Configurare la federazione delle identità per la forza lavoro con Microsoft Entra ID

Puoi configurare la federazione delle identità per la forza lavoro con il provider di identità (IdP) Microsoft Entra ID e mappare fino a 400 gruppi da Microsoft Entra ID a Google Cloud utilizzando Microsoft Graph. Puoi quindi concedere ruoli IAM a questi gruppi, consentendo agli utenti di Microsoft Entra ID di questi gruppi di accedere a Google Cloud. Gli utenti possono quindi accedere ai prodotti Google Cloud per i quali è stato concesso l'accesso IAM e che supportano anche la federazione delle identità per la forza lavoro.

Per mappare meno di 150 gruppi da Microsoft Entra ID a Google Cloud, consulta Configura la federazione delle identità per la forza lavoro con Microsoft Entra ID e accedi agli utenti.

Concetti fondamentali

Questa sezione descrive i concetti utilizzati per configurare la federazione delle identità per la forza lavoro, più avanti in questo documento.

Attributi aggiuntivi

Per mappare fino a 400 gruppi, utilizza gli attributi aggiuntivi specificando i flag extra-attributes quando crei il provider del pool di identità per la forza lavoro. Puoi utilizzare attributi aggiuntivi con i seguenti protocolli:

  • OIDC con flusso implicito
  • OIDC con flusso di codice
  • Protocollo SAML 2.0

Il numero di indirizzi email dei gruppi che un'applicazione Microsoft Entra ID può emettere in un token è limitato a 150 per SAML e 200 per JWT. Per saperne di più su questo limite, consulta Configura le attestazioni di gruppo per le applicazioni utilizzando Microsoft Entra ID. Per recuperare altri gruppi, la federazione delle identità per la forza lavoro utilizza il flusso di credenziali client OAuth 2.0 di Microsoft Identity per ottenere le credenziali che consentono alla federazione delle identità per la forza lavoro di eseguire query sull'API Microsoft Graph e recuperare i gruppi di un utente.

Per utilizzare attributi aggiuntivi, in linea generale, devi:

  • Crea una nuova applicazione Microsoft Entra ID o aggiorna l'applicazione esistente per ottenere le iscrizioni ai gruppi degli utenti dall'API Microsoft Graph. Per scoprire di più su come Microsoft Graph recupera un numero elevato di gruppi da Microsoft Entra ID, consulta Eccedenze dei gruppi.

  • Quando crei il provider del pool di identità per la forza lavoro, utilizzi i flag extra-attributes per configurare la federazione delle identità per la forza lavoro in modo da recuperare gli indirizzi email o i nomi visualizzati dei gruppi degli utenti dall'API Microsoft Graph.

La federazione delle identità per la forza lavoro può recuperare fino a 999 gruppi dall'API Microsoft Graph. Se l'API Microsoft Graph restituisce più di 999 gruppi, l'accesso non va a buon fine.

Per ridurre il numero di gruppi restituiti dall'API Microsoft Graph, puoi perfezionare la query della federazione delle identità per la forza lavoro utilizzando il flag --extra-attributes-filter quando crei il provider del pool di identità per la forza lavoro.

Dopo che la federazione delle identità per la forza lavoro ha recuperato i gruppi dall'API Microsoft Graph, genera il token di accesso. La federazione delle identità per la forza lavoro può aggiungere fino a 400 gruppi al token di accesso. Per filtrare ulteriormente il numero di gruppi in modo che siano al massimo 400, specifica una mappatura degli attributi che contenga espressioni Common Expression Language (CEL) quando crei il provider del pool di identità della forza lavoro.

Prima di iniziare

  1. Assicurati di aver configurato un'organizzazione Google Cloud .

  2. Installa Google Cloud CLI. Dopo l'installazione, inizializza Google Cloud CLI eseguendo il comando seguente: 

    gcloud init

    Se utilizzi un provider di identità (IdP) esterno, devi prima accedere a gcloud CLI con la tua identità federata.

  3. In Microsoft Entra ID, assicurati che i token ID siano abilitati per il flusso implicito. Per saperne di più, consulta Abilita la concessione implicita del token ID.
  4. Per l'accesso, l'IdP deve fornire informazioni di autenticazione firmate: gli IdP OIDC devono fornire un JWT e le risposte dell'IdP SAML devono essere firmate.
  5. Per ricevere informazioni importanti sulle modifiche alla tua organizzazione o ai prodottiGoogle Cloud , devi fornire i Contatti essenziali. Per saperne di più, consulta la panoramica della federazione delle identità per la forza lavoro.
  6. Tutti i gruppi che intendi mappare devono essere contrassegnati come gruppi di sicurezza in Microsoft Entra ID.

Costi

La federazione delle identità per la forza lavoro è disponibile come funzionalità senza costi. Tuttavia, l'audit logging dettagliato della federazione delle identità per la forza lavoro utilizza Cloud Logging. Per scoprire di più sui prezzi di Logging, consulta Prezzi di Google Cloud Observability.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per configurare la federazione delle identità per la forza lavoro, chiedi all'amministratore di concederti il ruolo IAM Amministratore pool di forza lavoro IAM (roles/iam.workforcePoolAdmin) nell'organizzazione. Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Se stai configurando le autorizzazioni in un ambiente di sviluppo o di test, ma non in un ambiente di produzione, puoi concedere il ruolo di base Proprietario IAM (roles/owner), che include anche le autorizzazioni per la federazione delle identità della forza lavoro.

Crea un'applicazione Microsoft Entra ID

Questa sezione mostra come creare un'applicazione Microsoft Entra ID utilizzando l'interfaccia di amministrazione di Microsoft Entra. In alternativa, puoi aggiornare l'applicazione esistente. Per ulteriori dettagli, consulta Stabilisci le applicazioni nell'ecosistema Microsoft Entra ID.

I pool di identità per la forza lavoro supportano la federazione utilizzando i protocolli OIDC e SAML.

OIDC

Per creare una registrazione dell'applicazione Microsoft Entra ID che utilizza il protocollo OIDC, segui questi passaggi:

  1. Accedi all'interfaccia di amministrazione di Microsoft Entra.

  2. Vai a Entra ID > Registrazioni app.

  3. Per iniziare a configurare la registrazione dell'applicazione, segui questi passaggi:

    1. Fai clic su Nuova registrazione.

    2. Inserisci un nome per l'applicazione.

    3. In Tipi di account supportati, seleziona un'opzione.

    4. Nella sezione Redirect URI (URI di reindirizzamento), nell'elenco a discesa Seleziona una piattaforma, seleziona Web.

    5. Nel campo di testo, inserisci un URL di reindirizzamento. Gli utenti vengono reindirizzati a questo URL dopo aver eseguito l'accesso. Se stai configurando l'accesso alla console (federata), utilizza il seguente formato URL:

      https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

      Sostituisci quanto segue:

      • WORKFORCE_POOL_ID: un ID pool di identità della forza lavoro che utilizzi durante la creazione del pool di identità della forza lavoro più avanti in questo documento, ad esempio entra-id-oidc-pool.

      • WORKFORCE_PROVIDER_ID: un ID provider di pool di identità della forza lavoro che utilizzi quando crei il provider di pool di identità della forza lavoro più avanti in questo documento, ad esempio entra-id-oidc-pool-provider.

        Per informazioni sulla formattazione dell'ID, consulta la sezione Parametri di query della documentazione dell'API.

    6. Per creare la registrazione dell'applicazione, fai clic su Register (Registra).

    7. Per utilizzare la mappatura degli attributi di esempio fornita più avanti in questo documento, devi creare un attributo department personalizzato.

SAML

Per creare una registrazione dell'applicazione Microsoft Entra ID che utilizza il protocollo SAML, segui questi passaggi:

  1. Accedi all'interfaccia di amministrazione di Microsoft Entra.

  2. Vai a Entra ID > Enterprise applications (Applicazioni aziendali).

  3. Per iniziare a configurare l'applicazione aziendale, segui questi passaggi:

    1. Fai clic su Nuova applicazione > Crea la tua applicazione.

    2. Nel riquadro Crea la tua applicazione visualizzato, inserisci un nome per l'applicazione.

    3. Fai clic su Crea.

    4. Vai a Single Sign-On > SAML.

    5. Aggiorna la sezione Basic SAML Configuration (Configurazione SAML di base) come segue:

      1. Nel campo Identifier (Entity ID) (Identificatore (ID entità)), inserisci il seguente valore:

        https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

        Sostituisci quanto segue:

        • WORKFORCE_POOL_ID: un ID del pool di identità della forza lavoro che utilizzi quando crei il pool di identità della forza lavoro più avanti in questo documento, ad esempio entra-id-saml-pool.

        • WORKFORCE_PROVIDER_ID: un ID provider di pool di identità della forza lavoro che utilizzi quando crei il provider di pool di identità della forza lavoro più avanti in questo documento, ad esempio entra-id-saml-pool-provider.

          Per informazioni sulla formattazione dell'ID, consulta la sezione Parametri di query della documentazione dell'API.

      2. Nel campo Reply URL (Assertion Consumer Service URL) (URL di risposta (URL Assertion Consumer Service)), inserisci un URL di reindirizzamento. I tuoi utenti vengono reindirizzati a questo URL dopo aver eseguito l'accesso. Se stai configurando l'accesso alla console (federata), utilizza il seguente formato URL:

        https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

        Sostituisci quanto segue:

        • WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro.
        • WORKFORCE_PROVIDER_ID: l'ID provider del pool di identità della forza lavoro.

      3. Per attivare l'accesso avviato dall'IdP, imposta il campo Relay State (Stato inoltro) sul seguente valore:

        https://console.cloud.google/

      4. Per salvare la configurazione dell'applicazione SAML, fai clic su Salva.

    6. Per utilizzare la mappatura degli attributi di esempio fornita più avanti in questo documento, devi creare un attributo department personalizzato.

  4. Assegna utenti o gruppi all'applicazione.

Configura un numero elevato di gruppi con Microsoft Entra ID

Questa sezione descrive come mappare fino a 400 gruppi da Microsoft Entra ID alla federazione delle identità per la forza lavoro utilizzando i protocolli OIDC e SAML.

Configura un numero elevato di gruppi con Microsoft Entra ID con flusso implicito OIDC

Questa sezione descrive come mappare fino a 400 gruppi da Microsoft Entra ID alla federazione delle identità per la forza lavoro utilizzando il protocollo OpenID Connect (OIDC) con flusso implicito.

Configura l'applicazione Microsoft Entra ID

Puoi configurare un'applicazione Microsoft Entra ID esistente o crearne una nuova. Per configurare l'applicazione, segui questi passaggi:

  1. Nel portale Microsoft Entra ID:
    • Per registrare una nuova applicazione, segui le istruzioni riportate in Registra una nuova applicazione.
    • Per aggiornare un'applicazione esistente, segui questi passaggi:
      • Vai a Entra ID > Registrazioni app.
      • Seleziona l'applicazione che vuoi aggiornare.
  2. Crea un nuovo client secret nell'applicazione seguendo le istruzioni riportate in Certificates & secrets (Certificati e secret). Assicurati di registrare il valore del client secret perché viene visualizzato una sola volta.

  3. Aggiungi l'autorizzazione API per consentire alla federazione delle identità per la forza lavoro di accedere alle informazioni degli utenti da Microsoft Entra ID utilizzando l'API Microsoft Graph:

    1. Vai ad Autorizzazioni API.
    2. Fai clic su Aggiungi un'autorizzazione.
    3. Seleziona Microsoft Graph.
    4. Seleziona Autorizzazioni applicazione.
    5. Nel campo di ricerca, inserisci User.ReadBasic.All.
    6. Seleziona User.ReadBasic.All, quindi fai clic su Aggiungi autorizzazioni.

  4. Puoi recuperare i gruppi Microsoft Entra ID utilizzando un identificatore (ID) oggetto del gruppo, un indirizzo email del gruppo per i gruppi abilitati per l'email o un nome visualizzato del gruppo.

    Se recuperi i gruppi come indirizzi email o nomi visualizzati dei gruppi, segui questi passaggi. Se recuperi i gruppi come identificatori di oggetti di gruppo, salta questo passaggio.

    1. In API permissions (Autorizzazioni API), fai clic su Add a permission (Aggiungi un'autorizzazione).
    2. Seleziona Microsoft Graph.
    3. Seleziona Autorizzazioni applicazione.
    4. Nel campo di ricerca, inserisci GroupMember.Read.All.
    5. Seleziona GroupMember.Read.All, quindi fai clic su Aggiungi autorizzazioni.

  5. Concedi il consenso dell'amministratore per le autorizzazioni API configurate:

    1. In Autorizzazioni configurate, fai clic su Concedi il consenso amministratore per TENANT_NAME.
    2. Quando ti viene richiesto di confermare, fai clic su Sì.

  6. Registra i seguenti valori di configurazione della tua applicazione per configurare il provider del pool di identità della forza lavoro più avanti in questo documento:

    1. Vai alla pagina Panoramica della registrazione dell'applicazione Microsoft Entra ID.
    2. Registra i seguenti valori:
      • ID applicazione (client)
      • ID directory (tenant)
      • Client secret: il valore che hai registrato in precedenza.
    3. Fai clic su Endpoint.

    4. Trova l'endpoint Documento di metadati OpenID Connect. L'URI dell'emittente è l'URI del documento di metadati OpenID Connect, omettendo il suffisso /.well-known/openid-configuration.

      Ad esempio, se l'URI del documento di metadati OpenID Connect è https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.well-known/openid-configuration, l'URI dell'emittente è https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.

Crea un pool di identità per la forza lavoro

gcloud

Per creare il pool di identità per la forza lavoro, esegui questo comando:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Sostituisci quanto segue:

  • WORKFORCE_POOL_ID: un ID scelto da te per rappresentare il tuo pool di forza lavoro Google Cloud . L'ID pool deve essere univoco a livello globale in tutti i pool di identità della forza lavoro in Google Cloud. Per informazioni sulla formattazione dell'ID, consulta la sezione Parametri di query nella documentazione dell'API.
  • ORGANIZATION_ID: l'ID organizzazione numerico della tua organizzazione Google Cloud per il pool di identità della forza lavoro. I pool di identità della forza lavoro sono disponibili in tutti i progetti e le cartelle dell'organizzazione.
  • DISPLAY_NAME: (Facoltativo) Un nome visualizzato per il pool di identità della forza lavoro.
  • DESCRIPTION: (Facoltativo) Una descrizione del pool di identità della forza lavoro.
  • SESSION_DURATION: (Facoltativo) La durata della sessione, espressa come numero seguito da s, ad esempio 3600s. La durata della sessione determina per quanto tempo sono validi i Google Cloud token di accesso, le sessioni di accesso alla console (federata) e le sessioni di accesso a gcloud CLI di questo pool di forza lavoro. La durata della sessione è di un'ora (3600 s) per impostazione predefinita. Il valore della durata della sessione deve essere compreso tra 15 minuti (900 s) e 12 ore (43.200 s).

Console

Per creare il pool di identità della forza lavoro, segui questi passaggi:

  1. Nella console Google Cloud , vai alla pagina Pool di identità per la forza lavoro:

    Vai a Pool di identità per la forza lavoro

  2. Seleziona l'organizzazione per il pool di identità della forza lavoro. I pool di identità della forza lavoro sono disponibili in tutti i progetti e le cartelle di un'organizzazione.

  3. Fai clic su Crea pool e segui questi passaggi:

    1. Nel campo Nome, inserisci il nome visualizzato del pool. L'ID del pool viene ricavato automaticamente dal nome durante la digitazione e viene visualizzato sotto il campo Nome. Puoi aggiornare l'ID pool facendo clic su Modifica accanto all'ID pool.

    2. (Facoltativo) In Descrizione, inserisci una descrizione del pool.

    3. Per creare il pool di identità per la forza lavoro, fai clic su Avanti.

La durata della sessione del pool di identità della forza lavoro è di un'ora (3600 secondi) per impostazione predefinita. La durata della sessione determina per quanto tempo sono validi i token di accesso Google Cloud , la console (federata) e le sessioni di accesso a gcloud CLI di questo pool di forza lavoro. Dopo aver creato il pool, puoi aggiornarlo per impostare una durata della sessione personalizzata. La durata della sessione deve essere compresa tra 15 minuti (900 secondi) e 12 ore (43.200 secondi).

Configura il provider del pool di identità della forza lavoro con flusso implicito OIDC

gcloud

Per creare il provider del pool di identità della forza lavoro OIDC, esegui questo comando:

gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global \
    --display-name=DISPLAY_NAME \
    --issuer-uri=ISSUER_URI \
    --client-id=CLIENT_ID \
    --attribute-mapping=ATTRIBUTE_MAPPING \
    --web-sso-response-type=id-token \
    --web-sso-assertion-claims-behavior=only-id-token-claims \
    --extra-attributes-issuer-uri=EXTRA_ATTRIBUTES_ISSUER_URI \
    --vendor-type="entra-id" \
    --extra-attributes-client-id=EXTRA_ATTRIBUTES_CLIENT_ID \
    --extra-attributes-client-secret-value=EXTRA_ATTRIBUTES_CLIENT_SECRET \
    --extra-attributes-type=EXTRA_ATTRIBUTES_TYPE  \
    --extra-attributes-filter=EXTRA_ATTRIBUTES_FILTER \
    --detailed-audit-logging

Sostituisci quanto segue:

  • PROVIDER_ID: un ID provider univoco. Il prefisso gcp- è riservato e non può essere utilizzato in un ID pool o provider.
  • WORKFORCE_POOL_ID: l'ID del pool di forza lavoro.
  • DISPLAY_NAME: un nome visualizzato per il provider.
  • ISSUER_URI: l'URI dell'emittente dell'applicazione Microsoft Entra ID che hai creato in precedenza in questo documento.
  • CLIENT_ID: l'ID client dell'applicazione Microsoft Entra ID.
  • ATTRIBUTE_MAPPING: la mappatura degli attributi da Microsoft Entra ID a Google Cloud. Se utilizzi i flag --extra-attributes per eseguire query sui gruppi da Microsoft Entra ID, qualsiasi mappatura google.groups che utilizza attestazioni SAML o OIDC standard viene ignorata. Ad esempio, per mappare gli attributi groups e subject da Microsoft Entra ID, utilizza la seguente mappatura degli attributi: 
    --attribute-mapping="google.groups=assertion.groups, google.subject=assertion.oid"

    Per saperne di più, consulta Mappatura degli attributi.

  • EXTRA_ATTRIBUTES_ISSUER_URI: l'URI dell'emittente della tua applicazione Microsoft Entra ID.
  • EXTRA_ATTRIBUTES_CLIENT_ID: l'ID client dell'applicazione Microsoft Entra ID.
  • EXTRA_ATTRIBUTES_CLIENT_SECRET: il client secret aggiuntivo dell'applicazione Microsoft Entra ID.
  • EXTRA_ATTRIBUTES_TYPE: utilizza azure-ad-groups-mail per recuperare gli indirizzi email dei gruppi. Utilizza azure-ad-groups-id per recuperare gli ID dei gruppi. Utilizza azure-ad-groups-display-name per recuperare i nomi visualizzati dei gruppi.
  • EXTRA_ATTRIBUTES_FILTER: (Facoltativo) Un'espressione di filtro utilizzata quando si esegue una query sull'API Microsoft Graph per i gruppi. Puoi utilizzare questo parametro per assicurarti che il numero di gruppi recuperati dall'IdP rimanga al di sotto del limite di 400 gruppi.

    L'esempio seguente recupera i gruppi che hanno il prefisso sales nel proprio ID email: 

    --extra-attributes-filter='"mail:sales"'

    La seguente espressione recupera i gruppi con un nome visualizzato che contiene la stringa sales.

    --extra-attributes-filter='"displayName:sales"'

  • Il logging di controllo dettagliato della federazione delle identità per la forza lavoro registra le informazioni ricevute dall'IdP in Logging. L'audit logging dettagliato può aiutarti a risolvere i problemi di configurazione del provider del pool di identità della forza lavoro. Per scoprire come risolvere gli errori di mappatura degli attributi con l'audit logging dettagliato, consulta Errori generali di mappatura degli attributi. Per scoprire di più sui prezzi di Logging, consulta Prezzi di Google Cloud Observability.

    Per disattivare l'audit logging dettagliato per un provider di pool di identità per la forza lavoro, ometti il flag --detailed-audit-logging quando esegui gcloud iam workforce-pools providers create. Per disattivare l'audit logging dettagliato, puoi anche aggiornare il provider.

Console

  1. Nella console Google Cloud , vai alla pagina Pool di identità per la forza lavoro:

    2. Vai a Pool di identità per la forza lavoro

  2. Nella tabella Pool di identità per la forza lavoro, seleziona il pool per il quale vuoi creare il provider.
  3. Nella sezione Provider, fai clic su Aggiungi provider.
  4. Nell'elenco Seleziona un fornitore di provider, seleziona il tuo provider di identità (IdP).

    Se il tuo IdP non è presente nell'elenco, seleziona Provider di identità generico.

  5. In Seleziona un protocollo di autenticazione, seleziona OpenID Connect (OIDC).
  6. Nella sezione Crea un provider, segui questi passaggi:
    1. In Nome, inserisci il nome del provider.
    2. In Descrizione, inserisci la descrizione del provider.
    3. In Emittente (URL), inserisci l'URI dell'emittente. L'URI dell'emittente OIDC deve essere in un formato URI valido e iniziare con https, ad esempio https://example.com/oidc.
    4. In ID client, inserisci l'ID client OIDC registrato con il tuo IdP OIDC; l'ID deve corrispondere alla rivendicazione aud del JWT emesso dal tuo IdP.

    5. Per creare un provider abilitato, assicurati che l'opzione Abilita provider sia attiva.

    6. Fai clic su Continua.
  7. Nella sezione Condividi le informazioni del tuo provider con l'IdP, copia l'URL. Nell'IdP, configura questo URL come URI di reindirizzamento, che indica all'IdP dove inviare il token di asserzione dopo l'accesso.
  8. Fai clic su Continua.
  9. Nella sezione Configura l'accesso web OIDC, segui questi passaggi:
    1. Nell'elenco Tipo di flusso, seleziona Token ID.
    2. Nell'elenco Comportamento delle rivendicazioni di asserzione, è selezionato Token ID.
  10. Fai clic su Continua.
  11. (Facoltativo) Per attivare l'audit logging dettagliato, nella sezione Configura provider, per Logging dettagliato, fai clic sul pulsante di attivazione/disattivazione Abilita l'audit logging dei valori degli attributi.

    Il logging di controllo dettagliato della federazione delle identità per la forza lavoro registra le informazioni ricevute dall'IdP in Logging. L'audit logging dettagliato può aiutarti a risolvere i problemi di configurazione del provider del pool di identità della forza lavoro. Per scoprire come risolvere gli errori di mappatura degli attributi con l'audit logging dettagliato, consulta Errori generali di mappatura degli attributi. Per scoprire di più sui prezzi di Logging, consulta Prezzi di Google Cloud Observability.

    Per disattivare l'audit logging dettagliato per un provider di pool di identità per la forza lavoro, lascia disattivato il pulsante di attivazione/disattivazione Abilita l'audit logging dei valori degli attributi quando crei il provider. Per disattivare l'audit logging dettagliato, puoi anche aggiornare il provider.

  12. Per creare il provider, fai clic su Invia.

Dopo aver creato il provider, viene visualizzata la pagina degli attributi del provider.

Per configurare le mappature e le condizioni degli attributi, segui questi passaggi:

  1. Quando richiesto, accedi all'IdP esterno per convalidare le mappature degli attributi predefinite.
  2. Nella pagina degli attributi del provider, visualizza e modifica le mappature e le condizioni degli attributi:
    1. Per aggiungere o modificare le mappature degli attributi:
      1. Fai clic su Aggiungi mappatura per aggiungere una nuova mappatura o modificare quelle esistenti.
      2. Nel campo Google n, dove n è un numero, inserisci una delle chiavi supportate da Google Cloud.
      3. Nel campo OIDC n corrispondente, inserisci il nome del campo specifico dell'IdP da mappare, in formato CEL.
    2. Per aumentare il numero di gruppi, procedi nel seguente modo:
      1. Fai clic su Attiva per gli attributi aggiuntivi.
      2. Nell'attività secondaria che si apre, inserisci i seguenti dettagli:
        1. Nel campo URI emittente attributi aggiuntivi, inserisci l'URL dell'emittente.
        2. Nel campo Extra Attributes Client ID (ID client attributi aggiuntivi), inserisci l'ID client.
        3. Nel campo Client secret attributi aggiuntivi, inserisci il client secret.
        4. Nell'elenco Tipo di attributi aggiuntivi, seleziona un tipo di attributo per gli attributi aggiuntivi.
        5. Nel campo Extra Attributes Filter (Filtro attributi aggiuntivi), inserisci un'espressione di filtro utilizzata quando si esegue una query sull'API Microsoft Graph per i gruppi.
        6. Fai clic su Attiva.

      Dopo aver attivato gli attributi aggiuntivi, puoi fare clic su Modifica per riaprire l'attività secondaria e modificare i dettagli oppure su Disattiva per disattivare gli attributi aggiuntivi.

    3. Per aggiungere una condizione dell'attributo, segui questi passaggi:
      1. Fai clic su Aggiungi condizione.
      2. Nel campo Condizioni attributo, inserisci una condizione in formato CEL, ad esempio assertion.role == 'gcp-users'. Questa condizione di esempio garantisce che solo gli utenti con il ruolo gcp-users possano accedere utilizzando questo provider.
  3. Per convalidare le mappature, fai clic su Salva e recupera di nuovo il token.
  4. Per completare la configurazione, fai clic su Salva ed esci.

Configura un numero elevato di gruppi in Microsoft Entra ID con il flusso di codice OIDC

Questa sezione descrive come mappare fino a 400 gruppi da Microsoft Entra ID alla federazione delle identità per la forza lavoro utilizzando il protocollo OIDC con il flusso di codice.

Configura l'applicazione Microsoft Entra ID

Puoi configurare un'applicazione Microsoft Entra ID esistente o crearne una nuova. Per configurare l'applicazione, segui questi passaggi:

  1. Nel portale Microsoft Entra ID:
    • Per registrare una nuova applicazione, segui le istruzioni riportate in Registra una nuova applicazione.
    • Per aggiornare un'applicazione esistente, segui questi passaggi:
      • Vai a Entra ID > Registrazioni app.
      • Seleziona l'applicazione che vuoi aggiornare.
  2. Crea un nuovo client secret nell'applicazione seguendo le istruzioni riportate in Certificates & secrets (Certificati e secret). Assicurati di registrare il valore del client secret perché viene visualizzato una sola volta.

  3. Aggiungi l'autorizzazione API per consentire alla federazione delle identità per la forza lavoro di accedere alle informazioni degli utenti da Microsoft Entra ID utilizzando l'API Microsoft Graph:

    1. Vai ad Autorizzazioni API.
    2. Fai clic su Aggiungi un'autorizzazione.
    3. Seleziona Microsoft Graph.
    4. Seleziona Autorizzazioni delegate.
    5. Nel campo di ricerca, inserisci User.ReadBasic.All.
    6. Seleziona User.ReadBasic.All, quindi fai clic su Aggiungi autorizzazioni.

  4. Puoi recuperare i gruppi Microsoft Entra ID utilizzando un identificatore (ID) oggetto del gruppo, un indirizzo email del gruppo per i gruppi abilitati per l'email o un nome visualizzato del gruppo.

    Se recuperi i gruppi come indirizzi email o nomi visualizzati dei gruppi, segui questi passaggi. Se recuperi i gruppi come identificatori di oggetti di gruppo, salta questo passaggio.

    1. In API permissions (Autorizzazioni API), fai clic su Add a permission (Aggiungi un'autorizzazione).
    2. Seleziona Microsoft Graph.
    3. Seleziona Autorizzazioni delegate.
    4. Nel campo di ricerca, inserisci GroupMember.Read.All.
    5. Seleziona GroupMember.Read.All, quindi fai clic su Aggiungi autorizzazioni.

  5. Concedi il consenso dell'amministratore per le autorizzazioni API configurate:

    1. In Autorizzazioni configurate, fai clic su Concedi il consenso amministratore per TENANT_NAME.
    2. Quando ti viene richiesto di confermare, fai clic su Sì.

  6. Registra i seguenti valori di configurazione della tua applicazione per configurare il provider del pool di identità della forza lavoro più avanti in questo documento:

    1. Vai alla pagina Panoramica della registrazione dell'applicazione Microsoft Entra ID.
    2. Registra i seguenti valori:
      • ID applicazione (client)
      • ID directory (tenant)
      • Client secret: il valore che hai registrato in precedenza.
    3. Fai clic su Endpoint.

    4. Trova l'endpoint Documento di metadati OpenID Connect. L'URI dell'emittente è l'URI del documento di metadati OpenID Connect, omettendo il suffisso /.well-known/openid-configuration.

      Ad esempio, se l'URI del documento di metadati OpenID Connect è https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.well-known/openid-configuration, l'URI dell'emittente è https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.

Crea un pool di identità per la forza lavoro

gcloud

Per creare il pool di identità per la forza lavoro, esegui questo comando:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Sostituisci quanto segue:

  • WORKFORCE_POOL_ID: un ID scelto da te per rappresentare il tuo pool di forza lavoro Google Cloud . L'ID pool deve essere univoco a livello globale in tutti i pool di identità della forza lavoro in Google Cloud. Per informazioni sulla formattazione dell'ID, consulta la sezione Parametri di query nella documentazione dell'API.
  • ORGANIZATION_ID: l'ID organizzazione numerico della tua organizzazione Google Cloud per il pool di identità della forza lavoro. I pool di identità della forza lavoro sono disponibili in tutti i progetti e le cartelle dell'organizzazione.
  • DISPLAY_NAME: (Facoltativo) Un nome visualizzato per il pool di identità della forza lavoro.
  • DESCRIPTION: (Facoltativo) Una descrizione del pool di identità della forza lavoro.
  • SESSION_DURATION: (Facoltativo) La durata della sessione, espressa come numero seguito da s, ad esempio 3600s. La durata della sessione determina per quanto tempo sono validi i Google Cloud token di accesso, le sessioni di accesso alla console (federata) e le sessioni di accesso a gcloud CLI di questo pool di forza lavoro. La durata della sessione è di un'ora (3600 s) per impostazione predefinita. Il valore della durata della sessione deve essere compreso tra 15 minuti (900 s) e 12 ore (43.200 s).

Console

Per creare il pool di identità della forza lavoro, segui questi passaggi:

  1. Nella console Google Cloud , vai alla pagina Pool di identità per la forza lavoro:

    Vai a Pool di identità per la forza lavoro

  2. Seleziona l'organizzazione per il pool di identità della forza lavoro. I pool di identità della forza lavoro sono disponibili in tutti i progetti e le cartelle di un'organizzazione.

  3. Fai clic su Crea pool e segui questi passaggi:

    1. Nel campo Nome, inserisci il nome visualizzato del pool. L'ID del pool viene ricavato automaticamente dal nome durante la digitazione e viene visualizzato sotto il campo Nome. Puoi aggiornare l'ID pool facendo clic su Modifica accanto all'ID pool.

    2. (Facoltativo) In Descrizione, inserisci una descrizione del pool.

    3. Per creare il pool di identità per la forza lavoro, fai clic su Avanti.

La durata della sessione del pool di identità della forza lavoro è di un'ora (3600 secondi) per impostazione predefinita. La durata della sessione determina per quanto tempo sono validi i token di accesso Google Cloud , la console (federata) e le sessioni di accesso a gcloud CLI di questo pool di forza lavoro. Dopo aver creato il pool, puoi aggiornarlo per impostare una durata della sessione personalizzata. La durata della sessione deve essere compresa tra 15 minuti (900 secondi) e 12 ore (43.200 secondi).

Configura il provider del pool di identità della forza lavoro per il flusso di codice OIDC

gcloud

Per creare il provider del pool di identità della forza lavoro OIDC, esegui questo comando:

gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global \
    --display-name=DISPLAY_NAME \
    --issuer-uri=ISSUER_URI \
    --client-id=CLIENT_ID \
    --client-secret-value="OIDC_CLIENT_SECRET" \
    --attribute-mapping=ATTRIBUTE_MAPPING \
    --web-sso-response-type=code \
    --web-sso-assertion-claims-behavior=merge-user-info-over-id-token-claims \
    --extra-attributes-issuer-uri=EXTRA_ATTRIBUTES_ISSUER_URI \
    --vendor-type="entra-id" \
    --extra-attributes-client-id=EXTRA_ATTRIBUTES_CLIENT_ID \
    --extra-attributes-client-secret-value=EXTRA_ATTRIBUTES_CLIENT_SECRET \
    --extra-attributes-type=EXTRA_ATTRIBUTES_TYPE  \
    --extra-attributes-filter=EXTRA_ATTRIBUTES_FILTER \
    --detailed-audit-logging

Sostituisci quanto segue:

  • PROVIDER_ID: un ID provider univoco. Il prefisso gcp- è riservato e non può essere utilizzato in un ID pool o provider.
  • WORKFORCE_POOL_ID: l'ID del pool di forza lavoro.
  • DISPLAY_NAME: un nome visualizzato per il provider.
  • ISSUER_URI: l'URI dell'emittente dell'applicazione Microsoft Entra ID che hai creato in precedenza in questo documento.
  • CLIENT_ID: l'ID client dell'applicazione Microsoft Entra ID.
  • ATTRIBUTE_MAPPING: la mappatura degli attributi da Microsoft Entra ID a Google Cloud. Se utilizzi i flag --extra-attributes per eseguire query sui gruppi da Microsoft Entra ID, qualsiasi mappatura google.groups che utilizza attestazioni SAML o OIDC standard viene ignorata. Ad esempio, per mappare gli attributi groups e subject da Microsoft Entra ID, utilizza la seguente mappatura degli attributi: 
    --attribute-mapping="google.groups=assertion.groups, google.subject=assertion.oid"

    Per saperne di più, consulta Mappatura degli attributi.

  • EXTRA_ATTRIBUTES_ISSUER_URI: l'URI dell'emittente della tua applicazione Microsoft Entra ID.
  • EXTRA_ATTRIBUTES_CLIENT_ID: l'ID client dell'applicazione Microsoft Entra ID.
  • EXTRA_ATTRIBUTES_CLIENT_SECRET: il client secret aggiuntivo dell'applicazione Microsoft Entra ID.
  • EXTRA_ATTRIBUTES_TYPE: utilizza azure-ad-groups-mail per recuperare gli indirizzi email dei gruppi. Utilizza azure-ad-groups-id per recuperare gli ID dei gruppi. Utilizza azure-ad-groups-display-name per recuperare i nomi visualizzati dei gruppi.
  • EXTRA_ATTRIBUTES_FILTER: (Facoltativo) Un'espressione di filtro utilizzata quando si esegue una query sull'API Microsoft Graph per i gruppi. Puoi utilizzare questo parametro per assicurarti che il numero di gruppi recuperati dall'IdP rimanga al di sotto del limite di 400 gruppi.

    L'esempio seguente recupera i gruppi che hanno il prefisso sales nel proprio ID email: 

    --extra-attributes-filter='"mail:sales"'

    La seguente espressione recupera i gruppi con un nome visualizzato che contiene la stringa sales.

    --extra-attributes-filter='"displayName:sales"'

  • Il logging di controllo dettagliato della federazione delle identità per la forza lavoro registra le informazioni ricevute dall'IdP in Logging. L'audit logging dettagliato può aiutarti a risolvere i problemi di configurazione del provider del pool di identità della forza lavoro. Per scoprire come risolvere gli errori di mappatura degli attributi con l'audit logging dettagliato, consulta Errori generali di mappatura degli attributi. Per scoprire di più sui prezzi di Logging, consulta Prezzi di Google Cloud Observability.

    Per disattivare l'audit logging dettagliato per un provider di pool di identità per la forza lavoro, ometti il flag --detailed-audit-logging quando esegui gcloud iam workforce-pools providers create. Per disattivare l'audit logging dettagliato, puoi anche aggiornare il provider.

Console

  1. Nella console Google Cloud , vai alla pagina Pool di identità per la forza lavoro:

    2. Vai a Pool di identità per la forza lavoro

  2. Nella tabella Pool di identità per la forza lavoro, seleziona il pool per il quale vuoi creare il provider.
  3. Nella sezione Provider, fai clic su Aggiungi provider.
  4. Nell'elenco Seleziona un fornitore di provider, seleziona il tuo provider di identità (IdP).

    Se il tuo IdP non è presente nell'elenco, seleziona Provider di identità generico.

  5. In Seleziona un protocollo di autenticazione, seleziona OpenID Connect (OIDC).
  6. Nella sezione Crea un provider, segui questi passaggi:
    1. In Nome, inserisci il nome del provider.
    2. In Descrizione, inserisci la descrizione del provider.
    3. In Emittente (URL), inserisci l'URI dell'emittente. L'URI dell'emittente OIDC deve essere in un formato URI valido e iniziare con https, ad esempio https://example.com/oidc.
    4. In ID client, inserisci l'ID client OIDC registrato con il tuo IdP OIDC; l'ID deve corrispondere alla rivendicazione aud del JWT emesso dal tuo IdP.

    5. Per creare un provider abilitato, assicurati che l'opzione Abilita provider sia attiva.

    6. Fai clic su Continua.
  7. Nella sezione Condividi le informazioni del tuo provider con l'IdP, copia l'URL. Nell'IdP, configura questo URL come URI di reindirizzamento, che indica all'IdP dove inviare il token di asserzione dopo l'accesso.
  8. Fai clic su Continua.
  9. Nella sezione Configura l'accesso web OIDC, segui questi passaggi:
    1. Nell'elenco Tipo di flusso, seleziona Codice.
    2. Nell'elenco Comportamento delle rivendicazioni di asserzione, seleziona una delle seguenti opzioni:
      • Informazioni utente e token ID
      • Solo token ID
    3. Nel campo Client secret, inserisci il client secret del tuo IdP.
  10. Fai clic su Continua.
  11. (Facoltativo) Per attivare l'audit logging dettagliato, nella sezione Configura provider, per Logging dettagliato, fai clic sul pulsante di attivazione/disattivazione Abilita l'audit logging dei valori degli attributi.

    Il logging di controllo dettagliato della federazione delle identità per la forza lavoro registra le informazioni ricevute dall'IdP in Logging. L'audit logging dettagliato può aiutarti a risolvere i problemi di configurazione del provider del pool di identità della forza lavoro. Per scoprire come risolvere gli errori di mappatura degli attributi con l'audit logging dettagliato, consulta Errori generali di mappatura degli attributi. Per scoprire di più sui prezzi di Logging, consulta Prezzi di Google Cloud Observability.

    Per disattivare l'audit logging dettagliato per un provider di pool di identità per la forza lavoro, lascia disattivato il pulsante di attivazione/disattivazione Abilita l'audit logging dei valori degli attributi quando crei il provider. Per disattivare l'audit logging dettagliato, puoi anche aggiornare il provider.

  12. Per creare il provider, fai clic su Invia.

Dopo aver creato il provider, viene visualizzata la pagina degli attributi del provider.

Per configurare le mappature e le condizioni degli attributi, segui questi passaggi:

  1. Quando richiesto, accedi all'IdP esterno per convalidare le mappature degli attributi predefinite.
  2. Nella pagina degli attributi del provider, visualizza e modifica le mappature e le condizioni degli attributi:
    1. Per aggiungere o modificare le mappature degli attributi:
      1. Fai clic su Aggiungi mappatura per aggiungere una nuova mappatura o modificare quelle esistenti.
      2. Nel campo Google n, dove n è un numero, inserisci una delle chiavi supportate da Google Cloud.
      3. Nel campo OIDC n corrispondente, inserisci il nome del campo specifico dell'IdP da mappare, in formato CEL.
    2. Per aumentare il numero di gruppi, procedi nel seguente modo:
      1. Fai clic su Attiva per gli attributi aggiuntivi.
      2. Nell'attività secondaria che si apre, inserisci i seguenti dettagli:
        1. Nel campo URI emittente attributi aggiuntivi, inserisci l'URL dell'emittente.
        2. Nel campo Extra Attributes Client ID (ID client attributi aggiuntivi), inserisci l'ID client.
        3. Nel campo Client secret attributi aggiuntivi, inserisci il client secret.
        4. Nell'elenco Tipo di attributi aggiuntivi, seleziona un tipo di attributo per gli attributi aggiuntivi.
        5. Nel campo Extra Attributes Filter (Filtro attributi aggiuntivi), inserisci un'espressione di filtro utilizzata quando si esegue una query sull'API Microsoft Graph per i gruppi.
        6. Fai clic su Attiva.

      Dopo aver attivato gli attributi aggiuntivi, puoi fare clic su Modifica per riaprire l'attività secondaria e modificare i dettagli oppure su Disattiva per disattivare gli attributi aggiuntivi.

    3. Per aggiungere una condizione dell'attributo, segui questi passaggi:
      1. Fai clic su Aggiungi condizione.
      2. Nel campo Condizioni attributo, inserisci una condizione in formato CEL, ad esempio assertion.role == 'gcp-users'. Questa condizione di esempio garantisce che solo gli utenti con il ruolo gcp-users possano accedere utilizzando questo provider.
  3. Per convalidare le mappature, fai clic su Salva e recupera di nuovo il token.
  4. Per completare la configurazione, fai clic su Salva ed esci.

Configura un numero elevato di gruppi in Microsoft Entra ID con SAML 2.0

Questa sezione descrive come mappare fino a 400 gruppi da Microsoft Entra ID alla federazione delle identità per la forza lavoro utilizzando il protocollo SAML 2.0.

Configura l'applicazione Microsoft Entra ID

Puoi configurare un'applicazione Microsoft Entra ID esistente o crearne una nuova. Per configurare l'applicazione, segui questi passaggi:

  1. Nel portale Microsoft Entra ID:
    • Per registrare una nuova applicazione, segui le istruzioni riportate in Registra una nuova applicazione.
    • Per aggiornare un'applicazione esistente, segui questi passaggi:
      • Vai a Entra ID > Registrazioni app.
      • Seleziona l'applicazione che vuoi aggiornare.
  2. Crea un nuovo client secret nell'applicazione seguendo le istruzioni riportate in Certificates & secrets (Certificati e secret). Assicurati di registrare il valore del client secret perché viene visualizzato una sola volta.

  3. Aggiungi l'autorizzazione API per consentire alla federazione delle identità per la forza lavoro di accedere alle informazioni degli utenti da Microsoft Entra ID utilizzando l'API Microsoft Graph:

    1. Vai ad Autorizzazioni API.
    2. Fai clic su Aggiungi un'autorizzazione.
    3. Seleziona Microsoft Graph.
    4. Seleziona Autorizzazioni applicazione.
    5. Nel campo di ricerca, inserisci User.ReadBasic.All.
    6. Seleziona User.ReadBasic.All, quindi fai clic su Aggiungi autorizzazioni.

  4. Puoi recuperare i gruppi Microsoft Entra ID utilizzando un identificatore (ID) oggetto del gruppo, un indirizzo email del gruppo per i gruppi abilitati per l'email o un nome visualizzato del gruppo.

    Se recuperi i gruppi come indirizzi email o nomi visualizzati dei gruppi, segui questi passaggi. Se recuperi i gruppi come identificatori di oggetti di gruppo, salta questo passaggio.

    1. In API permissions (Autorizzazioni API), fai clic su Add a permission (Aggiungi un'autorizzazione).
    2. Seleziona Microsoft Graph.
    3. Seleziona Autorizzazioni applicazione.
    4. Nel campo di ricerca, inserisci GroupMember.Read.All.
    5. Seleziona GroupMember.Read.All, quindi fai clic su Aggiungi autorizzazioni.

  5. Concedi il consenso dell'amministratore per le autorizzazioni API configurate:

    1. In Autorizzazioni configurate, fai clic su Concedi il consenso amministratore per TENANT_NAME.
    2. Quando ti viene richiesto di confermare, fai clic su Sì.

  6. Registra i seguenti valori di configurazione della tua applicazione per configurare il provider del pool di identità della forza lavoro più avanti in questo documento:

    1. Vai alla pagina Panoramica della registrazione dell'applicazione Microsoft Entra ID.
    2. Registra i seguenti valori:
      • ID applicazione (client)
      • ID directory (tenant)
      • Client secret: il valore che hai registrato in precedenza.
    3. Fai clic su Endpoint.

    4. Trova l'endpoint Documento di metadati OpenID Connect. L'URI dell'emittente è l'URI del documento di metadati OpenID Connect, omettendo il suffisso /.well-known/openid-configuration.

      Ad esempio, se l'URI del documento di metadati OpenID Connect è https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.well-known/openid-configuration, l'URI dell'emittente è https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.

Crea un pool di identità per la forza lavoro

gcloud

Per creare il pool di identità per la forza lavoro, esegui questo comando:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Sostituisci quanto segue:

  • WORKFORCE_POOL_ID: un ID scelto da te per rappresentare il tuo pool di forza lavoro Google Cloud . L'ID pool deve essere univoco a livello globale in tutti i pool di identità della forza lavoro in Google Cloud. Per informazioni sulla formattazione dell'ID, consulta la sezione Parametri di query nella documentazione dell'API.
  • ORGANIZATION_ID: l'ID organizzazione numerico della tua organizzazione Google Cloud per il pool di identità della forza lavoro. I pool di identità della forza lavoro sono disponibili in tutti i progetti e le cartelle dell'organizzazione.
  • DISPLAY_NAME: (Facoltativo) Un nome visualizzato per il pool di identità della forza lavoro.
  • DESCRIPTION: (Facoltativo) Una descrizione del pool di identità della forza lavoro.
  • SESSION_DURATION: (Facoltativo) La durata della sessione, espressa come numero seguito da s, ad esempio 3600s. La durata della sessione determina per quanto tempo sono validi i Google Cloud token di accesso, le sessioni di accesso alla console (federata) e le sessioni di accesso a gcloud CLI di questo pool di forza lavoro. La durata della sessione è di un'ora (3600 s) per impostazione predefinita. Il valore della durata della sessione deve essere compreso tra 15 minuti (900 s) e 12 ore (43.200 s).

Console

Per creare il pool di identità della forza lavoro, segui questi passaggi:

  1. Nella console Google Cloud , vai alla pagina Pool di identità per la forza lavoro:

    Vai a Pool di identità per la forza lavoro

  2. Seleziona l'organizzazione per il pool di identità della forza lavoro. I pool di identità della forza lavoro sono disponibili in tutti i progetti e le cartelle di un'organizzazione.

  3. Fai clic su Crea pool e segui questi passaggi:

    1. Nel campo Nome, inserisci il nome visualizzato del pool. L'ID del pool viene ricavato automaticamente dal nome durante la digitazione e viene visualizzato sotto il campo Nome. Puoi aggiornare l'ID pool facendo clic su Modifica accanto all'ID pool.

    2. (Facoltativo) In Descrizione, inserisci una descrizione del pool.

    3. Per creare il pool di identità per la forza lavoro, fai clic su Avanti.

La durata della sessione del pool di identità della forza lavoro è di un'ora (3600 secondi) per impostazione predefinita. La durata della sessione determina per quanto tempo sono validi i token di accesso Google Cloud , la console (federata) e le sessioni di accesso a gcloud CLI di questo pool di forza lavoro. Dopo aver creato il pool, puoi aggiornarlo per impostare una durata della sessione personalizzata. La durata della sessione deve essere compresa tra 15 minuti (900 secondi) e 12 ore (43.200 secondi).

Configura il provider del pool di identità per la forza lavoro SAML 2.0

gcloud

Per creare il provider del pool di identità della forza lavoro SAML, esegui questo comando:

gcloud iam workforce-pools providers create-saml PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global \
    --display-name=DISPLAY_NAME \
    --idp-metadata-path=XML_METADATA_PATH \
    --attribute-mapping=ATTRIBUTE_MAPPING \
    --extra-attributes-issuer-uri=EXTRA_ATTRIBUTES_ISSUER_URI \
    --vendor-type="entra-id" \
    --extra-attributes-client-id=EXTRA_ATTRIBUTES_CLIENT_ID \
    --extra-attributes-client-secret-value=EXTRA_ATTRIBUTES_CLIENT_SECRET \
    --extra-attributes-type=EXTRA_ATTRIBUTES_TYPE  \
    --extra-attributes-filter=EXTRA_ATTRIBUTES_FILTER \
    --detailed-audit-logging

Sostituisci quanto segue:

  • PROVIDER_ID: un ID provider univoco. Il prefisso gcp- è riservato e non può essere utilizzato in un ID pool o provider.
  • WORKFORCE_POOL_ID: l'ID del pool di forza lavoro.
  • DISPLAY_NAME: un nome visualizzato per il provider.
  • XML_METADATA_PATH: il percorso del file di metadati XML SAML 2.0.
  • ATTRIBUTE_MAPPING: la mappatura degli attributi da Microsoft Entra ID a Google Cloud. Se utilizzi i flag --extra-attributes per eseguire query sui gruppi da Microsoft Entra ID, qualsiasi mappatura google.groups che utilizza attestazioni SAML o OIDC standard viene ignorata. Ad esempio, per mappare gli attributi groups e subject da Microsoft Entra ID, utilizza la seguente mappatura degli attributi: 
    --attribute-mapping="google.subject=assertion.attributes['http://schemas.microsoft.com/identity/claims/objectidentifier']"

    Per saperne di più, consulta Mappatura degli attributi.

  • EXTRA_ATTRIBUTES_ISSUER_URI: l'URI dell'emittente della tua applicazione Microsoft Entra ID.
  • EXTRA_ATTRIBUTES_CLIENT_ID: l'ID client dell'applicazione Microsoft Entra ID.
  • EXTRA_ATTRIBUTES_CLIENT_SECRET: il client secret aggiuntivo dell'applicazione Microsoft Entra ID.
  • EXTRA_ATTRIBUTES_TYPE: utilizza azure-ad-groups-mail per recuperare gli indirizzi email dei gruppi. Utilizza azure-ad-groups-id per recuperare gli ID dei gruppi. Utilizza azure-ad-groups-display-name per recuperare i nomi visualizzati dei gruppi.
  • EXTRA_ATTRIBUTES_FILTER: (Facoltativo) Un'espressione di filtro utilizzata quando si esegue una query sull'API Microsoft Graph per i gruppi. Puoi utilizzare questo parametro per assicurarti che il numero di gruppi recuperati dall'IdP rimanga al di sotto del limite di 400 gruppi.

    L'esempio seguente recupera i gruppi che hanno il prefisso sales nel proprio ID email: 

    --extra-attributes-filter='"mail:sales"'

    La seguente espressione recupera i gruppi con un nome visualizzato che contiene la stringa sales.

    --extra-attributes-filter='"displayName:sales"'

  • Il logging di controllo dettagliato della federazione delle identità per la forza lavoro registra le informazioni ricevute dall'IdP in Logging. L'audit logging dettagliato può aiutarti a risolvere i problemi di configurazione del provider del pool di identità della forza lavoro. Per scoprire come risolvere gli errori di mappatura degli attributi con l'audit logging dettagliato, consulta Errori generali di mappatura degli attributi. Per scoprire di più sui prezzi di Logging, consulta Prezzi di Google Cloud Observability.

    Per disattivare l'audit logging dettagliato per un provider di pool di identità per la forza lavoro, ometti il flag --detailed-audit-logging quando esegui gcloud iam workforce-pools providers create. Per disattivare l'audit logging dettagliato, puoi anche aggiornare il provider.

Console

  1. Nella console Google Cloud , vai alla pagina Pool di identità per la forza lavoro:

    2. Vai a Pool di identità per la forza lavoro

  2. Nella tabella Pool di identità per la forza lavoro, seleziona il pool per il quale vuoi creare il provider.
  3. Nella sezione Provider, fai clic su Aggiungi provider.
  4. Nell'elenco Seleziona un fornitore di provider, seleziona il tuo provider di identità (IdP).

    Se il tuo IdP non è presente nell'elenco, seleziona Provider di identità generico.

  5. In Seleziona un protocollo di autenticazione, seleziona SAML.
  6. Nella sezione Crea un provider, segui questi passaggi:
    1. In Nome, inserisci un nome per il provider.
    2. (Facoltativo) In Descrizione, inserisci una descrizione del provider.
    3. In File di metadati IDP (XML), seleziona il file XML dei metadati che hai generato in precedenza in questa guida.
    4. Per creare un provider abilitato, assicurati che l'opzione Abilita provider sia attiva.
    5. Fai clic su Continua.
  7. Nella sezione Condividi le informazioni del provider, copia gli URL. Nel tuo IdP, configura il primo URL come ID entità, che identifica la tua applicazione per l'IdP. Configura l'altro URL come URI di reindirizzamento, che comunica all'IdP dove inviare il token di asserzione dopo l'accesso.
  8. Fai clic su Continua.
  9. (Facoltativo) Per attivare l'audit logging dettagliato, nella sezione Configura provider, in Logging dettagliato, fai clic sul pulsante di attivazione/disattivazione Abilita l'audit logging dei valori degli attributi.

    Il logging di controllo dettagliato della federazione delle identità per la forza lavoro registra le informazioni ricevute dall'IdP in Logging. L'audit logging dettagliato può aiutarti a risolvere i problemi di configurazione del provider del pool di identità della forza lavoro. Per scoprire come risolvere gli errori di mappatura degli attributi con l'audit logging dettagliato, consulta Errori generali di mappatura degli attributi. Per scoprire di più sui prezzi di Logging, consulta Prezzi di Google Cloud Observability.

    Per disattivare l'audit logging dettagliato per un provider di pool di identità per la forza lavoro, lascia disattivato il pulsante di attivazione/disattivazione Abilita l'audit logging dei valori degli attributi quando crei il provider. Per disattivare l'audit logging dettagliato, puoi anche aggiornare il provider.

  10. Per creare il provider, fai clic su Invia.

Dopo aver creato il provider, viene visualizzata la pagina degli attributi del provider.

Per configurare le mappature e le condizioni degli attributi, segui questi passaggi:

  1. Quando richiesto, accedi all'IdP esterno per convalidare le mappature degli attributi predefinite.
  2. Nella pagina degli attributi del provider, visualizza e modifica le mappature e le condizioni degli attributi:
    1. Per aggiungere o modificare le mappature degli attributi:
      1. Fai clic su Aggiungi mappatura per aggiungere una nuova mappatura o modificare quelle esistenti.
      2. Nel campo Google n, dove n è un numero, seleziona una chiave supportata da Google Cloud.
      3. Nel campo SAML n corrispondente, inserisci il nome dell'attributo IdP o un'espressione CEL, ad esempio: 
        google.subject=assertion.subject
attribute.costcenter=assertion.attributes.costcenter[0]
         Questo esempio mappa l'attributo IdP assertion.subject a google.subject e l'attributo IdP assertion.attributes.costcenter[0] a attribute.costcenter.
    2. Per aumentare il numero di gruppi, procedi nel seguente modo:
      1. Fai clic su Attiva per gli attributi aggiuntivi.
      2. Nell'attività secondaria che si apre, inserisci i dettagli:
        1. Nel campo URI emittente attributi aggiuntivi, inserisci l'URL dell'emittente.
        2. Nel campo Extra Attributes Client ID (ID client attributi aggiuntivi), inserisci l'ID client.
        3. Nel campo Client secret attributi aggiuntivi, inserisci il client secret.
        4. Nell'elenco Tipo di attributi aggiuntivi, seleziona un tipo di attributo per gli attributi aggiuntivi.
        5. Nel campo Extra Attributes Filter (Filtro attributi aggiuntivi), inserisci un'espressione di filtro utilizzata quando si esegue una query sull'API Microsoft Graph per i gruppi.
        6. Fai clic su Attiva.

      Dopo aver attivato gli attributi aggiuntivi, puoi fare clic su Modifica per riaprire l'attività secondaria e modificare i dettagli oppure su Disattiva per disattivare gli attributi aggiuntivi.

    3. Per aggiungere una condizione dell'attributo, segui questi passaggi:
      1. Fai clic su Aggiungi condizione.
      2. Nel campo Condizioni degli attributi, inserisci una condizione in formato CEL, ad esempio: Ad esempio, per limitare l'attributo ipaddr a un determinato intervallo IP, puoi impostare la condizione assertion.attributes.ipaddr.startsWith('98.11.12.'). Questa condizione di esempio garantisce che solo gli utenti con un indirizzo IP che inizia con 98.11.12. possano accedere utilizzando questo provider di forza lavoro.
  3. Per convalidare le mappature, fai clic su Salva e recupera di nuovo il token.
  4. Per completare la configurazione, fai clic su Salva ed esci.

Verifica la configurazione del provider

Prima di testare il flusso di accesso dell'utente finale, puoi verificare che la configurazione del provider sia corretta e che Google Cloud possa scambiare token con il tuo IdP.

La pagina Convalida gli attributi del provider nella console Google Cloud include un visualizzatore di attributi che ti consente di testare in modo interattivo la configurazione ed eseguire il debug delle espressioni Common Expression Language (CEL). Puoi utilizzare il visualizzatore degli attributi per:

  • Visualizza gli attributi non elaborati inviati nell'asserzione IdP.
  • Verifica che le mappature e le condizioni degli attributi trasformino correttamente questi attributi.
  • Esegui il debug di espressioni CEL complesse in tempo reale.

Per verificare la configurazione del provider:

  1. Per attivare il flusso di accesso basato su browser per la federazione delle identità per la forza lavoro, aggiungi https://auth.cloud.google/signin-callback/locations/global/workforcePools/POOL_ID/providers/PROVIDER_ID all'elenco degli URI di reindirizzamento consentiti del tuo IdP.

  2. Nella console Google Cloud , vai a Pool di identità per la forza lavoro.

    Vai a Pool di identità per la forza lavoro
  3. Nell'elenco dei pool, fai clic sul nome del pool che vuoi verificare.
  4. Nella pagina Dettagli del pool di forza lavoro, fai clic sul nome dell'IdP che vuoi verificare.
  5. Nella pagina Dettagli provider, fai clic su Esegui il debug del token IdP.
  6. Nella finestra di dialogo Accedi, accedi al tuo IdP come utente di test.

La pagina Convalida gli attributi del provider mostra gli attributi mappati e il risultato della condizione dell'attributo.

La sezione Attributi mappati dal token IdP mostra come gli attributi Google, ad esempio google.subject, vengono compilati dal token IdP in base alla configurazione della mappatura. Se una mappatura non è corretta, viene visualizzata un'icona di errore.

La sezione Condizione attributo mostra il risultato booleano della condizione. Se la condizione restituisce false, l'accesso viene bloccato.

Per visualizzare il token di asserzione completo, fai clic su Visualizza token completo. Viene visualizzato l'oggetto JSON non elaborato del tuo IdP. Fai riferimento a una proprietà di primo livello nelle mappature utilizzando il formato assertion.PROPERTY_NAME.

Modifica la configurazione del provider

Per correggere eventuali errori, puoi modificare la configurazione:

  1. Nella pagina Convalida gli attributi del provider, fai clic su Modifica.
  2. Apporta le necessarie modifiche.
  3. Per avviare un nuovo test e visualizzare i risultati aggiornati, fai clic su Salva e recupera di nuovo il token.

Concedi ruoli IAM ai gruppi

In questa sezione concedi i ruoli ai gruppi sulle risorse Google Cloud . Per scoprire di più sugli identificatori delle entità della federazione delle identità per la forza lavoro, consulta Rappresenta gli utenti del pool di forza lavoro nelle policy IAM.

L'esempio seguente concede il ruolo Storage Admin (roles/storage.admin) agli utenti di un gruppo Microsoft Entra ID. 

gcloud projects add-iam-policy-binding PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

Sostituisci quanto segue:

  • PROJECT_ID: l'ID progetto
  • WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro
  • GROUP_ID: l'identificatore del gruppo, che dipende dal valore di --extra-attributes-type utilizzato per creare il provider del pool di identità della forza lavoro, come segue:
    • azure-ad-groups-mail: l'identificatore del gruppo è un indirizzo email, ad esempio: admin-group@altostrat.com
    • azure-ad-groups-id: l'identificatore del gruppo è un UUID per il gruppo, ad esempio: abcdefgh-0123-0123-abcdef

Accedi e testa l'accesso

In questa sezione, accedi come utente del pool di identità della forza lavoro e verifichi di avere accesso alle risorse Google Cloud .

Accedi

Questa sezione mostra come accedere come utente federato e accedere alle risorseGoogle Cloud .

Accesso alla console (federata)

Per accedere alla console della federazione delle identità per la forza lavoro, Google Cloud nota anche come console (federata), segui questi passaggi:

  1. Vai alla pagina di accesso alla console (federata).

    Vai alla console (federata)

  2. Inserisci il nome del provider, formattato come segue: 
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

    3. Se richiesto, inserisci le credenziali utente in Microsoft Entra ID.

    Se avvii un accesso avviato dall'IdP, utilizza il seguente URL di inoltro: https://console.cloud.google/.

Accesso basato su browser a gcloud CLI

Per accedere a gcloud CLI utilizzando un flusso di accesso basato su browser, segui questi passaggi:

Crea un file di configurazione

Esegui questo comando per creare un file di configurazione di accesso:

Linux e macOS

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

Windows (PowerShell)

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

Sostituisci quanto segue:

  • WORKFORCE_POOL_ID: l'ID del pool di federazione delle identità per la forza lavoro.
  • WORKFORCE_PROVIDER_ID: l'ID provider della federazione delle identità per la forza lavoro.
  • LOGIN_CONFIG_PATH: il percorso in cui scrivere il file di configurazione di accesso. Ad esempio, login-config.json.

Il file di configurazione dell'accesso contiene gli endpoint utilizzati da gcloud CLI per abilitare il flusso di autenticazione basato su browser e impostare il pubblico sull'IdP configurato nel provider del pool di identità per la forza lavoro. Il file non contiene informazioni riservate.

I contenuti del file di configurazione di accesso sono simili ai seguenti:

{
  "universe_domain": "googleapis.com",
  "universe_cloud_web_domain": "cloud.google",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.google/authorize",
  "token_url": "https://sts.googleapis.com/v1/oauthtoken",
  "token_info_url": "https://sts.googleapis.com/v1/introspect"
}

Accedi utilizzando l'autenticazione basata su browser

Indica il file di configurazione di accesso con una variabile di ambiente, una proprietà nella configurazione gcloud CLI attiva o utilizzalo direttamente con il comando gcloud auth login:

Variabile di ambiente

Per utilizzare il file di configurazione di accesso con una variabile di ambiente, completa le seguenti istruzioni:

  1. Imposta la variabile di ambiente CLOUDSDK_AUTH_LOGIN_CONFIG_FILE sul percorso del file di configurazione di accesso.

  2. Esegui questo comando:

    gcloud auth login
  3. gcloud CLI fa riferimento alla variabile di ambiente per trovare il file di configurazione di accesso, quindi avvia il processo di autenticazione. Segui il flusso basato su browser per autenticare e autorizzare gcloud CLI ad accedere alle risorse per tuo conto per i comandi futuri.

Per interrompere l'utilizzo del file di configurazione di accesso per i comandi gcloud auth login, cancella la variabile di ambiente CLOUDSDK_AUTH_LOGIN_CONFIG_FILE.

Configurazione di gcloud CLI

Per utilizzare il file di configurazione di accesso con una proprietà di configurazione di gcloud CLI, completa le seguenti istruzioni:

  1. Imposta la proprietà auth/login_config_file della configurazione gcloud CLI attiva sul percorso del file di configurazione di accesso con il seguente comando: 

    gcloud config set auth/login_config_file LOGIN_CONFIG_PATH

  2. Esegui questo comando:

    gcloud auth login
  3. gcloud CLI fa riferimento alla proprietà di configurazione per trovare il file di configurazione di accesso, quindi avvia il processo di autenticazione. Segui il flusso basato su browser per autenticare e autorizzare gcloud CLI ad accedere alle risorse per tuo conto per i comandi futuri.

Per interrompere l'utilizzo del file di configurazione di accesso per i comandi gcloud auth login, annulla l'impostazione della proprietà con il seguente comando: 

gcloud config unset auth/login_config_file

gcloud auth login

Per utilizzare il file di configurazione di accesso direttamente con il comando gcloud auth login, completa le seguenti istruzioni:

  • Se hai utilizzato il flag --activate quando hai creato il file di configurazione di accesso, esegui questo comando: 

    gcloud auth login

  • Se non hai utilizzato il flag --activate durante la creazione del file di configurazione di accesso, esegui questo comando:

    Linux e macOS

    gcloud auth login \
    --login-config=LOGIN_CONFIG_PATH

    Windows (PowerShell)

    gcloud auth login `
    --login-config=LOGIN_CONFIG_PATH

    Sostituisci LOGIN_CONFIG_PATH con il percorso del file di configurazione di accesso.

Il comando gcloud auth login memorizza le credenziali di accesso nella tua home directory. L'entità autenticata diventa l'entità attiva nella configurazione dell'interfaccia alla gcloud CLI attiva. A meno che non venga eseguito l'override, gcloud CLI utilizza queste credenziali archiviate per accedere a Google Cloud.

Accesso headless a gcloud CLI

Per accedere a Microsoft Entra ID con gcloud CLI, segui questi passaggi:

OIDC

  1. Segui i passaggi descritti in Inviare la richiesta di accesso. Consenti all'utente di accedere alla tua applicazione con Microsoft Entra ID utilizzando OIDC.

  2. Copia il token ID dal parametro id_token dell'URL di reindirizzamento e salvalo in un file in una posizione sicura sulla tua macchina locale. In un passaggio successivo, imposterai PATH_TO_OIDC_ID_TOKEN sul percorso di questo file.

  3. Genera un file di configurazione simile all'esempio riportato più avanti in questo passaggio eseguendo il seguente comando:

    gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --subject-token-type=urn:ietf:params:oauth:token-type:id_token \
    --credential-source-file=PATH_TO_OIDC_ID_TOKEN \
    --workforce-pool-user-project=WORKFORCE_POOL_USER_PROJECT \
    --output-file=config.json

    Sostituisci quanto segue:

    • WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro.
    • WORKFORCE_PROVIDER_ID: l'ID provider del pool di identità della forza lavoro.
    • PATH_TO_OIDC_ID_TOKEN: il percorso della posizione del file in cui è archiviato il token IdP.
    • WORKFORCE_POOL_USER_PROJECT: il numero o l'ID progetto utilizzato per la quota e la fatturazione. L'entità deve disporre dell'autorizzazione serviceusage.services.use per questo progetto.

    Al termine del comando, Microsoft Entra ID crea il seguente file di configurazione:

    {
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "subject_token_type": "urn:ietf:params:oauth:token-type:id_token",
  "token_url": "https://sts.googleapis.com/v1/token",
  "workforce_pool_user_project": "WORKFORCE_POOL_USER_PROJECT",
  "credential_source": {
    "file": "PATH_TO_OIDC_CREDENTIALS"
  }
}

  4. Apri gcloud CLI ed esegui il comando seguente:

    gcloud auth login --cred-file=PATH_TO_OIDC_CREDENTIALS

    Sostituisci PATH_TO_OIDC_CREDENTIALS con il percorso del file di output di un passaggio precedente.

    gcloud CLI pubblica in modo trasparente le tue credenziali sull'endpoint di Security Token Service. Nell'endpoint, viene scambiato con token di accesso Google Cloud temporanei.

    Ora puoi eseguire i comandi gcloud CLI perGoogle Cloud.

SAML

  1. Fai accedere un utente alla tua applicazione Microsoft Entra ID e ottieni la risposta SAML.

  2. Salva la risposta SAML restituita da Microsoft Entra ID in una posizione sicura sulla tua macchina locale, quindi memorizza il percorso come segue:

    SAML_ASSERTION_PATH=SAML_ASSERTION_PATH

  3. Per generare un file di configurazione delle credenziali, esegui questo comando:

    gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --subject-token-type=urn:ietf:params:oauth:token-type:saml2 \
    --credential-source-file=SAML_ASSERTION_PATH  \
    --workforce-pool-user-project=PROJECT_ID  \
    --output-file=config.json

    Sostituisci quanto segue:

    • WORKFORCE_PROVIDER_ID: l'ID del provider del pool di identità della forza lavoro che hai creato in precedenza in questa guida
    • WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro che hai creato in precedenza in questa guida
    • SAML_ASSERTION_PATH: il percorso del file di asserzione SAML
    • PROJECT_ID: l'ID progetto

    Il file di configurazione generato è simile al seguente:

    {
   "type": "external_account",
   "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
   "subject_token_type": "urn:ietf:params:oauth:token-type:saml2",
   "token_url": "https://sts.googleapis.com/v1/token",
   "credential_source": {
     "file": "SAML_ASSERTION_PATH"
   },
   "workforce_pool_user_project": "PROJECT_ID"
}

  4. Per accedere a gcloud CLI utilizzando lo scambio di token della federazione delle identità per la forza lavoro, esegui questo comando:

    gcloud auth login --cred-file=config.json

    gcloud CLI scambia quindi in modo trasparente le tue credenziali Microsoft Entra ID con token di accesso Google Cloud temporanei. I token di accesso ti consentono di accedere a Google Cloud.

    Viene visualizzato un output simile al seguente:

    Authenticated with external account user credentials for:
[principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/USER_ID].

  5. Per elencare gli account con credenziali e il tuo account attivo, esegui questo comando:

    gcloud auth list

Controlla l'accesso

Ora hai accesso ai prodotti Google Cloud che supportano la federazione delle identità della forza lavoro e per i quali hai l'autorizzazione di accesso. In precedenza in questo documento, hai concesso il ruolo Storage Admin (roles/storage.admin) a tutte le identità all'interno dell'identificatore del gruppo specificato in gcloud projects add-iam-policy-binding per il progetto TEST_PROJECT_ID.

Ora puoi verificare di avere l'accesso elencando i bucket Cloud Storage.

Console (federata)

Per verificare di avere accesso utilizzando la console (federata), segui questi passaggi:

  • Vai alla pagina Cloud Storage.

    Vai a Cloud Storage

  • Verifica di poter visualizzare un elenco di bucket esistenti per TEST_PROJECT_ID.

gcloud CLI

Per verificare di avere accesso utilizzando gcloud CLI, puoi elencare i bucket Cloud Storage e gli oggetti per il progetto a cui hai accesso. Per farlo, esegui questo comando. L'entità deve disporre dell'autorizzazione serviceusage.services.use per il progetto specificato.

gcloud storage ls --project="TEST_PROJECT_ID"

Eliminare utenti

La federazione delle identità della forza lavoro crea metadati e risorse utente per le identità utente federate. Se scegli di eliminare gli utenti nel tuo IdP, devi anche eliminare esplicitamente queste risorse in Google Cloud. Per farlo, consulta Elimina gli utenti della federazione delle identità per la forza lavoro e i relativi dati.

Per terminare immediatamente le sessioni attive di un utente, puoi revocarle. Per saperne di più, consulta Revoca le sessioni utente della federazione delle identità per la forza lavoro.

Potresti notare che le risorse continuano a essere associate a un utente eliminato. Questo perché l'eliminazione dei metadati e delle risorse utente richiede un'operazione a lunga esecuzione. Dopo aver avviato l'eliminazione dell'identità di un utente, i processi avviati dall'utente prima dell'eliminazione possono continuare a essere eseguiti fino al loro completamento o annullamento.

Passaggi successivi