Workforce Identity-Föderation mit Okta konfigurieren und Nutzer anmelden

In diesem Leitfaden erfahren Sie, wie Sie die Mitarbeiteridentitätsföderation mit Okta als Identitätsanbieter (IdP) konfigurieren, den Zugriff verwalten und Nutzer anmelden, um aufGoogle Cloud -Dienste zuzugreifen, die die Mitarbeiteridentitätsföderation unterstützen.

Hinweis

  1. Sie benötigen eine Organisation von Google Cloud .

  2. Installieren Sie die Google Cloud CLI. Initialisieren Sie die Google Cloud CLI nach der Installation mit dem folgenden Befehl: 

    gcloud init

    Wenn Sie einen externen Identitätsanbieter (IdP) verwenden, müssen Sie sich zuerst mit Ihrer föderierten Identität in der gcloud CLI anmelden.

  3. Für die Anmeldung muss Ihr IdP signierte Authentifizierungsinformationen bereitstellen: OIDC-IdPs müssen ein JWT bereitstellen und SAML-IdP-Antworten müssen signiert sein.
  4. Wenn Sie wichtige Informationen zu Änderungen an Ihrer Organisation oder IhrenGoogle Cloud -Produkten erhalten möchten, müssen Sie Wichtige Kontakte angeben. Weitere Informationen finden Sie unter Workforce Identity-Föderation – Übersicht.

Kosten

Die Workforce Identity-Föderation ist als kostenlose Funktion verfügbar. Für das detaillierte Audit-Logging der Workforce Identity-Föderation wird jedoch Cloud Logging verwendet. Informationen zu den Preisen für Logging finden Sie unter Google Cloud Observability – Preise.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle IAM Workforce Pool Admin (roles/iam.workforcePoolAdmin) für die Organisation zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Konfigurieren der Mitarbeiteridentitätsföderation benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Alternativ enthält die einfache Rolle „IAM-Inhaber“ (roles/owner) auch Berechtigungen zum Konfigurieren der Mitarbeiteridentitätsföderation. In einer Produktionsumgebung sollten Sie keine einfachen Rollen zuweisen, Sie können sie aber in einer Entwicklungs- oder Testumgebung gewähren.

Workforce Identity-Pool erstellen

gcloud

Führen Sie folgenden Befehl aus, um den Workforce Identity-Pool zu erstellen:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Ersetzen Sie Folgendes:

  • WORKFORCE_POOL_ID: Eine ID, die Sie auswählen, um Ihren Google Cloud Workforce-Pool darzustellen. Die Pool-ID muss global eindeutig sein und darf nicht in anderen Workforce Identity-Pools in Google Cloudverwendet werden. Informationen zum Formatieren der ID finden Sie in der API-Dokumentation im Abschnitt Abfrageparameter.
  • ORGANIZATION_ID: die numerische Organisations-ID Ihrer Google Cloud Organisation für den Mitarbeiteridentitätspool. Workforce Identity-Pools sind in allen Projekten und Ordnern in der Organisation verfügbar.
  • DISPLAY_NAME: Optional. Ein Anzeigename für Ihren Workforce Identity-Pool.
  • DESCRIPTION: Optional. Beschreibung des Workforce Identity-Pools.
  • SESSION_DURATION: Optional. Die Sitzungsdauer, ausgedrückt als Zahl, an die s angehängt ist, z. B. 3600s. Die Sitzungsdauer bestimmt, wie lange die Google Cloud -Zugriffstokens, die Console (föderiert)-Anmeldesitzungen und die gcloud CLI-Anmeldungssitzungen aus diesem Workforce-Pool gültig sind. Die Sitzungsdauer beträgt standardmäßig eine Stunde (3.600 s). Der Wert für die Sitzungsdauer muss zwischen 15 Minuten (900 Sekunden) und 12 Stunden (43.200 Sekunden) liegen.

Console

So erstellen Sie den Workforce Identity-Pool:

  1. Rufen Sie in der Google Cloud Console die Seite Workforce Identity-Pools auf:

    Zu Workforce Identity-Pools

  2. Wählen Sie die Organisation für Ihren Workforce Identity-Pool aus. Workforce Identity-Pools sind in allen Projekten und Ordnern einer Organisation verfügbar.

  3. Klicken Sie auf Pool erstellen und gehen Sie so vor:

    1. Geben Sie im Feld Name den Anzeigenamen des Pools ein. Die Pool-ID wird während der Eingabe automatisch aus dem Namen abgeleitet und unter dem Feld Name angezeigt. Sie können die Pool-ID aktualisieren, indem Sie neben der Pool-ID auf Bearbeiten klicken.

    2. Optional: Geben Sie unter Beschreibung eine Beschreibung des Pools ein.

    3. Klicken Sie zum Erstellen des Workforce Identity-Pools auf Weiter.

Die Sitzungsdauer des Mitarbeiteridentitätspools beträgt standardmäßig eine Stunde (3.600 s). Die Sitzungsdauer bestimmt, wie lange die Google Cloud -Zugriffstokens, die Console (föderiert)-Anmeldesitzungen und die gcloud CLI-Anmeldungssitzungen aus diesem Workforce-Pool gültig sind. Nachdem Sie den Pool erstellt haben, können Sie ihn aktualisieren, um eine benutzerdefinierte Sitzungsdauer festzulegen. Die Sitzungsdauer muss zwischen 15 Minuten (900 Sek.) und 12 Stunden (43.200 Sek.) liegen.

Okta-App-Einbindung erstellen

In diesem Abschnitt werden die Schritte zum Erstellen einer Okta-App-Integration mithilfe der Okta-Admin-Konsole beschrieben. Weitere Informationen finden Sie unter Benutzerdefinierte App-Integrationen erstellen.

Workforce Identity-Pools unterstützen die Föderation mit OIDC- und SAML-Protokollen.

Weitere Informationen finden Sie in der Integrationsdokumentation für OIDC und SAML. Die grundlegende Konfiguration wird in diesem Abschnitt beschrieben.

OIDC über den App-Katalog

Führen Sie die folgenden Schritte aus, um eine Okta-App-Integration aus dem App-Katalog mit dem OIDC-Protokoll zu erstellen:

  1. Melden Sie sich in der Okta Admin-Konsole an.
  2. Rufen Sie Anwendungen > Anwendungen auf.
  3. Klicken Sie auf App-Katalog ansehen.
  4. Geben Sie im Feld Suchen Google Cloud Workforce Identity Federation ein und wählen Sie dann in den Ergebnissen Google Cloud Workforce Identity Federation-Integration aus.
  5. Klicken Sie auf Integration hinzufügen.
  6. Geben Sie im Feld Anwendungslabel einen Namen für Ihre App ein.
  7. Geben Sie im Feld Personalpool den Namen des Personalpools ein, den Sie über die gcloud CLI erhalten haben.

  8. Geben Sie im Feld Anbieter einen Namen für den Anbieter ein.

  9. Klicken Sie auf Weiter.

  10. Wählen Sie die Option OpenID Connect aus.

  11. Klicken Sie auf Fertig.

OIDC

Führen Sie folgende Schritte aus, um eine Okta-App-Einbindung zu erstellen, die das OIDC-Protokoll verwendet:

  1. Melden Sie sich bei der Okta Admin-Konsole an.
  2. Rufen Sie Anwendungen > Anwendungen auf.

  3. So konfigurieren Sie die App-Einbindung:

    1. Klicken Sie auf App-Einbindung erstellen.
    2. Wählen Sie unter Anmeldemethode OIDC – OpenID Connect.
    3. Wählen Sie unter Anwendungstyp einen Anwendungstyp aus, z. B. Webanwendung.
    4. Klicken Sie auf Weiter, um die App zu erstellen.
    5. Geben Sie unter Name der App-Einbindung einen Namen für Ihre App ein.
    6. Markieren Sie im Abschnitt Genehmigungstyp das Kästchen Implizit (Hybrid).

    7. Geben Sie im Abschnitt Anmeldung: Weiterleitungs-URIs eine Weiterleitungs-URL in das Textfeld ein. Ihre Nutzer werden nach der erfolgreichen Anmeldung zu dieser URL weitergeleitet. Wenn Sie den Zugriff auf die Console (föderiert) konfigurieren, müssen Sie das folgende URL-Format verwenden:

      https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

      Ersetzen Sie Folgendes:

      • WORKFORCE_POOL_ID ist die ID des Personalpools, den Sie zuvor in dieser Anleitung erstellt haben
      • WORKFORCE_PROVIDER_ID: die ID eines Mitarbeiteridentitäts-Anbieters Ihrer Wahl; Beispiel: okta-oidc-provider. Informationen zum Formatieren der ID finden Sie in der API-Dokumentation im Abschnitt Abfrageparameter.

    8. Markieren Sie das Kästchen Gruppenzuweisung vorerst überspringen.

    9. Klicken Sie auf Speichern, um die App-Integration zu speichern.

  4. Eine Anwendungsintegration einem Nutzer zuweisen.

  5. Optional: So fügen Sie benutzerdefinierte Attribute für ein Okta-Nutzerprofil hinzu:

    1. Wählen Sie unter Datentyp string aus.
    2. Geben Sie unter Anzeigename Department ein.
    3. Geben Sie unter Variablenname department ein.
    4. Klicken Sie auf Speichern, um die Zuordnung zu speichern.

    Weitere Informationen zum Hinzufügen benutzerdefinierter Attribute finden Sie unter Benutzerdefinierte Attribute zu einem Okta-Nutzerprofil hinzufügen.

  6. Optional: So erstellen Sie Zuordnungen für die Attribute, die im OIDC-Token gesendet werden: Klicken Sie unter Verzeichnis auf Profileditor und gehen Sie so vor:

    1. Suchen Sie die OIDC-Anwendung, die Sie zuvor in dieser Anleitung erstellt haben.
    2. Klicken Sie auf Mappings (Zuweisungen).
    3. Wählen Sie den Tab Okta-Nutzer an App aus.
    4. Geben Sie auf dem Tab Okta User User Profile (Okta-Nutzerprofil) in einem verfügbaren Kombinationsfeld department ein. Okta wird automatisch als user.department abgeschlossen.
    5. Klicken Sie auf Zuordnungen speichern, um die Zuordnungen zu speichern. Weitere Informationen finden Sie unter Attributzuordnung hinzufügen.

    Weitere Informationen zu Zuordnungen finden Sie unter App-Attributen im Profileditor Okta-Attribute zuordnen.

  7. Optional: So konfigurieren Sie eine Gruppenanforderung:

    1. Wenn Sie einen Organisationsautorisierungsserver verwenden, gehen Sie so vor:

      1. Rufen Sie Anwendungen > Anwendungen auf
      2. Wählen Sie die zuvor in diesem Abschnitt erstellte OpenID Connect-Clientanwendung.
      3. Rufen Sie den Tab Anmelden auf.
      4. Klicken Sie im Bereich OpenID Connect ID Token (OpenID Connect-ID-Token) auf Edit (Bearbeiten).
      5. Im Bereich Anspruchstyp für Gruppen können Sie eine der folgenden Optionen auswählen:
        • Wählen Sie Ausdruck.
        • Wählen Sie Stimmt mit regulärem Ausdruck überein und geben Sie .* ein.
      6. Klicken Sie zum Speichern der Gruppenanforderung auf Speichern.

      7. Wenn Sie möchten, dass sich Nutzer mit dem browserbasierten Anmeldevorgang in der Console (föderiert) oder in der gcloud CLI anmelden, gehen Sie beim Erstellen des Anbieters für den Identitätspool für Arbeitskräfte später in diesem Dokument so vor:

        1. Verwenden Sie die Anleitung für die gcloud CLI, damit Sie das Flag --web-sso-additional-scopes verwenden können.

        2. Wenn Sie den Anbieter eines Mitarbeiteridentitätspools erstellen, übergeben Sie groups als zusätzlichen Bereich in --web-sso-additional-scopes. Dadurch wird die Gruppenanforderung von Okta während der Anmeldung angefordert.

    2. Wenn Sie einen benutzerdefinierten Autorisierungsserver verwenden, gehen Sie so vor:

      1. Wählen Sie in der Admin-Konsole im Menü Sicherheit die Option API aus.
      2. Wählen Sie den benutzerdefinierten Autorisierungsserver aus, den Sie konfigurieren möchten.
      3. Klicke auf den Tab Anforderungen und dann auf Anspruch hinzufügen.
      4. Geben Sie einen Namen für den Anspruch ein. In diesem Beispiel nennen wir ihn groups.
      5. Wählen Sie in Ihrer Anforderung unter In Tokentyp einschließen die Option ID-Token und dann Immer aus.
      6. Wählen Sie Gruppen als Werttyp aus.
      7. Wählen Sie im Drop-down-Menü "Filter" die Option stimmt mit regulärem Ausdruck überein aus und geben Sie dann den folgenden Ausdruck als Wert ein: .*
      8. Klicken Sie auf Erstellen.

Weitere Informationen zu Gruppenanforderungen finden Sie unter Gruppenanforderung hinzufügen.

SAML

Führen Sie folgende Schritte aus, um eine Okta-App-Einbindung zu erstellen, die das SAML-Protokoll verwendet:

  1. Melden Sie sich bei der Okta Admin-Konsole an.
  2. Rufen Sie Anwendungen > Anwendungen auf.
  3. Klicken Sie auf App-Katalog ansehen.
  4. Geben Sie im Feld Suchen Google Cloud Workforce Identity Federation ein und wählen Sie dann in den Ergebnissen Google Cloud Workforce Identity Federation-Integration aus.
  5. Klicken Sie auf Integration hinzufügen.
  6. Geben Sie im Feld Anwendungslabel einen Namen für Ihre App ein.
  7. Geben Sie im Feld Personalpool den Namen des Personalpools ein, den Sie über die gcloud CLI erhalten haben.

  8. Geben Sie im Feld Anbieter einen Namen für den Anbieter ein.

  9. Klicken Sie auf Weiter.

  10. Optional: Wenn Sie über einen vom IdP initiierten Anmeldevorgang mit dem Einbettungslink auf die Anwendung zugreifen möchten, geben Sie https://console.cloud.google/ in Standard-RelayState ein.

  11. Optional: Wenn Sie das benutzerdefinierte Attribut department in der SAML-Assertion senden möchten, maximieren Sie den Abschnitt Attribute (optional) und gehen Sie so vor:

    • Geben Sie im Feld Name department ein.
    • Wählen Sie in der Liste Namensformat die Option Nicht angegeben aus.
    • Wählen Sie in der Liste Wert die Option user.department aus. Nach der Einrichtung können diese Attribute in Google Cloud verwendet werden, um Richtlinien zur Zugriffsverwaltung zu erstellen, oder in der attribute_condition.

  12. Optional: Wenn Sie Nutzergruppenmitgliedschaften in der SAML-Assertion senden möchten, maximieren Sie den Abschnitt Gruppenattributanweisungen (optional) und gehen Sie so vor:

    • Geben Sie im Feld Name groups ein.
    • Wählen Sie in der Liste Namensformat die Option Nicht angegeben aus.
    • Wählen Sie in der Liste Filter die Option Stimmt mit regulärem Ausdruck überein aus und geben Sie .* ein, um alle Gruppen einzuschließen. Alternativ können Sie Beginnt mit auswählen und ein Präfix eingeben.

  13. Laden Sie den Inhalt der angezeigten Metadaten-URL in eine lokale Datei herunter. Sie laden es in die Google Cloud Console hoch.

  14. Klicken Sie auf Fertig, um die Erstellung der Anwendung abzuschließen.

  15. Eine Anwendungsintegration einem Nutzer zuweisen.

Workforce Identity-Anbieter erstellen

In diesem Abschnitt wird beschrieben, wie Sie einen Anbieter von Workforce Identity-Pools erstellen, um Ihren IdP-Nutzern den Zugriff auf Google Cloudzu ermöglichen. Sie können den Anbieter so konfigurieren, dass er entweder das OIDC- oder das SAML-Protokoll verwendet.

OIDC-Anbieter von Mitarbeiteridentitätspools erstellen

So erstellen Sie einen Workforce Identity-Pool-Anbieter für Ihre Okta-App-Einbindung mit dem OIDC-Protokoll:

  1. So rufen Sie die Client-ID für die Okta-App-Einbindung ab:

    1. Rufen Sie die Okta-App-Einbindung auf.
    2. Klicken Sie auf den Tab Allgemein.
    3. Kopieren Sie den Inhalt des Felds Client-ID.

  2. So erstellen Sie einen OIDC-Anbieter von Mitarbeiteridentitätspools für die Webanmeldung:

    gcloud

    Codeablauf

    Gehen Sie in Okta so vor:

    1. Wählen Sie unter Clientauthentifizierung die Option Clientschlüssel aus.

    2. Suchen Sie in der Tabelle Clientschlüssel das Secret und klicken Sie auf Kopieren.

    Führen Sie in Google Cloudden folgenden Befehl aus, um einen OIDC-Anbieter zu erstellen, der den Autorisierungscode-Ablauf für die Webanmeldung verwendet:

    gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
        --client-secret-value="OIDC_CLIENT_SECRET" \
        --vendor-type="okta" \
    --web-sso-response-type="code" \
    --web-sso-assertion-claims-behavior="merge-user-info-over-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --detailed-audit-logging \
    --location=global

    Ersetzen Sie Folgendes:

    • WORKFORCE_PROVIDER_ID: Eine eindeutige Anbieter-ID für den Workforce Identity-Pool. Das Präfix gcp- ist reserviert und kann nicht in einem Workforce Identity-Pool oder einer Workforce Identity-Pool-Anbieter-ID verwendet werden.
    • WORKFORCE_POOL_ID: die ID des Mitarbeiteridentitätspools, mit dem Ihr IdP verbunden werden soll
    • DISPLAY_NAME: ein optionaler nutzerfreundlicher Anzeigename für den Anbieter; Beispiel: idp-eu-employees
    • DESCRIPTION: eine optionale Beschreibung des Mitarbeiter-Anbieters. Beispiel: IdP for Partner Example Organization employees
    • ISSUER_URI: der OIDC-Aussteller-URI in einem gültigen URI-Format, das mit https beginnt. Beispiel: https://example.com/oidc. Hinweis: Aus Sicherheitsgründen muss ISSUER_URI das HTTPS-Schema verwenden.
    • OIDC_CLIENT_ID: die OIDC-Client-ID, die bei Ihrem OIDC-IdP registriert ist. Die ID muss mit der aud-Anforderung des JWT übereinstimmen, die von Ihrem IdP ausgestellt wird.
    • OIDC_CLIENT_SECRET: der OIDC-Clientschlüssel
    • WEB_SSO_ADDITIONAL_SCOPES: Optionale zusätzliche Bereiche, die an den OIDC-IdP für die Console (föderiert) oder die browserbasierte Anmeldung mit der gcloud CLI gesendet werden, z. B. groups, um die Gruppenanforderung von Okta anzufordern, wenn der Autorisierungsserver der Organisation von Okta verwendet wird.
    • ATTRIBUTE_MAPPING: Eine Attributzuordnung. Hier ein Beispiel für eine Attributzuordnung: 
      google.subject=assertion.oid
google.groups=assertion.groups,
attribute.costcenter=assertion.costcenter
       In diesem Beispiel werden die IdP-Attribute assertion.oid, assertion.groups und assertion.costcenter in der OIDC-Assertion den Attributen Google Cloud , google.subject bzw. google.groups zugeordnet.attribute.costcenter
    • ATTRIBUTE_CONDITION: eine Attributbedingung; Beispiel: assertion.subject.endsWith('@example.com'), wenn der zuvor zugeordnete Wert subject eine E-Mail-Adresse enthält, die mit @example.com endet.
    • JWK_JSON_PATH: Ein optionaler Pfad zu einem lokal hochgeladenen OIDC-JWKs. Wenn dieser Parameter nicht angegeben ist, verwendet Google Cloud stattdessen den Pfad /.well-known/openid-configuration Ihres IdP, um den JWKS mit den öffentlichen Schlüsseln zu ermitteln. Weitere Informationen zu lokal hochgeladenen OIDC-JWKs finden Sie unter OIDC-JWKs verwalten.

    • Bei der detaillierten Audit-Protokollierung der Workforce Identity-Föderation werden Informationen, die von Ihrem IdP empfangen werden, in Logging protokolliert. Detaillierte Audit-Logs können Ihnen bei der Fehlerbehebung bei der Konfiguration Ihres Anbieters für Workforce Identity-Pools helfen. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detailliertem Audit-Logging finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Preisen für Logging finden Sie unter Google Cloud Observability-Preise.

      Wenn Sie das detaillierte Audit-Logging für einen Workforce Identity-Pool-Anbieter deaktivieren möchten, lassen Sie das Flag --detailed-audit-logging weg, wenn Sie gcloud iam workforce-pools providers create ausführen. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

    Das Flag --web-sso-assertion-claims-behavior steuert, wie OIDC-Anforderungen in das assertion-Objekt aufgenommen werden, das für Attributzuordnungen und Attributbedingungen verwendet wird. Für den Autorisierungscode-Vorgang (--web-sso-response-type="code") können Sie dieses Flag auf einen der folgenden Werte festlegen:

    • merge-user-info-over-id-token-claims: Führt Ansprüche aus dem OIDC-Endpunkt UserInfo mit Ansprüchen aus dem ID-Token zusammen. Wenn beide denselben Anforderungsnamen enthalten, hat der Anforderungswert UserInfo Vorrang. Verwenden Sie diesen Wert, wenn Ihr IdP zusätzliche Nutzerattribute oder Gruppenansprüche vom UserInfo-Endpunkt zurückgibt.
    • only-id-token-claims: Enthält nur Ansprüche aus dem ID-Token. Verwenden Sie diesen Wert, wenn alle für Ihre Attributzuordnungen und Bedingungen erforderlichen Ansprüche bereits im ID-Token vorhanden sind.
    In der Befehlsantwort ist POOL_RESOURCE_NAME der Name des Pools, z. B. locations/global/workforcePools/enterprise-example-organization-employees.

    Impliziter Ablauf

    Führen Sie den folgenden Befehl aus, um einen OIDC-Anbieter zu erstellen, der den impliziten Ablauf für die Webanmeldung verwendet:

    gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
        --vendor-type="okta" \
    --web-sso-response-type="id-token" \
    --web-sso-assertion-claims-behavior="only-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --detailed-audit-logging \
    --location=global

    Ersetzen Sie Folgendes:

    • WORKFORCE_PROVIDER_ID: Eine eindeutige Anbieter-ID für den Workforce Identity-Pool. Das Präfix gcp- ist reserviert und kann nicht in einem Workforce Identity-Pool oder einer Workforce Identity-Pool-Anbieter-ID verwendet werden.
    • WORKFORCE_POOL_ID: die ID des Mitarbeiteridentitätspools, mit dem Ihr IdP verbunden werden soll
    • DISPLAY_NAME: ein optionaler nutzerfreundlicher Anzeigename für den Anbieter; Beispiel: idp-eu-employees
    • DESCRIPTION: eine optionale Beschreibung des Mitarbeiter-Anbieters. Beispiel: IdP for Partner Example Organization employees
    • ISSUER_URI: der OIDC-Aussteller-URI in einem gültigen URI-Format, das mit https beginnt. Beispiel: https://example.com/oidc. Hinweis: Aus Sicherheitsgründen muss ISSUER_URI das HTTPS-Schema verwenden.
    • OIDC_CLIENT_ID: die OIDC-Client-ID, die bei Ihrem OIDC-IdP registriert ist. Die ID muss mit der aud-Anforderung des JWT übereinstimmen, die von Ihrem IdP ausgestellt wird.
    • WEB_SSO_ADDITIONAL_SCOPES: optionale zusätzliche Bereiche, die an den OIDC-IdP für die Console (föderiert) oder die browserbasierte Anmeldung mit der gcloud CLI gesendet werden, z. B. groups, um die Gruppenanforderung von Okta anzufordern, wenn der Autorisierungsserver der Organisation von Okta verwendet wird.
    • ATTRIBUTE_MAPPING: Eine Attributzuordnung. Hier ein Beispiel für eine Attributzuordnung: 
      google.subject=assertion.oid
google.groups=assertion.groups,
attribute.costcenter=assertion.costcenter
       In diesem Beispiel werden die IdP-Attribute assertion.oid, assertion.groups und assertion.costcenter in der OIDC-Assertion den Google Cloud Attributen google.subject, google.groups bzw. attribute.costcenter zugeordnet.
    • ATTRIBUTE_CONDITION: eine Attributbedingung; Beispiel: assertion.subject.endsWith('@example.com'), wenn der zuvor zugeordnete Wert subject eine E-Mail-Adresse enthält, die mit @example.com endet.
    • JWK_JSON_PATH: Ein optionaler Pfad zu einem lokal hochgeladenen OIDC-JWKs. Wenn dieser Parameter nicht angegeben ist, verwendet Google Cloud stattdessen den Pfad /.well-known/openid-configuration Ihres IdP, um die JWKs mit den öffentlichen Schlüsseln zu beziehen. Weitere Informationen zu lokal hochgeladenen OIDC-JWKs finden Sie unter OIDC-JWKs verwalten.

    • Bei der detaillierten Audit-Protokollierung der Workforce Identity-Föderation werden Informationen, die von Ihrem IdP empfangen werden, in Logging protokolliert. Detaillierte Audit-Logs können Ihnen bei der Fehlerbehebung bei der Konfiguration Ihres Anbieters für Workforce Identity-Pools helfen. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detailliertem Audit-Logging finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Preisen für Logging finden Sie unter Google Cloud Observability-Preise.

      Wenn Sie das detaillierte Audit-Logging für einen Workforce Identity-Pool-Anbieter deaktivieren möchten, lassen Sie das Flag --detailed-audit-logging weg, wenn Sie gcloud iam workforce-pools providers create ausführen. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

    Für den impliziten Ablauf (--web-sso-response-type="id-token") müssen Sie das Flag --web-sso-assertion-claims-behavior auf only-id-token-claims setzen. Dadurch werden nur Anforderungen aus dem ID-Token in das assertion-Objekt aufgenommen. Der implizite Ablauf unterstützt den Wert merge-user-info-over-id-token-claims nicht.

    In der Befehlsantwort ist POOL_RESOURCE_NAME der Name des Pools, z. B. locations/global/workforcePools/enterprise-example-organization-employees.

    Console

    Codeablauf

    So erstellen Sie einen OIDC-Anbieter, der den Autorisierungscode-Ablauf für die Webanmeldung verwendet:

    1. So rufen Sie den Okta-Clientschlüssel ab:

      1. Wählen Sie unter Clientauthentifizierung die Option Clientschlüssel aus.

      2. Suchen Sie in der Tabelle Clientschlüssel das Secret und klicken Sie auf Kopieren.

    1. Rufen Sie in der Google Cloud Console die Seite Workforce Identity-Pools auf:

      Zu Workforce Identity-Pools

    2. Wählen Sie in der Tabelle Workforce Identity-Pools den Pool aus, für den Sie den Anbieter erstellen möchten.
    3. Klicken Sie im Bereich Anbieter auf Anbieter hinzufügen.
    4. Wählen Sie in der Liste Anbieter auswählen Ihren IdP aus.

      Wenn Ihr IdP nicht aufgeführt ist, wählen Sie Generischer Identitätsanbieter aus.

    5. Wählen Sie unter Authentifizierungsprotokoll auswählen die Option OpenID Connect (OIDC) aus.
    6. Führen Sie im Abschnitt Anbieter erstellen die folgenden Schritte aus:
      1. Geben Sie unter Name den Namen des Anbieters ein.
      2. Geben Sie unter Beschreibung eine Beschreibung für den Anbieter ein.
      3. Geben Sie unter Aussteller (URL) den URI des Ausstellers ein. Der OIDC-Aussteller-URI muss ein gültiges URI-Format haben und mit https beginnen. Beispiel: https://example.com/oidc
      4. Geben Sie unter Client-ID die OIDC-Client-ID ein, die bei Ihrem OIDC-IdP registriert ist. Die ID muss mit der aud-Anforderung des JWT übereinstimmen, die von Ihrem IdP ausgestellt wird.
      5. Wenn Sie einen aktivierten Anbieter erstellen möchten, muss die Option Anbieter aktivieren aktiviert sein.
      6. Klicken Sie auf Weiter.
    7. Kopieren Sie im Abschnitt Anbieterinformationen mit IdP teilen die URL. Konfigurieren Sie diese URL in Ihrem IdP als Weiterleitungs-URI, damit Ihr IdP weiß, wohin das Assertion-Token nach der Anmeldung gesendet werden soll.
    8. Klicken Sie auf Weiter.
    9. Führen Sie im Abschnitt OIDC-Webanmeldung konfigurieren die folgenden Schritte aus:
      1. Wählen Sie in der Liste Flow-Typ die Option Code aus.
      2. Wählen Sie in der Liste Verhalten bei Assertion-Anforderungen eine der folgenden Optionen aus:
        • Nutzerinformationen und ID-Token: führt Anforderungen vom UserInfo-Endpunkt mit Anforderungen aus dem ID-Token zusammen. Dabei werden UserInfo-Anforderungswerte für denselben Anforderungsnamen bevorzugt. Wählen Sie diese Option aus, wenn Ihr IdP zusätzliche Nutzerattribute oder Gruppenanforderungen vom UserInfo-Endpunkt zurückgibt.
        • Nur ID-Token: Enthält nur Anforderungen aus dem ID-Token. Wählen Sie diese Option aus, wenn alle für Ihre Attributzuordnungen und Bedingungen erforderlichen Anforderungen bereits im ID-Token vorhanden sind.
      3. Geben Sie im Feld Clientschlüssel den Clientschlüssel von Ihrem IdP ein.

      4. Optional: Wenn Sie Okta als IdP ausgewählt haben, fügen Sie im Feld Zusätzliche Bereiche über OpenID, Profil und E‑Mail hinaus zusätzliche OIDC-Bereiche hinzu.
    10. Klicken Sie auf Weiter.
    11. Klicken Sie im Abschnitt Anbieter konfigurieren unter Detailliertes Logging auf den Schalter Audit-Logging für Attributwerte aktivieren.

      Bei der detaillierten Audit-Protokollierung der Workforce Identity-Föderation werden Informationen, die von Ihrem IdP empfangen werden, in Logging protokolliert. Detaillierte Audit-Logs können Ihnen bei der Fehlerbehebung bei der Konfiguration Ihres Anbieters für Workforce Identity-Pools helfen. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detailliertem Audit-Logging finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Preisen für Logging finden Sie unter Google Cloud Observability-Preise.

      Wenn Sie das detaillierte Audit-Logging für einen Anbieter von Workforce Identity-Pools deaktivieren möchten, lassen Sie die Ein/Aus-Schaltfläche Audit-Logging für Attributwerte aktivieren beim Erstellen des Anbieters deaktiviert. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

    12. Klicken Sie auf Senden, um den Anbieter zu erstellen.

    Nachdem der Anbieter erstellt wurde, werden Sie zur Seite mit den Anbieterattributen weitergeleitet.

    So konfigurieren Sie Attributzuordnungen und ‑bedingungen:

    1. Melden Sie sich nach Aufforderung bei Ihrem externen IdP an, um die Standardattributzuordnungen zu validieren.
    2. Auf der Seite mit den Anbieterattributen können Sie die Attributzuordnungen und ‑bedingungen ansehen und bearbeiten:
      1. So fügen Sie Attributzuordnungen hinzu oder bearbeiten sie:
        1. Klicken Sie auf Zuordnung hinzufügen, um eine neue Zuordnung hinzuzufügen, oder bearbeiten Sie die vorhandenen Zuordnungen.
        2. Wählen Sie im Feld Google n, wobei n eine Zahl ist Google Cloud, einen unterstützten Schlüssel aus.
        3. Geben Sie im entsprechenden Feld OIDC n den IdP-Attributnamen oder einen CEL-Ausdruck ein.
      2. So fügen Sie eine Attributbedingung hinzu:
        1. Klicken Sie auf Bedingung hinzufügen.
        2. Geben Sie im Feld Attributbedingungen eine Bedingung im CEL-Format ein, z. B. assertion.subject.endsWith('@example.com'), wenn der zuvor zugeordnete Wert von subject eine E-Mail-Adresse enthält, die mit @example.com endet.
    3. Klicken Sie zum Validieren der Zuordnungen auf Speichern und Token neu abrufen.
    4. Klicken Sie auf Speichern und beenden, um die Einrichtung abzuschließen.

    Impliziter Ablauf

    So erstellen Sie einen OIDC-Anbieter, der den impliziten Ablauf für die Webanmeldung verwendet:

    1. Rufen Sie in der Google Cloud Console die Seite Workforce Identity-Pools auf:

      Zu Workforce Identity-Pools

    2. Wählen Sie in der Tabelle Workforce Identity-Pools den Pool aus, für den Sie den Anbieter erstellen möchten.
    3. Klicken Sie im Bereich Anbieter auf Anbieter hinzufügen.
    4. Wählen Sie in der Liste Anbieter auswählen Ihren IdP aus.

      Wenn Ihr IdP nicht aufgeführt ist, wählen Sie Generischer Identitätsanbieter aus.

    5. Wählen Sie unter Authentifizierungsprotokoll auswählen die Option OpenID Connect (OIDC) aus.
    6. Führen Sie im Abschnitt Anbieter erstellen die folgenden Schritte aus:
      1. Geben Sie unter Name den Namen des Anbieters ein.
      2. Geben Sie unter Beschreibung eine Beschreibung für den Anbieter ein.
      3. Geben Sie unter Aussteller (URL) den URI des Ausstellers ein. Der OIDC-Aussteller-URI muss ein gültiges URI-Format haben und mit https beginnen. Beispiel: https://example.com/oidc
      4. Geben Sie unter Client-ID die OIDC-Client-ID ein, die bei Ihrem OIDC-IdP registriert ist. Die ID muss mit der aud-Anforderung des JWT übereinstimmen, die von Ihrem IdP ausgestellt wird.
      5. Wenn Sie einen aktivierten Anbieter erstellen möchten, muss die Option Anbieter aktivieren aktiviert sein.
      6. Klicken Sie auf Weiter.
    7. Kopieren Sie im Abschnitt Anbieterinformationen mit IdP teilen die URL. Konfigurieren Sie diese URL in Ihrem IdP als Weiterleitungs-URI, damit Ihr IdP weiß, wohin das Assertion-Token nach der Anmeldung gesendet werden soll.
    8. Klicken Sie auf Weiter.
    9. Führen Sie im Abschnitt OIDC-Webanmeldung konfigurieren die folgenden Schritte aus:
      1. Wählen Sie in der Liste Flow-Typ die Option ID-Token aus.
      2. In der Liste Verhalten bei Assertion-Anforderungen ist ID-Token ausgewählt.
      3. Optional: Wenn Sie Okta als IdP ausgewählt haben, fügen Sie im Feld Zusätzliche Bereiche über OpenID, Profil und E‑Mail hinaus zusätzliche OIDC-Bereiche hinzu.
    10. Klicken Sie auf Weiter.
    11. Klicken Sie im Abschnitt Anbieter konfigurieren unter Detailliertes Logging auf den Schalter Audit-Logging für Attributwerte aktivieren.

      Bei der detaillierten Audit-Protokollierung der Workforce Identity-Föderation werden Informationen, die von Ihrem IdP empfangen werden, in Logging protokolliert. Mit dem detaillierten Audit-Logging können Sie Probleme mit der Konfiguration Ihres Anbieters für Workforce Identity-Pools beheben. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detaillierter Audit-Protokollierung finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Preisen für Logging finden Sie unter Google Cloud Observability-Preise.

      Wenn Sie das detaillierte Audit-Logging für einen Anbieter von Workforce Identity-Pools deaktivieren möchten, lassen Sie die Option Audit-Logging für Attributwerte aktivieren beim Erstellen des Anbieters deaktiviert. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

    12. Klicken Sie auf Senden, um den Anbieter zu erstellen.

    Nachdem der Anbieter erstellt wurde, werden Sie zur Seite mit den Anbieterattributen weitergeleitet.

    So konfigurieren Sie Attributzuordnungen und ‑bedingungen:

    1. Melden Sie sich nach Aufforderung bei Ihrem externen IdP an, um die Standardattributzuordnungen zu validieren.
    2. Auf der Seite mit den Anbieterattributen können Sie die Attributzuordnungen und ‑bedingungen ansehen und bearbeiten:
      1. So fügen Sie Attributzuordnungen hinzu oder bearbeiten sie:
        1. Klicken Sie auf Zuordnung hinzufügen, um eine neue Zuordnung hinzuzufügen, oder bearbeiten Sie die vorhandenen Zuordnungen.
        2. Wählen Sie im Feld Google n, wobei n eine Zahl ist, einen von Google Cloudunterstützten Schlüssel aus.
        3. Geben Sie im entsprechenden Feld OIDC n den IdP-Attributnamen oder einen CEL-Ausdruck ein.
      2. So fügen Sie eine Attributbedingung hinzu:
        1. Klicken Sie auf Bedingung hinzufügen.
        2. Geben Sie im Feld Attributbedingungen eine Bedingung im CEL-Format ein, z. B. assertion.subject.endsWith('@example.com'), wenn der zuvor zugeordnete Wert von subject eine E-Mail-Adresse enthält, die mit @example.com endet.
    3. Klicken Sie auf Speichern und Token neu abrufen, um die Zuordnungen zu validieren.
    4. Klicken Sie auf Speichern und beenden, um die Einrichtung abzuschließen.

SAML-Workforce Identity-Pool-Anbieter erstellen

  1. Registrieren Sie bei Ihrem SAML-IdP eine neue Anwendung für die Google Cloud-Mitarbeiteridentitätsföderation.

  2. Legen Sie die Zielgruppe für SAML-Assertions fest. Dies ist normalerweise das Feld SP Entity ID in Ihrer IdP-Konfiguration. Legen Sie sie auf die folgende URL fest:

    https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

  3. Legen Sie die Weiterleitungs-URL fest, auch als Assertion Consumer Service-URL (ACS-URL) bezeichnet. Suchen Sie zum Festlegen der Weiterleitungs-URL das Feld für die Weiterleitungs-URL in Ihrem SAML-IdP und führen Sie einen der folgenden Schritte aus:

    • Wenn Sie die browserbasierte Anmeldung über die Google Cloud Console oder eine andere browserbasierte Anmeldemethode einrichten möchten, geben Sie die folgende URL ein:

      https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

      Ersetzen Sie Folgendes:

      • WORKFORCE_POOL_ID: die ID des Workforce Identity-Pools

      • WORKFORCE_PROVIDER_ID: die ID des Anbieters des Workforce Identity-Pools, den Sie später in diesem Dokument erstellen.

    • Geben Sie die folgende URL ein, um die programmatische Anmeldung über Ihren IdP einzurichten:

      localhost

    Weitere Informationen zum Konfigurieren der Anmeldung in der Console finden Sie unter Nutzerzugriff auf die Console einrichten.

  4. Erstellen Sie in Google Cloudeinen SAML-Mitarbeiteridentitätspoolanbieter mit dem SAML-Metadatendokument Ihres IdP. Sie können das SAML-Metadaten-XML-Dokument von Ihrem IdP herunterladen. Das Dokument muss mindestens Folgendes enthalten:

    • Eine SAML-Entitäts-ID für Ihren IdP
    • Die URL zur Einmalanmeldung (SSO) für Ihren IdP
    • Mindestens einen öffentlichen Signierschlüssel. Weitere Informationen zu Signierschlüsseln finden Sie weiter unten in dieser Anleitung unter Schlüsselanforderungen.

gcloud

So erstellen Sie einen Workforce Identity-Pool-Anbieter für die Einbindung Ihrer Okta-Anwendung mit dem SAML-Protokoll:

  1. So speichern Sie die SAML-Metadaten für Ihre Okta-Anwendung:

    1. Rufen Sie die Okta-Anwendung auf.
    2. Klicken Sie auf den Tab Anmelden.
    3. Klicken Sie im Abschnitt SAML-Signierungs-Zertifikate für das aktive Zertifikat auf Aktionen > Identitäsanbieter-Metadaten ansehen.
    4. Kopieren Sie auf der neuen Seite, die geöffnet wird, die XML-Metadaten.
    5. Speichern Sie die Metadaten als lokale XML-Datei.

  2. Führen Sie den folgenden Befehl aus, um einen Workforce-Anbieter für die Okta-Anwendung zu erstellen:

    gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
    --workforce-pool="WORKFORCE_POOL_ID" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --vendor-type="okta" \
    --idp-metadata-path="XML_METADATA_PATH" \
    --detailed-audit-logging \
    --location="global"

    Ersetzen Sie Folgendes:

    • WORKFORCE_PROVIDER_ID: die ID des Workforce-anbieters, die Sie zuvor in dieser Anleitung erstellt haben.
    • WORKFORCE_POOL_ID: die ID des Workforce Identity-Pools, die Sie zuvor in dieser Anleitung erstellt haben.

    • ATTRIBUTE_MAPPING: eine Attributzuordnung; Beispiel:

      google.subject=assertion.subject,
google.groups=assertion.attributes['groups'],
attribute.department=assertion.attributes['department'][0]

    • ATTRIBUTE_CONDITION: eine optionale Attributbedingung. Wenn Sie die Anmeldung beispielsweise auf Nutzer beschränken möchten, deren E‑Mail-Adresse mit @example.com endet: 

      assertion.subject.endsWith('@example.com')

    • XML_METADATA_PATH: der Pfad zur Metadatendatei im XML-Format für die Okta-Anwendung, die Sie zuvor in dieser Anleitung erstellt haben.

    Das Präfix gcp- ist reserviert und kann nicht in einem Workforce Identity-Pool oder einer Workforce Identity-Pool-Anbieter-ID verwendet werden.

    • Bei der detaillierten Audit-Protokollierung der Workforce Identity-Föderation werden Informationen, die von Ihrem IdP empfangen werden, in Logging protokolliert. Mit dem detaillierten Audit-Logging können Sie Probleme mit der Konfiguration Ihres Anbieters für Workforce Identity-Pools beheben. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detaillierter Audit-Protokollierung finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Preisen für Logging finden Sie unter Google Cloud Observability-Preise.

      Wenn Sie das detaillierte Audit-Logging für einen Workforce Identity-Pool-Anbieter deaktivieren möchten, lassen Sie das Flag --detailed-audit-logging weg, wenn Sie gcloud iam workforce-pools providers create ausführen. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

    Optional: Verschlüsselte SAML-Assertions von Ihrem IdP akzeptieren

    So ermöglichen Sie Ihrem SAML 2.0-IdP, verschlüsselte SAML-Assertions zu erstellen, die von der Workforce Identity-Föderation akzeptiert werden:

    • Führen Sie in der Mitarbeiteridentitätsföderation folgende Schritte aus:
      • Erstellen Sie ein asymmetrisches Schlüsselpaar für den Anbieter des Workforce Identity-Pools.
      • Laden Sie eine Zertifikatsdatei herunter, die den öffentlichen Schlüssel enthält.
      • Konfigurieren Sie Ihren SAML-IdP so, dass er den öffentlichen Schlüssel zum Verschlüsseln von SAML-Assertions verwendet.
    • Gehen Sie bei Ihrem IdP so vor:
      • Aktivieren Sie die Assertion-Verschlüsselung, auch als Tokenverschlüsselung bezeichnet.
      • Laden Sie den öffentlichen Schlüssel hoch, den Sie in der Workforce Identity-Föderation erstellt haben.
      • Prüfen Sie, ob Ihr IdP verschlüsselte SAML-Assertions erstellt.
    Beachten Sie, dass die Workforce Identity-Föderation auch dann eine Klartext-Assertion verarbeiten kann, wenn SAML-Verschlüsselungsanbieterschlüssel konfiguriert sind.

    SAML-Assertion-Verschlüsselungsschlüssel für die Workforce Identity-Föderation erstellen

    In diesem Abschnitt wird beschrieben, wie Sie ein asymmetrisches Schlüsselpaar erstellen, mit dem die Workforce Identity-Föderation verschlüsselte SAML-Assertions akzeptieren kann.

    Google Cloud verwendet den privaten Schlüssel zum Entschlüsseln der SAML-Assertions, die Ihr IdP ausgibt. Führen Sie den folgenden Befehl aus, um ein asymmetrisches Schlüsselpaar für die Verwendung mit der SAML-Verschlüsselung zu erstellen. Weitere Informationen finden Sie unter Unterstützte SAML-Verschlüsselungsalgorithmen. 

    gcloud iam workforce-pools providers keys create KEY_ID \
    --workforce-pool WORKFORCE_POOL_ID \
    --provider WORKFORCE_PROVIDER_ID \
    --location global \
    --use encryption \
    --spec KEY_SPECIFICATION

    Ersetzen Sie Folgendes:

    • KEY_ID: ein Schlüsselname Ihrer Wahl
    • WORKFORCE_POOL_ID: die Pool-ID
    • WORKFORCE_PROVIDER_ID: die ID des Anbieters des Mitarbeiteridentitätspools
    • KEY_SPECIFICATION: die Schlüsselspezifikation, entweder rsa-2048, rsa-3072 oder rsa-4096

    Führen Sie nach dem Erstellen des Schlüsselpaars den folgenden Befehl aus, um den öffentlichen Schlüssel in eine Zertifikatsdatei herunterzuladen. Nur die Workload Identity-Föderation hat Zugriff auf den privaten Schlüssel. 

    gcloud iam workforce-pools providers keys describe KEY_ID \
    --workforce-pool WORKFORCE_POOL_ID \
    --provider WORKFORCE_PROVIDER_ID \
    --location global \
    --format "value(keyData.key)" \
    > CERTIFICATE_PATH

    Ersetzen Sie Folgendes:

    • KEY_ID: der Schlüsselname
    • WORKFORCE_POOL_ID: die Pool-ID
    • WORKFORCE_PROVIDER_ID: die ID des Anbieters des Mitarbeiteridentitätspools
    • CERTIFICATE_PATH: der Pfad, in den das Zertifikat geschrieben werden soll, z. B. saml-certificate.cer oder saml-certificate.pem

    SAML 2.0-konformen IdP für die Ausgabe verschlüsselter SAML-Assertions konfigurieren

    So konfigurieren Sie Okta zum Verschlüsseln von SAML-Assertions:

    • Rufen Sie das Okta-Dashboard auf und melden Sie sich an.
    • Rufen Sie Anwendungen > Anwendungen auf.
    • Klicken Sie auf Ihre App.
    • Klicken Sie auf dem Tab Allgemein im Bereich SAML-Einstellungen auf Bearbeiten.
    • Klicken Sie auf Weiter, um die SAML-Einstellungen aufzurufen.
    • Klicken Sie auf Erweiterte Einstellungen anzeigen.
    • Führen Sie in den SAML-Einstellungen folgende Schritte aus:
      • Wählen Sie entweder in Antwort (bevorzugt) oder in Assertion-Signatur die Option Signed aus.
      • Wählen Sie unter Signature-Algorithmus und Digest-Algorithmus eine beliebige Option aus.
      • Stellen Sie folgende Werte ein:
        • Assertion-Verschlüsselung: Verschlüsselt.
        • Verschlüsselungsalgorithmus: Beliebiger Algorithmus.
        • Verschlüsselungszertifikat: Laden Sie die Zertifikatsdatei hoch, die Sie zuvor in dieser Anleitung generiert haben.
    • Klicken Sie auf Weiter und dann auf Fertig stellen, um die Konfiguration zu speichern.

    Nachdem Sie Ihren IdP so konfiguriert haben, dass SAML-Assertions verschlüsselt werden, sollten Sie prüfen, ob die generierten Assertions tatsächlich verschlüsselt sind. Die Workforce Identity-Föderation kann weiterhin Klartext-Assertions verarbeiten, auch wenn die SAML-Assertion-Verschlüsselung konfiguriert ist.

    Verschlüsselungsschlüssel der Mitarbeiteridentitätsföderation löschen

    Führen Sie den folgenden Befehl aus, um SAML-Verschlüsselungsschlüssel zu löschen: 
      gcloud iam workforce-pools providers keys delete KEY_ID \
      --workforce-pool WORKFORCE_POOL_ID \
      --provider WORKFORCE_PROVIDER_ID \
      --location global

    Ersetzen Sie Folgendes:

    • KEY_ID: der Schlüsselname
    • WORKFORCE_POOL_ID: die Pool-ID
    • WORKFORCE_PROVIDER_ID: die ID des Anbieters des Mitarbeiteridentitätspools

    Unterstützte SAML-Verschlüsselungsalgorithmen

    Die Workforce Identity-Föderation unterstützt die folgenden Schlüsseltransportalgorithmen:

    Die Workforce Identity-Föderation unterstützt die folgenden Blockverschlüsselungsalgorithmen:

Console

So konfigurieren Sie den SAML-Anbieter mit der Google Cloud Console:

  1. Rufen Sie in der Google Cloud Console die Seite Workforce Identity-Pools auf:

    Zu Workforce Identity-Pools

  2. Wählen Sie in der Tabelle Workforce Identity-Pools den Pool aus, für den Sie den Anbieter erstellen möchten.
  3. Klicken Sie im Bereich Anbieter auf Anbieter hinzufügen.
  4. Wählen Sie in der Liste Anbieter auswählen Ihren IdP aus.

    Wenn Ihr IdP nicht aufgeführt ist, wählen Sie Generischer Identitätsanbieter aus.

  5. Wählen Sie unter Authentifizierungsprotokoll auswählen die Option SAML aus.
  6. Führen Sie im Abschnitt Anbieter erstellen die folgenden Schritte aus:
    1. Geben Sie unter Name einen Namen für den Anbieter ein.
    2. Optional: Geben Sie unter Beschreibung eine Beschreibung für den Anbieter ein.
    3. Wählen Sie in der IdP-Metadatendatei (XML) die XML-Metadatendatei aus, die Sie zuvor in dieser Anleitung generiert haben.
    4. Wenn Sie einen aktivierten Anbieter erstellen möchten, muss die Option Anbieter aktivieren aktiviert sein.
    5. Klicken Sie auf Weiter.
  7. Kopieren Sie im Abschnitt Anbieterinformationen freigeben die URLs. Konfigurieren Sie in Ihrem IdP die erste URL als Entitäts-ID, die Ihre Anwendung für den IdP identifiziert. Konfigurieren Sie die andere URL als Weiterleitungs-URI, die Ihrem IdP mitteilt, wohin das Assertion-Token nach der Anmeldung gesendet werden soll.
  8. Klicken Sie auf Weiter.
  9. Klicken Sie im Abschnitt Anbieter konfigurieren unter Detailliertes Logging auf den Schalter Audit-Logging für Attributwerte aktivieren.

    Bei der detaillierten Audit-Protokollierung der Workforce Identity-Föderation werden Informationen, die von Ihrem IdP empfangen werden, in Logging protokolliert. Detaillierte Audit-Logs können Ihnen bei der Fehlerbehebung bei der Konfiguration Ihres Anbieters für Workforce Identity-Pools helfen. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detaillierter Audit-Protokollierung finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Preisen für Logging finden Sie unter Google Cloud Observability-Preise.

    Wenn Sie das detaillierte Audit-Logging für einen Anbieter von Workforce Identity-Pools deaktivieren möchten, lassen Sie die Option Audit-Logging für Attributwerte aktivieren beim Erstellen des Anbieters deaktiviert. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

  10. Klicken Sie auf Senden, um den Anbieter zu erstellen.

Nachdem der Anbieter erstellt wurde, werden Sie zur Seite mit den Anbieterattributen weitergeleitet.

So konfigurieren Sie Attributzuordnungen und -bedingungen:

  1. Melden Sie sich nach Aufforderung bei Ihrem externen IdP an, um die Standardattributzuordnungen zu validieren.
  2. Auf der Seite „Anbieterattribute“ können Sie die Attributzuordnungen und ‑bedingungen ansehen und bearbeiten:
    1. So fügen Sie Attributzuordnungen hinzu oder bearbeiten sie:
      1. Klicken Sie auf Zuordnung hinzufügen, um eine neue Zuordnung hinzuzufügen, oder bearbeiten Sie die vorhandenen Zuordnungen.
      2. Wählen Sie im Feld Google n, wobei n eine Zahl ist, einen unterstützten Schlüssel von Google Cloud aus.
      3. Geben Sie im entsprechenden SAML n Feld den Attributnamen des IdP oder einen CEL-Ausdruck ein, z. B.: 
        google.subject=assertion.subject,
google.groups=assertion.attributes['groups'],
attribute.department=assertion.attributes['department'][0]
    2. So fügen Sie eine Attributbedingung hinzu:
      1. Klicken Sie auf Bedingung hinzufügen.
      2. Geben Sie im Feld Attributbedingungen eine Bedingung im CEL-Format ein. Wenn Sie beispielsweise die Anmeldung auf Nutzer beschränken möchten, deren E-Mail-Adresse mit @example.com endet: 
        assertion.subject.endsWith('@example.com')
         .
  3. Klicken Sie zum Validieren der Zuordnungen auf Speichern und Token neu abrufen.
  4. Klicken Sie auf Speichern und beenden, um die Einrichtung abzuschließen.

Anbieterkonfiguration überprüfen

Bevor Sie den Anmeldevorgang für Endnutzer testen, können Sie prüfen, ob die Konfiguration Ihres Anbieters korrekt ist und ob Google Cloud Tokens mit Ihrem IdP austauschen kann.

Die Seite Anbieterattribute validieren in der Google Cloud Console enthält eine Attributanzeige, mit der Sie Ihre Konfiguration interaktiv testen und CEL-Ausdrücke (Common Expression Language) debuggen können. Mit der Attributansicht können Sie Folgendes tun:

  • Sehen Sie sich die Rohattribute an, die in der IdP-Assertion gesendet werden.
  • Prüfen Sie, ob Ihre Attributzuordnungen und ‑bedingungen diese Attribute richtig transformieren.
  • Komplexe CEL-Ausdrücke in Echtzeit debuggen.

So prüfen Sie die Anbieterkonfiguration:

  1. Wenn Sie die browserbasierte Anmeldung für die Workforce Identity-Föderation aktivieren möchten, fügen Sie https://auth.cloud.google/signin-callback/locations/global/workforcePools/POOL_ID/providers/PROVIDER_ID der Liste der zulässigen Weiterleitungs-URIs Ihres IdP hinzu.

  2. Rufen Sie in der Google Cloud Console die Seite Workforce Identity-Pools auf.

    Zu Workforce Identity-Pools
  3. Klicken Sie in der Liste der Pools auf den Namen des Pools, den Sie prüfen möchten.
  4. Klicken Sie auf der Seite Details zum Workforce-Pool auf den Namen des IdP, den Sie prüfen möchten.
  5. Klicken Sie auf der Seite Anbieterdetails auf IdP-Token debuggen.
  6. Melden Sie sich im Dialogfeld Anmelden als Testnutzer bei Ihrem IdP an.

Auf der Seite Anbieterattribute validieren werden die zugeordneten Attribute und das Ergebnis Ihrer Attributbedingung angezeigt.

Im Bereich Zugeordnete Attribute aus Ihrem IdP-Token sehen Sie, wie Google-Attribute wie google.subject basierend auf Ihrer Zuordnungskonfiguration aus dem Token Ihres Identitätsanbieters (IdP) übernommen werden. Wenn eine Zuordnung falsch ist, wird ein Fehlersymbol angezeigt.

Im Bereich Attributbedingung wird das boolesche Ergebnis Ihrer Bedingung angezeigt. Wenn die Bedingung false ergibt, wird die Anmeldung blockiert.

Wenn Sie das vollständige Assertion-Token ansehen möchten, klicken Sie auf Vollständiges Token ansehen. Hier wird das JSON-Rohobjekt von Ihrem IdP angezeigt. Verweisen Sie in Ihren Zuordnungen im Format assertion.PROPERTY_NAME auf ein Attribut auf oberster Ebene.

Anbieterkonfiguration bearbeiten

So beheben Sie Fehler:

  1. Klicken Sie auf der Seite Anbieterattribute validieren auf Bearbeiten.
  2. Nehmen Sie die gewünschten Änderungen vor.
  3. Wenn Sie einen neuen Test starten und die aktualisierten Ergebnisse sehen möchten, klicken Sie auf Speichern und Token noch einmal abrufen.

Zugriff auf Ressourcen von Google Cloud verwalten

Dieser Abschnitt enthält ein Beispiel für die Verwaltung des Zugriffs aufGoogle Cloud -Ressourcen durch Nutzer der Workforce Identity-Föderation.

In diesem Beispiel weisen Sie in einem Beispielprojekt eine IAM-Rolle (Identity and Access Management) zu. Nutzer können sich dann anmelden und über dieses Projekt aufGoogle Cloud -Produkte zugreifen.

Sie können IAM-Rollen für einzelne Identitäten, Identitätsgruppen oder gesamte Pools verwalten. Weitere Informationen finden Sie unter Hauptkonto-IDs für Zulassungsrichtlinien.

Für eine Identität

Führen Sie den folgenden Befehl aus, um einer einzelnen Identität für das Projekt TEST_PROJECT_ID die Rolle "Storage-Administrator" (roles/storage.admin) zuzuweisen:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/SUBJECT_VALUE"

Ersetzen Sie Folgendes:

  • TEST_PROJECT_ID: ID des Projekts.
  • WORKFORCE_POOL_ID: die ID des Workforce Identity-Pools
  • SUBJECT_VALUE: die Nutzeridentität

Zugeordnetes Abteilungsattribut verwenden

Führen Sie folgenden Befehl aus, um allen Identitäten innerhalb einer bestimmten Abteilung für das Projekt TEST_PROJECT_ID die Rolle „Storage-Admin“ (roles/storage.admin) zuzuweisen:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.department/DEPARTMENT_VALUE"

Ersetzen Sie Folgendes:

  • TEST_PROJECT_ID: ID des Projekts.
  • WORKFORCE_POOL_ID: die ID des Workforce Identity-Pools
  • DEPARTMENT_VALUE: der zugeordnete Wert attribute.department

Zugeordnete Gruppen verwenden

Führen Sie folgenden Befehl aus, um allen Identitäten innerhalb einer bestimmten Gruppe für das Projekt TEST_PROJECT_ID die Rolle "Storage-Admin" (roles/storage.admin) zuzuweisen:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

Ersetzen Sie Folgendes:

  • TEST_PROJECT_ID: ID des Projekts.
  • WORKFORCE_POOL_ID: die ID des Workforce Identity-Pools
  • GROUP_ID: eine Gruppe im zugeordneten google.groups-Anspruch.

Anmelden und Zugriff testen

In diesem Abschnitt melden Sie sich als Workforce Identity-Pool-Nutzer an und testen, ob Sie Zugriff auf ein Google Cloud -Produkt haben.

Anmelden

In diesem Abschnitt erfahren Sie, wie Sie sich als föderierter Nutzer anmelden und aufGoogle Cloud -Ressourcen zugreifen.

Browserbasierte Anmeldung bei der gcloud CLI

So melden Sie sich mit einem browserbasierten Anmeldevorgang in der gcloud CLI an:

Konfigurationsdatei erstellen

Führen Sie den folgenden Befehl aus, um eine Konfigurationsdatei für die Anmeldung zu erstellen:

Linux und macOS

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

Windows (PowerShell)

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

Ersetzen Sie Folgendes:

  • WORKFORCE_POOL_ID: Die ID des Workforce Identity-Föderationspools.
  • WORKFORCE_PROVIDER_ID: Die ID des Anbieters der Mitarbeiteridentitätsföderation.
  • LOGIN_CONFIG_PATH: Der Pfad, in den die Konfigurationsdatei für die Anmeldung geschrieben werden soll. Beispiel: login-config.json.

Die Konfigurationsdatei für die Anmeldung enthält die Endpunkte, die von der gcloud CLI verwendet werden, um den browserbasierten Authentifizierungsvorgang zu aktivieren und die Zielgruppe auf den IdP festzulegen, der im Anbieter des Workforce Identity-Pools konfiguriert wurde. Die Datei enthält keine vertraulichen Informationen.

Der Inhalt der Konfigurationsdatei für die Anmeldung sieht in etwa so aus:

{
  "universe_domain": "googleapis.com",
  "universe_cloud_web_domain": "cloud.google",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.google/authorize",
  "token_url": "https://sts.googleapis.com/v1/oauthtoken",
  "token_info_url": "https://sts.googleapis.com/v1/introspect"
}

Mit der browserbasierten Authentifizierung anmelden

Verweisen Sie mit einer Umgebungsvariable oder einem Attribut in der aktiven gcloud CLI-Konfiguration auf die Konfigurationsdatei für die Anmeldung oder verwenden Sie sie direkt mit dem Befehl gcloud auth login:

Umgebungsvariable

So verwenden Sie die Konfigurationsdatei für die Anmeldung mit einer Umgebungsvariable:

  1. Legen Sie die Umgebungsvariable CLOUDSDK_AUTH_LOGIN_CONFIG_FILE auf den Pfad der Konfigurationsdatei für die Anmeldung fest.

  2. Führen Sie dazu diesen Befehl aus:

    gcloud auth login
  3. Die gcloud CLI verweist auf die Umgebungsvariable, um die Anmeldekonfigurationsdatei zu finden, und startet dann den Authentifizierungsprozess. Folgen Sie dem browserbasierten Ablauf, um die gcloud CLI zu authentifizieren und zu autorisieren, damit sie bei zukünftigen Befehlen in Ihrem Namen auf Ressourcen zugreifen kann.

Wenn Sie die Konfigurationsdatei für die Anmeldung nicht mehr für gcloud auth login-Befehle verwenden möchten, löschen Sie die Umgebungsvariable CLOUDSDK_AUTH_LOGIN_CONFIG_FILE.

gcloud CLI-Konfiguration

So verwenden Sie die Konfigurationsdatei für die Anmeldung mit einem Konfigurationsattribut der gcloud CLI:

  1. Legen Sie das Attribut auth/login_config_file der aktiven gcloud CLI-Konfiguration mit dem folgenden Befehl auf den Pfad der Anmeldekonfigurationsdatei fest: 

    gcloud config set auth/login_config_file LOGIN_CONFIG_PATH

  2. Führen Sie dazu diesen Befehl aus:

    gcloud auth login
  3. Die gcloud CLI verweist auf das Konfigurationsattribut, um die Konfigurationsdatei für die Anmeldung zu finden, und startet dann den Authentifizierungsprozess. Folgen Sie dem browserbasierten Ablauf, um die gcloud CLI zu authentifizieren und zu autorisieren, in Ihrem Namen auf Ressourcen zuzugreifen.

Wenn Sie die Konfigurationsdatei für die Anmeldung nicht mehr für gcloud auth login-Befehle verwenden möchten, heben Sie die Einstellung der Property mit dem folgenden Befehl auf: 

gcloud config unset auth/login_config_file

gcloud auth login

Wenn Sie die Konfigurationsdatei für die Anmeldung direkt mit dem Befehl gcloud auth login verwenden möchten, folgen Sie dieser Anleitung:

  • Wenn Sie das Flag --activate beim Erstellen der Konfigurationsdatei für die Anmeldung verwendet haben, führen Sie den folgenden Befehl aus: 

    gcloud auth login

  • Wenn Sie das Flag --activate beim Erstellen der Konfigurationsdatei für die Anmeldung nicht verwendet haben, führen Sie den folgenden Befehl aus:

    Linux und macOS

    gcloud auth login \
    --login-config=LOGIN_CONFIG_PATH

    Windows (PowerShell)

    gcloud auth login `
    --login-config=LOGIN_CONFIG_PATH

    Ersetzen Sie LOGIN_CONFIG_PATH durch den Pfad Ihrer Anmeldekonfigurationsdatei.

Mit dem Befehl gcloud auth login werden Zugriffsanmeldedaten in Ihrem Basisverzeichnis gespeichert. Das authentifizierte Hauptkonto wird zum aktiven Hauptkonto in Ihrer aktiven gcloud CLI-Konfiguration. Sofern nicht überschrieben, verwendet die gcloud CLI diese gespeicherten Anmeldedaten, um auf Google Cloudzuzugreifen.

Monitorlose Anmeldung bei der gcloud CLI

So melden Sie sich mit einem monitorlosen Ablauf in der gcloud CLI an:

OIDC

  1. Melden Sie einen Nutzer in Ihrer Okta-Anwendung an und rufen Sie das OIDC-Token von Okta ab.

  2. Speichern Sie das von Okta zurückgegebene OIDC-Token an einem sicheren Ort auf Ihrem lokalen Computer.

  3. Führen Sie den folgenden Befehl aus, um eine Konfigurationsdatei wie im Beispiel weiter unten in diesem Schritt zu generieren:

    gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --subject-token-type="urn:ietf:params:oauth:token-type:id_token" \
    --credential-source-file="PATH_TO_OIDC_ID_TOKEN" \
    --workforce-pool-user-project="WORKFORCE_POOL_USER_PROJECT" \
    --output-file="config.json"

Ersetzen Sie Folgendes:

  • WORKFORCE_POOL_ID: die ID des Workforce Identity-Pools
  • WORKFORCE_PROVIDER_ID: die Anbieter-ID
  • PATH_TO_OIDC_TOKEN: der Pfad zur OIDC-IdP-Anmeldedatendatei
  • WORKFORCE_POOL_USER_PROJECT: die Projektnummer, die dem Nutzerprojekt für Workforce-Pools zugeordnet ist

Das Hauptkonto muss die Berechtigung serviceusage.services.use für dieses Projekt haben.

Wenn Sie den Befehl ausführen, wird eine OIDC-IdP-Konfigurationsdatei erstellt, die in etwa so formatiert ist:

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "subject_token_type": "urn:ietf:params:oauth:token-type:id_token",
  "token_url": "https://sts.googleapis.com/v1/token",
  "workforce_pool_user_project": "WORKFORCE_POOL_USER_PROJECT",
  "credential_source": {
    "file": "PATH_TO_OIDC_CREDENTIALS_FILE"
  }
}

SAML

  1. Melden Sie einen Nutzer bei Ihrer Okta-Anwendung an und rufen Sie die SAML-Antwort von Okta ab.

  2. Speichern Sie die von Okta zurückgegebene SAML-Antwort an einem sicheren Ort auf Ihrem lokalen Computer und speichern Sie den Pfad dann und zwar so:

    SAML_ASSERTION_PATH=SAML_ASSERTION_PATH

  3. Führen Sie folgenden Befehl aus, um eine Konfigurationsdatei zu generieren:

    gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --subject-token-type="urn:ietf:params:oauth:token-type:saml2" \
    --credential-source-file="SAML_ASSERTION_PATH"  \
    --workforce-pool-user-project="PROJECT_ID"  \
    --output-file="config.json"

    Ersetzen Sie Folgendes:

    • WORKFORCE_PROVIDER_ID: die ID des Workforce-Anbieters, den Sie zuvor in dieser Anleitung erstellt haben.
    • WORKFORCE_POOL_ID: die ID des Workforce Identity-Pools, die Sie zuvor in dieser Anleitung erstellt haben.
    • SAML_ASSERTION_PATH: der Pfad der SAML-Assertion-Datei.
    • PROJECT_ID: die Projekt-ID

    Die generierte Konfigurationsdatei sieht in etwa so aus:

    {
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "subject_token_type": "urn:ietf:params:oauth:token-type:saml2",
  "token_url": "https://sts.googleapis.com/v1/token",
  "credential_source": {
    "file": "SAML_ASSERTION_PATH"
  },
  "workforce_pool_user_project": "PROJECT_ID"
}

Führen Sie den folgenden Befehl aus, um sich mit Token-Austausch in gcloud anzumelden:

gcloud auth login --cred-file="config.json"

gcloud tauscht dann Ihre Okta-Anmeldedaten transparent gegen temporäreGoogle Cloud -Zugriffstokens aus, sodass Sie andere gcloud-Aufrufe an Google Cloudsenden können.

Die Ausgabe sollte in etwa so aussehen:

Authenticated with external account user credentials for:
[principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/USER_ID].

Führen Sie folgenden Befehl aus, um die Konten mit Anmeldedaten und das aktuell aktive Konto aufzulisten:

gcloud auth list

(Föderierte) Anmeldung bei der Console

So melden Sie sich in der Google Cloud Console für die Mitarbeiteridentitätsföderation an, die auch als Console (föderiert) bezeichnet wird:

  1. Rufen Sie die (föderierte) Anmeldeseite der Konsole auf.

    Zur Konsole (föderiert)

  2. Geben Sie den Namen des Anbieters ein. Er muss so formatiert sein: 
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

    1. Geben Sie bei Aufforderung die Anmeldedaten der Okta App-Einbindung ein.

    Wenn Sie eine IdP-initiierte Anmeldung starten, verwenden Sie die folgende URL in den SAML-Einstellungen für den verschachtelten Standard-RelayState-Parameter: https://console.cloud.google/.

Zugriff testen

Sie haben jetzt Zugriff auf Google Cloud -Dienste, die die Workforce Identity-Föderation unterstützen und auf die Sie Zugriff erhalten haben. Sie haben zuvor in diesem Leitfaden allen Identitäten innerhalb einer bestimmten Abteilung für das Projekt TEST_PROJECT_ID die Rolle „Storage-Admin“ (roles/storage.admin) zugewiesen. Sie können jetzt testen, ob Sie Zugriff haben. Dazu listen Sie Cloud Storage-Buckets auf.

gcloud-CLI

Führen Sie folgenden Befehl aus, um Cloud Storage-Buckets und -Objekte für das Projekt aufzulisten, auf das Sie Zugriff haben:

gcloud storage ls --project="TEST_PROJECT_ID"

Das Hauptkonto muss die Berechtigung serviceusage.services.use für das angegebene Projekt haben.

Konsole (föderiert)

So listen Sie Cloud Storage-Buckets über die Konsole (föderiert) auf:

  • Rufen Sie die Cloud Storage-Seite auf.
  • Prüfen Sie, ob Sie die Liste der vorhandenen Buckets für den TEST_PROJECT_ID sehen

Nutzer löschen

Die Mitarbeiteridentitätsföderation erstellt Nutzermetadaten und -ressourcen für föderierte Nutzeridentitäten. Wenn Sie Nutzer in Ihrem IdP löschen, müssen Sie diese Ressourcen auch explizit in Google Cloudlöschen. Weitere Informationen finden Sie unter Nutzer und Daten der Mitarbeiteridentitätsföderation löschen.

Wenn Sie die aktiven Sitzungen eines Nutzers sofort beenden möchten, können Sie seine Sitzungen widerrufen. Weitere Informationen finden Sie unter Nutzersitzungen der Workforce Identity-Föderation widerrufen.

Es kann sein, dass Ressourcen weiterhin einem gelöschten Nutzer zugeordnet sind. Das liegt daran, dass zum Löschen von Nutzermetadaten und ‑ressourcen ein Vorgang mit langer Ausführungszeit erforderlich ist. Nachdem Sie das Löschen der Identität eines Nutzers eingeleitet haben, können Prozesse, die der Nutzer vor dem Löschen gestartet hat, bis zum Abschluss oder bis zur Abbrechen fortgesetzt werden.

Nächste Schritte