורה שמשמש לכניסה, צריך להריץ את הפקודה הבאה:

  gcloud auth login

• אם לא השתמשתם בדגל --activate כשיצרתם את קובץ התצורה של ההתחברות, צריך להריץ את הפקודה הבאה:

  ‫Linux ו-macOS

  gcloud auth login \
      --login-config=LOGIN_CONFIG_PATH

  ‏Windows (PowerShell)

  gcloud auth login `
      --login-config=LOGIN_CONFIG_PATH

  מחליפים את LOGIN_CONFIG_PATH בנתיב של קובץ התצורה להתחברות.

הפקודה gcloud auth login שומרת את פרטי הכניסה בספריית הבית. חשבון המשתמש המאומת הופך לחשבון המשתמש הפעיל בהגדרות האישיות הפעילות של ה-CLI של gcloud. אם לא מבטלים את ההגדרה, ה-CLI של gcloud משתמש בפרטי הכניסה האלה כדי לגשת אל Google Cloud.

זהירות: כל משתמש שיש לו גישה למערכת הקבצים יכול להשתמש בפרטי הכניסה שנוצרו על ידי gcloud auth login. כדי לצמצם את ההשלכות של פריצה למערכת, הפרידו באופן מוחלט בין שימוש אנושי לבין שימוש בעומסי עבודה, ואל תשתמשו ב-gcloud auth login לעומסי עבודה אוטומטיים במערכות מרוחקות עם אחסון מתמיד. במקום זאת, כדאי להשתמש במנהל סודות בשילוב עם משתני סביבה.

במאמר שיטות מומלצות להגנה על פרטי הכניסה של מפתחים מוסבר איך להקשיח מערכות מרוחקות.

כניסה באמצעות דפדפן ללא GUI ל-CLI של gcloud

כדי להיכנס ל-Microsoft Entra ID באמצעות ה-CLI של gcloud:

OIDC

1. מבצעים את הפעולות לשליחת בקשת הכניסה. נכנסים עם חשבון המשתמש לאפליקציית Microsoft Entra ID באמצעות OIDC.

2. מעתיקים את הטוקן של המזהה מהפרמטר id_token של כתובת ה-URL להפניה אוטומטית, ושומרים אותו בקובץ במיקום מאובטח במחשב המקומי. בהמשך יהיה צורך להגדיר את PATH_TO_OIDC_ID_TOKEN לנתיב של הקובץ הזה.

3. מריצים את הפקודה הבאה כדי ליצור קובץ תצורה שדומה לדוגמה שבהמשך השלב הזה:

   gcloud iam workforce-pools create-cred-config \
       locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
       --subject-token-type=urn:ietf:params:oauth:token-type:id_token \
       --credential-source-file=PATH_TO_OIDC_ID_TOKEN \
       --workforce-pool-user-project=WORKFORCE_POOL_USER_PROJECT \
       --output-file=config.json
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫WORKFORCE_POOL_ID: המזהה של מאגר הזהויות של כוח העבודה.
   • ‫WORKFORCE_PROVIDER_ID: המזהה של ספק מאגר הזהויות של כוח העבודה.
   • ‫PATH_TO_OIDC_ID_TOKEN: הנתיב למיקום של הקובץ שבו שמור האסימון של ספק הזהויות
   • ‫WORKFORCE_POOL_USER_PROJECT: מספר או מזהה הפרויקט שמשמש למכסות ולחיוב לחשבון המשתמש צריכה להיות הרשאת serviceusage.services.use בפרויקט הזה.

   בסיום הפקודה, Microsoft Entra ID יוצר את קובץ התצורה הבא:

   {
     "type": "external_account",
     "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
     "subject_token_type": "urn:ietf:params:oauth:token-type:id_token",
     "token_url": "https://sts.googleapis.com/v1/token",
     "workforce_pool_user_project": "WORKFORCE_POOL_USER_PROJECT",
     "credential_source": {
       "file": "PATH_TO_OIDC_CREDENTIALS"
     }
   }
   

4. פותחים את ה-CLI של gcloud ומריצים את הפקודה הבאה:

   gcloud auth login --cred-file=PATH_TO_OIDC_CREDENTIALS
   

   מחליפים את PATH_TO_OIDC_CREDENTIALS בנתיב של קובץ הפלט מהשלב הקודם.

   ה-CLI של gcloud יפרסם בצורה שקופה את פרטי הכניסה לנקודת הקצה של Security Token Service. בנקודת הקצה, הפרטים מוחלפים בטוקני גישה זמניים ל- Google Cloud .

   עכשיו תוכלו להריץ ב-Google Cloudפקודות באמצעות ה-CLI של gcloud.

SAML

1. נכנסים עם חשבון משתמש לאפליקציית Microsoft Entra ID ומקבלים את התגובה ב-SAML.

2. שומרים את התגובה ב-SAML שמוחזרת על ידי Microsoft Entra ID במיקום מאובטח במחשב המקומי ואז שומרים את הנתיב בצורה הבאה:

   SAML_ASSERTION_PATH=SAML_ASSERTION_PATH
   

3. כדי ליצור קובץ תצורה של פרטי הכניסה, מריצים את הפקודה הבאה:

   gcloud iam workforce-pools create-cred-config \
       locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
       --subject-token-type=urn:ietf:params:oauth:token-type:saml2 \
       --credential-source-file=SAML_ASSERTION_PATH  \
       --workforce-pool-user-project=PROJECT_ID  \
       --output-file=config.json
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫WORKFORCE_PROVIDER_ID: המזהה של ספק הזהויות של כוח העבודה שיצרתם קודם במדריך הזה.
   • ‫WORKFORCE_POOL_ID: המזהה של מאגר הזהויות של כוח העבודה שיצרתם קודם במדריך
   • ‫SAML_ASSERTION_PATH: הנתיב לקובץ של טענת הנכונות ב-SAML
   • ‫PROJECT_ID: מזהה הפרויקט

   קובץ התצורה שנוצר נראה כך:

   {
      "type": "external_account",
      "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
      "subject_token_type": "urn:ietf:params:oauth:token-type:saml2",
      "token_url": "https://sts.googleapis.com/v1/token",
      "credential_source": {
        "file": "SAML_ASSERTION_PATH"
      },
      "workforce_pool_user_project": "PROJECT_ID"
   }
   

4. כדי להתחבר ל-CLI של gcloud באמצעות החלפת אסימונים של איחוד שירותי אימות הזהות של כוח עבודה, מריצים את הפקודה הבאה:

   gcloud auth login --cred-file=config.json
   

   לאחר מכן, ה-CLI של gcloud ממיר בצורה שקופה את פרטי הכניסה של Microsoft Entra ID לטוקני גישה זמניים של Google Cloud . טוקני הגישה מאפשרים לכם לגשת אל Google Cloud.

   הפלט אמור להיראות כך:

   Authenticated with external account user credentials for:
   [principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/USER_ID].

5. כדי להציג את החשבונות עם פרטי הכניסה ואת החשבון הפעיל, מריצים את הפקודה הבאה:

   gcloud auth list
   

בדיקת הגישה

עכשיו יש לכם גישה למוצרי Google Cloud שתומכים באיחוד שירותי אימות הזהות של כוח העבודה, ושאליהם ניתנה לכם גישה. מוקדם יותר במאמר הזה נתתם את התפקיד "אדמין של נפח אחסון" (roles/storage.admin) לכל הזהויות במזהה הקבוצה שציינתם ב-gcloud projects add-iam-policy-binding בפרויקט TEST_PROJECT_ID.

עכשיו תוכלו לבדוק אם יש לכם גישה על ידי הצגת הרשימה של הקטגוריות של Cloud Storage.

המסוף (איחוד)

כדי לבדוק אם יש לכם גישה באמצעות המסוף (המאוחד):

• מעבר לדף Cloud Storage.

  כניסה ל-Cloud Storage

• מוודאים שאפשר לראות את רשימת הקטגוריות הקיימות של TEST_PROJECT_ID.

‫CLI של gcloud

כדי לבדוק אם יש לכם גישה באמצעות ה-CLI של gcloud, אתם יכולים להציג את הקטגוריות והאובייקטים של Cloud Storage בפרויקט שיש לכם גישה אליו. כדי לעשות את זה, מריצים את הפקודה הבאה. לחשבון המשתמש צריכה להיות ההרשאה serviceusage.services.use בפרויקט שצוין.

gcloud storage ls --project="TEST_PROJECT_ID"

מחק משתמשים

איחוד שירותי אימות הזהות של כוח עבודה יוצר מטא-נתונים ומשאבים של משתמשים לזהויות משתמשים מאוחדות. אם אתם בוחרים למחוק משתמשים ב-IdP, אתם צריכים גם למחוק באופן מפורש את המשאבים האלה ב- Google Cloud. כדי לעשות את זה, קראו את המאמר מחיקת המשתמשים באיחוד שירותי אימות הזהות של כוח עבודה והנתונים שלהם.

כדי לסיים באופן מיידי את הסשנים הפעילים של משתמש, אתם יכולים לבטל את הסשנים שלו. מידע נוסף מופיע במאמר ביטול סשנים של משתמשים באיחוד שירותי אימות הזהות של כוח העבודה.

יכול להיות שתראו משאבים שעדיין משויכים למשתמש שנמחק. הסיבה לכך היא שמחיקת מטא-נתונים ומשאבים של משתמשים דורשת פעולה ארוכה. אחרי שמתחילים למחוק את זהות המשתמש, תהליכים שהמשתמש התחיל לפני המחיקה יכולים להמשיך לפעול עד שהם מסתיימים או מבוטלים.

המאמרים הבאים

• הגדרת SCIM ב-Microsoft Entra ID
• מחיקת המשתמשים באיחוד שירותי אימות הזהות של כוח עבודה והנתונים שלהם
• ביטול סשנים של משתמשים באיחוד שירותי אימות הזהות של כוח עבודה
• אילו Google Cloud מוצרי תומכים באיחוד שירותי אימות הזהות של כוח העבודה
• הגדרת גישה של משתמשים למסוף (מאוחד)