יצירת מופע של Secure Source Manager לשימוש עם זהויות מאוחדות

במאמר הזה מוסבר איך ליצור מופע של Secure Source Manager שמשתמש באיחוד שירותי אימות הזהות של כוח עבודה עם ספק זהויות (IdP) חיצוני.

מידע נוסף על איחוד שירותי אימות הזהויות של כוח העבודה זמין במאמר איחוד שירותי אימות הזהויות של כוח העבודה.

מידע על מגבלות באיחוד שירותי אימות הזהות של כוח עבודה ב-Secure Source Manager זמין במאמר איחוד שירותי אימות הזהות: מוצרים ומגבלות.

‫Secure Source Manager הוא שירות של דייר יחיד. מומלץ שמופע יחיד של Secure Source Manager יכלול רק משתמשים מלקוח אחד שלGoogle Cloud , אלא אם כמה חברות שיש ביניהן קשר חוזי צריכות להשתמש במופע יחיד לצורך שיתוף פעולה.

אם אתם עובדים עם כמה חברות ורוצים לשתף איתן פעולה בקוד המקור, מומלץ ליצור מופע נפרד לכל חברה.

הערה: Secure Source Manager לא תומך בפרויקטים בהיקף דומיין.

לפני שמתחילים

נכנסים לחשבון Google.

אם עדיין אין חשבון, יוצרים חשבון חדש.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Enable the Secure Source Manager API.

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

Enable the API

התקינו את ה-CLI של Google Cloud.

הערה: אם התקנתם את ה-CLI של gcloud, השתמשו בפקודה gcloud components update כדי לבדוק אם הגרסה העדכנית מותקנת.

אם אתם משתמשים בספק זהויות חיצוני (IdP), קודם אתם צריכים להיכנס ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.

כדי לאתחל את ה-CLI של gcloud, הריצו את הפקודה הבאה:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Enable the Secure Source Manager API.

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

Enable the API

התקינו את ה-CLI של Google Cloud.

הערה: אם התקנתם את ה-CLI של gcloud, השתמשו בפקודה gcloud components update כדי לבדוק אם הגרסה העדכנית מותקנת.

אם אתם משתמשים בספק זהויות חיצוני (IdP), קודם אתם צריכים להיכנס ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.

כדי לאתחל את ה-CLI של gcloud, הריצו את הפקודה הבאה:

gcloud init

הצפנת נתונים

כברירת מחדל, Google Cloud הנתונים במנוחה מוצפנים אוטומטית באמצעותGoogle-owned and Google-managed encryption keys. אם יש לכם דרישות ספציפיות בנושא תאימות או רגולציה שקשורות למפתחות שמגנים על הנתונים שלכם, אתם יכולים ליצור מופעים של Secure Source Manager שמוצפנים באמצעות מפתחות הצפנה בניהול הלקוח (CMEK).

אל תשמרו מידע אישי רגיש במזהי מופעים או בצמדי מפתח/ערך של תוויות, כי הם לא מוצפנים באמצעות CMEK.

אם אתם יוצרים את המופע הראשון של Secure Source Manager בפרויקט, אתם צריכים ליצור באופן ידני את סוכן השירות של Secure Source Manager על ידי הרצת הפקודה הבאה:

gcloud beta services identity create \
    --service=securesourcemanager.googleapis.com \
    --project=PROJECT_ID

כאן, PROJECT_ID הוא מזהה הפרויקט שבו יוצרים את המופע של Secure Source Manager.

אחרי שיוצרים את חשבון השירות לכל מוצר ולכל פרויקט (P4SA), צריך להקצות את התפקיד 'סוכן שירות של Secure Source Manager' (roles/securesourcemanager.serviceAgent) למנהל הראשי [e-mail]אחרת, יצירת המופע תיכשל.

הגדרת איחוד שירותי אימות הזהויות של כוח העבודה

לפני שיוצרים מופע, צריך להגדיר מאגר וספק של איחוד שירותי אימות הזהות של כוח עבודה.

1. יוצרים מאגר של איחוד שירותי אימות הזהויות של כוח העבודה.

   הערה: משך הסשן במאגר הזהויות של כוח העבודה מוגדר כברירת מחדל לשעה אחת. מומלץ להגדיל את משך הזמן כדי למנוע ממשתמשים לבצע אימות מחדש שוב ושוב במהלך יום העבודה.

2. מגדירים את הספק של מאגר הזהויות של כוח העבודה עם מיפויי המאפיינים הבאים:

   • google.subject
   • google.email

יצירת מופע

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

• ‫INSTANCE_ID: השם של המכונה שרוצים ליצור.
• ‫LOCATION: האזור שבו רוצים ליצור את המכונה. מידע על המיקומים הנתמכים זמין במאמר מיקומים.
• ‫PROJECT_ID: מזהה הפרויקט שבו רוצים ליצור את המופע.

מריצים את הפקודה הבאה:

‫Linux,‏ macOS או Cloud Shell

הערה: חשוב לוודא שהפעלתם את Google Cloud CLI עם אימות ופרויקט באמצעות אחת מהפקודות הבאות: gcloud init; או gcloud auth login ו- gcloud config set project.

gcloud source-manager instances create INSTANCE_ID --region=LOCATION --project=PROJECT_ID --enable-workforce-identity-federation

‏Windows (PowerShell)

הערה: חשוב לוודא שהפעלתם את Google Cloud CLI עם אימות ופרויקט באמצעות אחת מהפקודות הבאות: gcloud init; או gcloud auth login ו- gcloud config set project.

gcloud source-manager instances create INSTANCE_ID --region=LOCATION --project=PROJECT_ID --enable-workforce-identity-federation

Windows‏ (cmd.exe)

הערה: חשוב לוודא שהפעלתם את Google Cloud CLI עם אימות ופרויקט באמצעות אחת מהפקודות הבאות: gcloud init; או gcloud auth login ו- gcloud config set project.

gcloud source-manager instances create INSTANCE_ID --region=LOCATION --project=PROJECT_ID --enable-workforce-identity-federation

מתחילה פעולה ממושכת של יצירת מכונה. הפלט אמור להיראות כך:

  Create request issued for [my-instance].
  done: false
  metadata:
    '@type': type.googleapis.com/google.cloud.securesourcemanager.v1.OperationMetadata
    apiVersion: v1
    createTime: '2023-02-27T20:57:52.315609549Z'
    requestedCancellation: false
    target: projects/my-project/locations/us-central1/instances/my-instance
    verb: create
  name: projects/my-project/locations/us-central1/operations/operation-1234567894561-5ec69948c0f2b-60dd727f-a9b97a2e

כאשר projects/my-project/locations/us-central1/operations/operation-1234567894561-5ec69948c0f2b-60dd727f-a9b97a2e הוא OPERATION_NAME.

חשוב לרשום את OPERATION_NAME כי תצטרכו להשתמש בו כדי לבדוק את סטטוס הפעולה.

יצירת המופע נמשכת עד 60 דקות.

API

לפני שמריצים את הפקודה הזו, מחליפים את הערכים הבאים:

• ‫INSTANCE_ID: השם של המופע שרוצים ליצור.
• ‫LOCATION: האזור שבו רוצים ליצור את המכונה. מידע על מיקומים נתמכים זמין במאמר מיקומים.
• ‫PROJECT_ID: מזהה הפרויקט שבו רוצים ליצור את המופע.

מריצים את הפקודה הבאה:

curl \
    -X POST -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    https://securesourcemanager.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/instances?instance_id=INSTANCE_ID \
    -H "Content-Type: application/json" \
    -d "{workforce_identity_federation_config: {enabled: true}}"

מתחילה פעולה ממושכת של יצירת מכונה. הפלט אמור להיראות כך:

{
"name": "OPERATION_NAME",
"metadata": {
  "@type": "type.googleapis.com/google.cloud.securesourcemanager.v1.OperationMetadata",
  "createTime": "2022-11-01T14:31:32.420469714Z",
  "target": "projects/PROJECT_ID/locations/LOCATION/instances/INSTANCE_ID",
  "verb": "create",
  "requestedCancellation": false,
  "apiVersion": "v1"
},
"done": false
}

פלט לדוגמה שכולל את הערכים הבאים:

• ‫OPERATION_NAME: שם הפעולה, לדוגמה, projects/my-project/locations/us-central1/operations/operation-1234567894561-5ec69948c0f2b-60dd727f-a9b97a2e.
• ‫PROJECT_ID: הפרויקט ב- Google Cloud .
• ‫LOCATION: האזור שבו נמצאת המכונה.

חשוב לרשום את OPERATION_NAME כי תצטרכו להשתמש בו כדי לבדוק את סטטוס הפעולה.

יצירת המופע נמשכת עד 60 דקות.

Terraform

בדוגמה הבאה נוצר מופע של Secure Source Manager עם איחוד שירותי אימות הזהות של כוח העבודה:

resource "google_secure_source_manager_instance" "instance" {
  instance_id = "INSTANCE_ID"
  location    = "LOCATION"
  project     = "PROJECT_ID"
  workforce_identity_federation_config {
    enabled = true
  }
}

בדיקת סטטוס הפעולה

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

• ‫OPERATION_NAME: שם הפעולה מהתגובה של פקודת היצירה.
• ‫LOCATION: האזור של המכונה.

מריצים את הפקודה הבאה:

‫Linux,‏ macOS או Cloud Shell

הערה: חשוב לוודא שהפעלתם את Google Cloud CLI עם אימות ופרויקט באמצעות אחת מהפקודות הבאות: gcloud init; או gcloud auth login ו- gcloud config set project.

gcloud source-manager operations describe OPERATION_NAME --region=LOCATION

‏Windows (PowerShell)

הערה: חשוב לוודא שהפעלתם את Google Cloud CLI עם אימות ופרויקט באמצעות אחת מהפקודות הבאות: gcloud init; או gcloud auth login ו- gcloud config set project.

gcloud source-manager operations describe OPERATION_NAME --region=LOCATION

Windows‏ (cmd.exe)

הערה: חשוב לוודא שהפעלתם את Google Cloud CLI עם אימות ופרויקט באמצעות אחת מהפקודות הבאות: gcloud init; או gcloud auth login ו- gcloud config set project.

gcloud source-manager operations describe OPERATION_NAME --region=LOCATION

כשהמופע יהיה מוכן, התגובה תיראה כך:

  "name": "projects/my-project/locations/us-central1/operations/operation-123456789012-5ec69948c0f2b-60dd727f-a9b97a2e",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.securesourcemanager.v1.OperationMetadata",
    "createTime": "2022-11-01T14:31:32.420469714Z",
    "endTime": "2022-11-01T14:48:34.140378114Z",
    "target": "projects/my-project/locations/us-central1/instances/my-instance",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v1"
  },
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.securesourcemanager.v1.Instance",
    "name": "projects/my-project/locations/us-central1/instances/my-instance",
    "createTime": "2022-11-01T14:31:32.416413630Z",
    "updateTime": "2022-11-01T14:31:32.416413630Z",
    "labels": {
      "ldap": "user",
      "source": "manual"
    },
    "state": "ACTIVE",
    "hostConfig": {
      "html": "my-instance-098765432109.us-central1.sourcemanager.dev",
      "api": "my-instance-098765432109-api.us-central1.sourcemanager.dev",
      "gitHttp": "my-instance-098765432109-git.us-central1.sourcemanager.dev"
    }
  }

כאשר my-instance-098765432109.us-central1.sourcemanager.dev היא כתובת ה-URL של ה-HTML של המופע.

יכול להיות שבדיקת הסטטוס תדווח על השלמה לפני שהמופע יהיה פעיל באופן מלא. אם נתקלתם בשגיאות בגישה למופע אחרי שהוא נוצר, המתינו 60 דקות ונסו שוב לפני שתפנו לקבלת עזרה דרך התמיכה של Secure Source Manager בכתובת [e-mail].

API

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

• ‫OPERATION_NAME: שם הפעולה מהתגובה של פקודת היצירה.

ה-method של ה-HTTP וכתובת ה-URL:

GET https://securesourcemanager.googleapis.com/v1/OPERATION_NAME

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

‫Curl (Linux,‏ macOS או Cloud Shell)

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login, או באמצעות Cloud Shell שמחבר אתכם אוטומטית ל-CLI של gcloud. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

מריצים את הפקודה הבאה:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securesourcemanager.googleapis.com/v1/OPERATION_NAME"

‎PowerShell (Windows)

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

מריצים את הפקודה הבאה:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securesourcemanager.googleapis.com/v1/OPERATION_NAME" | Select-Object -Expand Content

כשהמופע יהיה מוכן, התגובה תיראה כך:

  "name": "projects/my-project/locations/us-central1/operations/operation-123456789012-5ec69948c0f2b-60dd727f-a9b97a2e",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.securesourcemanager.v1.OperationMetadata",
    "createTime": "2024-10-28T15:37:39.009812863Z",
    "endTime": "2024-10-28T16:10:58.416640259Z",
    "target": "projects/my-project/locations/us-central1/instances/my-instance",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v1"
  },
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.securesourcemanager.v1.Instance",
    "name": "projects/my-project/locations/us-central1/instances/my-instance",
    "createTime": "2024-10-28T15:37:39.004550840Z",
    "updateTime": "2024-10-28T15:37:39.867857246Z",
    "state": "ACTIVE",
    "hostConfig": {
      "html": "my-instance-326202322590.us-central1.sourcemanager.dev",
      "api": "my-instance-326202322590-api.us-central1.sourcemanager.dev",
      "gitHttp": "my-instance-326202322590-git.us-central1.sourcemanager.dev",
      "gitSsh": "my-instance-326202322590-ssh.us-central1.sourcemanager.dev"
    },
    "workforceIdentityFederationConfig": {
      "enabled": true
    }
  }

כאשר my-instance-098765432109.us-central1.sourcemanager.dev היא כתובת ה-URL של ה-HTML של המופע.

יכול להיות שבדיקת הסטטוס תדווח על השלמה לפני שהמופע יהיה פעיל באופן מלא. אם נתקלתם בשגיאות בגישה למופע אחרי שהוא נוצר, המתינו 60 דקות ונסו שוב לפני שתפנו לקבלת עזרה דרך התמיכה של Secure Source Manager בכתובת [e-mail].

מעתיקים את כתובת ה-URL של ה-HTML מהתגובה של סטטוס הבדיקה המוצלחת. תצטרכו את כתובת ה-URL הזו כדי לגשת למופע דרך ממשק האינטרנט שלו.

גישה למופע

אחרי שיוצרים את המופע, אפשר לגשת אליו דרך ממשק האינטרנט שלו באמצעות דפדפן.

הערה: כדי ליצור מאגרי קוד במופע, צריך לקבל את התפקיד Repo Creator ‏(roles/securesourcemanager.repoCreator) בפרויקט של המופע ואת התפקיד Instance Repository Creator ‏(roles/securesourcemanager.instanceRepositoryCreator) במופע של Secure Source Manager.

1. כדי לגשת למופע של Secure Source Manager דרך ממשק האינטרנט שלו, מעתיקים את כתובת ה-URL הבאה לסרגל הכתובות בדפדפן.

   INSTANCE_ID-PROJECT_NUMBER.LOCATION.sourcemanager.dev

   מחליפים את מה שכתוב בשדות הבאים:

   • INSTANCE_ID בשם המכונה.
   • ‫PROJECT_NUMBER עם מספר הפרויקט של המופע Google Cloud. מידע על זיהוי פרויקטים זמין במאמר זיהוי פרויקטים.
   • ‫LOCATION עם האזור של המכונה.

   מופיע מסך OAuth שבו מתבקש שם הספק.

2. מזינים את השם של ספק הזהויות של כוח העבודה בפורמט הבא:

   locations/global/workforcePools/POOL_ID/providers/PROVIDER_ID
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫POOL_ID במזהה מאגר איחוד הזהויות של כוח העבודה.
   • ‫PROVIDER_ID עם מזהה הספק של איחוד שירותי אימות הזהות של כוח העבודה.

   מידע נוסף על מאגרי זהויות וספקים של איחוד שירותי אימות הזהות של כוח עבודה זמין במאמר ניהול של ספקים ומאגרי זהויות של כוח עבודה.

   תתבקשו להיכנס באמצעות פרטי הכניסה של הספק.

3. נכנסים באמצעות פרטי הכניסה של הספק.

4. ייפתח ממשק האינטרנט של Secure Source Manager. מכאן אפשר ליצור מאגרי מידע, בעיות ובקשות משיכה ולצפות בהם.

   אחרי שמשך הסשן במאגר איחוד שירותי אימות הזהות של כוח העבודה יפוג, תצטרכו להיכנס שוב דרך ממשק האינטרנט.

יצירת הגדרות התחברות ב-CLI של gcloud

כדי לבצע אימות באמצעות פרטי הכניסה של מאגר הזהויות של כוח העבודה למופע של Secure Source Manager באמצעות פקודות ה-CLI של gcloud או פקודות Git, צריך ליצור הגדרת כניסה עם מאגר הזהויות של כוח העבודה.

כדי ליצור הגדרת כניסה למאגר זהויות של כוח העבודה, פועלים לפי ההוראות במאמר קבלת אסימונים לטווח קצר לאיחוד שירותי אימות הזהות של כוח עבודה כדי ליצור כניסה מבוססת-דפדפן באמצעות ה-CLI של gcloud.

אחרי האימות, אפשר להשתמש בפקודות Git כדי ליצור אינטראקציה עם מופע Secure Source Manager. כדי להתחיל להשתמש ב-Git, אפשר לעיין במאמר שימוש ב-Git לניהול קוד מקור.

המאמרים הבאים

• הענקת גישה למופע למשתמשים.
• הענקת גישה למשתמשים למאגר.
• שליטה בגישה באמצעות IAM.