Identitätsföderation von Arbeitslasten konfigurieren

Mit der Workforce Identity-Föderation können Ihre Mitarbeiter einen externen Identitätsanbieter (Identity Provider, IdP) verwenden, um auf Dienste und Ressourcen von Google Cloud zuzugreifen. Sie können die Föderation mit jedem IdP konfigurieren, der OpenID Connect (OIDC) oder Security Assertion Markup Language (SAML) 2.0 unterstützt.

Anbieterspezifische Anleitungen finden Sie unter Microsoft Entra ID-basierte Mitarbeiteridentitätsföderation konfigurieren oder Okta-basierte Mitarbeiteridentitätsföderation konfigurieren.

Hinweis

1. Sie benötigen eine Organisation von Google Cloud .

2. Installieren Sie die Google Cloud CLI und melden Sie sich dann mit Ihrer föderierten Identität in der gcloud CLI an. Nach der Anmeldung initialisieren Sie die Google Cloud CLI mit dem folgenden Befehl:

   gcloud init

   Hinweis: Wenn Sie die gcloud CLI zuvor installiert haben, prüfen Sie, ob Sie die aktuelle Version haben, indem Sie gcloud components update ausführen.

3. Aktivieren Sie die Identity and Access Management (IAM) API und die Resource Manager API, falls sie noch nicht aktiviert sind.

   Rollen, die zum Aktivieren von APIs erforderlich sind

   Zum Aktivieren von APIs benötigen Sie die Berechtigung serviceusage.services.enable. Wenn Sie das Projekt erstellt haben, haben Sie diese Berechtigung wahrscheinlich bereits über die Inhaberrolle (roles/owner). Andernfalls können Sie diese Berechtigung über die Rolle „Service Usage-Administrator“ (roles/serviceusage.serviceUsageAdmin) erhalten. Informationen zum Zuweisen von Rollen

   APIs aktivieren

4. Für die Anmeldung muss Ihr IdP signierte Authentifizierungsinformationen bereitstellen: OIDC-IdPs müssen ein JWT bereitstellen und SAML-IdP-Antworten müssen signiert sein.
5. Wenn Sie wichtige Informationen zu Änderungen an Ihrer Organisation oder IhrenGoogle Cloud -Produkten erhalten möchten, müssen Sie Wichtige Kontakte angeben. Weitere Informationen finden Sie unter Workforce Identity Federation – Übersicht.

Kosten

Die Mitarbeiteridentitätsföderation ist als kostenlose Funktion verfügbar. Für das detaillierte Audit-Logging der Workforce Identity-Föderation wird jedoch Cloud Logging verwendet. Informationen zu den Preisen für Logging finden Sie unter Google Cloud Observability – Preise.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle Workforce Identity Pool Admin (roles/iam.workforcePoolAdmin) für die Organisation zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Konfigurieren der Mitarbeiteridentitätsföderation benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Alternativ enthält die einfache Rolle "Inhaber" (roles/owner) auch Berechtigungen zum Konfigurieren der Mitarbeiteridentitätsföderation. In einer Produktionsumgebung sollten Sie keine einfachen Rollen zuweisen, Sie können sie aber in einer Entwicklungs- oder Testumgebung gewähren.

Identitätsföderation von Arbeitslasten konfigurieren

Zum Konfigurieren der Mitarbeiteridentitätsföderation erstellen Sie einen Workforce Identity-Pool und einen Workforce Identity-Pool-Anbieter.

Workforce Identity-Pool erstellen

Führen Sie folgenden Befehl aus, um den Pool zu erstellen:

gcloud

Führen Sie folgenden Befehl aus, um den Workforce Identity-Pool zu erstellen:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Ersetzen Sie Folgendes:

• WORKFORCE_POOL_ID: Eine ID, die Sie ausgewählt haben, um den Google Cloud -Workforce-Pool darzustellen. Die Pool-ID muss für alle Workforce Identity-Pools in Google Cloudglobal eindeutig sein. Informationen zum Formatieren der ID finden Sie in der API-Dokumentation im Abschnitt Abfrageparameter.
• ORGANIZATION_ID: die numerische Organisations-ID Ihrer Google Cloud -Organisation für den Workforce Identity-Pool. Workforce Identity-Pools sind für alle Projekte und Ordner in der Organisation verfügbar.
• DISPLAY_NAME: Optional. Ein Anzeigename für Ihren Workforce Identity-Pool.
• DESCRIPTION: Optional. Beschreibung des Workforce Identity-Pools.
• SESSION_DURATION: Optional. Die Sitzungsdauer, ausgedrückt als Zahl mit dem Suffix s, z. B. 3600s. Die Sitzungsdauer bestimmt, wie lange die Google Cloud -Zugriffstokens, die Console-Anmeldesitzungen (föderiert) und die gcloud CLI-Anmeldungssitzungen aus diesem Workforce-Pool gültig sind. Die Sitzungsdauer beträgt standardmäßig eine Stunde (3.600 s). Der Wert für die Sitzungsdauer muss zwischen 15 Minuten (900 s) und 12 Stunden (43.200 s) liegen.

Tipp: Führen Sie gcloud iam workforce-pools create --help aus, um andere Parameter zu finden, die Sie für diesen Befehl anpassen können.

Console

So erstellen Sie den Workforce Identity-Pool:

1. Rufen Sie in der Google Cloud Console die Seite Workforce Identity-Pools auf:

   Zu Workforce Identity-Pools

2. Wählen Sie die Organisation für Ihren Workforce Identity-Pool aus. Workforce Identity-Pools sind in allen Projekten und Ordnern einer Organisation verfügbar.

3. Klicken Sie auf Pool erstellen und gehen Sie so vor:

   1. Geben Sie im Feld Name den Anzeigenamen des Pools ein. Die Pool-ID wird während der Eingabe automatisch aus dem Namen abgeleitet und unter dem Feld Name angezeigt. Sie können die Pool-ID aktualisieren, indem Sie neben der Pool-ID auf Bearbeiten klicken.

   2. Optional: Geben Sie unter Beschreibung eine Beschreibung des Pools ein.

   3. Klicken Sie zum Erstellen des Workforce Identity-Pools auf Weiter.

Die Sitzungsdauer des Workforce Identity-Pools beträgt standardmäßig eine Stunde (3.600 s). Die Sitzungsdauer bestimmt, wie lange die Google Cloud -Zugriffstokens, die Console (föderiert) und die gcloud CLI-Anmeldesitzungen aus diesem Workforce-Pool gültig sind. Nachdem Sie den Pool erstellt haben, können Sie den Pool aktualisieren, um eine benutzerdefinierte Sitzungsdauer festzulegen. Die Sitzungsdauer muss zwischen 15 Minuten (900 Sek.) und 12 Stunden (43.200 Sek.) liegen.

Workforce Identity-Anbieter erstellen

In diesem Abschnitt wird beschrieben, wie Sie einen Anbieter von Workforce Identity-Pools erstellen, um Ihren IdP-Nutzern den Zugriff auf Google Cloudzu ermöglichen. Sie können den Anbieter so konfigurieren, dass er entweder das OIDC- oder das SAML-Protokoll verwendet.

OIDC-Workforce-Pool-Anbieter erstellen

So erstellen Sie einen Workforce Identity-Anbieter mit dem OIDC-Protokoll:

1. Registrieren Sie bei Ihrem OIDC-IdP eine neue Anwendung für die Google Cloud-Mitarbeiteridentitätsföderation. Notieren Sie sich die vom IdP bereitgestellte Client-ID und den Aussteller-URI. Sie werden in diesem Dokument verwendet.

2. Wenn Sie den Nutzerzugriff auf die Console einrichten möchten, fügen Sie Ihrem OIDC-IdP die folgende Weiterleitungs-URL hinzu:

   https://auth./signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

   Ersetzen Sie Folgendes:

   • WORKFORCE_POOL_ID: die ID des Workforce Identity-Pools

   • WORKFORCE_PROVIDER_ID: die ID des Anbieters des Workforce Identity-Pools, den Sie später in diesem Dokument erstellen.

   Informationen zum Konfigurieren der Anmeldung in der Console (föderiert) finden Sie unter Nutzerzugriff auf die Console (föderiert) einrichten.

3. So erstellen Sie den Anbieter in Google Cloud:

   gcloud

   Codeablauf

   Führen Sie den folgenden Befehl aus, um einen OIDC-Anbieter zu erstellen, der den Autorisierungscode-Ablauf für die Webanmeldung verwendet:

   gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
       --workforce-pool=WORKFORCE_POOL_ID \
       --display-name="DISPLAY_NAME" \
       --description="DESCRIPTION" \
       --issuer-uri="ISSUER_URI" \
       --client-id="OIDC_CLIENT_ID" \
       --client-secret-value="OIDC_CLIENT_SECRET" \
       --web-sso-response-type="code" \
       --web-sso-assertion-claims-behavior="merge-user-info-over-id-token-claims" \
       --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --jwk-json-path="JWK_JSON_PATH" \
       --detailed-audit-logging \
       --location=global
   

   Ersetzen Sie Folgendes:

   • WORKFORCE_PROVIDER_ID: Eine eindeutige Anbieter-ID für den Workforce Identity-Pool. Das Präfix gcp- ist reserviert und kann nicht in einem Workforce Identity-Pool oder einer Workforce Identity-Pool-Anbieter-ID verwendet werden.
   • WORKFORCE_POOL_ID: die ID des Workforce Identity-Pools, mit dem Ihr IdP verbunden werden soll
   • DISPLAY_NAME: ein optionaler nutzerfreundlicher Anzeigename für den Anbieter; Beispiel: idp-eu-employees
   • DESCRIPTION: eine optionale Beschreibung des Mitarbeiter-Anbieters. Beispiel: IdP for Partner Example Organization employees
   • ISSUER_URI: der OIDC-Aussteller-URI in einem gültigen URI-Format, das mit https beginnt. Beispiel: https://example.com/oidc. Hinweis: Aus Sicherheitsgründen muss ISSUER_URI das HTTPS-Schema verwenden.
   • OIDC_CLIENT_ID: die OIDC-Client-ID, die bei Ihrem OIDC-IdP registriert ist. Die ID muss mit der aud-Anforderung des JWT übereinstimmen, die von Ihrem IdP ausgestellt wird.
   • OIDC_CLIENT_SECRET: der OIDC-Clientschlüssel
   • WEB_SSO_ADDITIONAL_SCOPES: optionale zusätzliche Bereiche, die an den OIDC-IdP für die Console (föderiert) oder die browserbasierte Anmeldung mit der gcloud CLI gesendet werden
   • ATTRIBUTE_MAPPING: Eine Attributzuordnung. Hier ein Beispiel für eine Attributzuordnung:

     google.subject=assertion.oid
     google.groups=assertion.groups,
     attribute.costcenter=assertion.costcenter

     In diesem Beispiel werden die IdP-Attribute assertion.oid, assertion.groups und assertion.costcenter in der OIDC-Assertion den Google Cloud -Attributen google.subject, google.groups bzw. attribute.costcenter zugeordnet.
   • ATTRIBUTE_CONDITION: eine Attributbedingung; Beispiel: assertion.role == 'gcp-users' Durch diese Beispielbedingung wird gewährleistet, dass sich nur Nutzer mit der Rolle gcp-users über diesen Anbieter anmelden können.
     Warnung: Wenn Ihr mandantenfähiger IdP einen einzelnen Aussteller-URI hat, müssen Sie Attributbedingungen verwenden, um sicherzustellen, dass der Zugriff auf den richtigen Mandanten beschränkt ist. Weitere Informationen finden Sie unter Attributbedingungen bei der Föderation mit GitHub oder anderen mandantenfähigen Identitätsanbietern verwenden.
   • JWK_JSON_PATH: Ein optionaler Pfad zu einem lokal hochgeladenen OIDC-JWKs. Wenn dieser Parameter nicht angegeben ist, verwendet Google Cloud stattdessen den Pfad /.well-known/openid-configuration Ihres IdP, um den JWKS mit den öffentlichen Schlüsseln zu ermitteln. Weitere Informationen zu lokal hochgeladenen OIDC-JWKs finden Sie unter OIDC-JWKs verwalten.
     Hinweis: Lokale OIDC-JWKs können über den impliziten Ablauf oder den Codeablauf hochgeladen werden, können aber nur im programmatischen Ablauf verwendet werden. Dabei rufen Sie den STS-Endpunkt /token direkt mit einem Berechtigungsnachweis des Drittanbieter-IdP auf, um ihn gegen ein Google Cloud -Zugriffstoken für Ihren Workforce-Pool einzutauschen. Sie können keine lokalen OIDC-JWKs verwenden, wenn Sie sich in der Console (föderiert) anmelden.

   • Mit dem detaillierten Audit-Logging der Workforce Identity-Föderation werden Informationen, die von Ihrem IdP empfangen werden, in Logging protokolliert. Mit dem detaillierten Audit-Logging können Sie Probleme mit der Konfiguration Ihres Workforce Identity-Poolanbieters beheben. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detailliertem Audit-Logging finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Preisen für Logging finden Sie unter Google Cloud Observability-Preise.

     Wenn Sie das detaillierte Audit-Logging für einen Workforce Identity-Pool-Anbieter deaktivieren möchten, lassen Sie das Flag --detailed-audit-logging weg, wenn Sie gcloud iam workforce-pools providers create ausführen. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

   Das Flag --web-sso-assertion-claims-behavior steuert, wie OIDC-Anforderungen in das assertion-Objekt aufgenommen werden, das für Attributzuordnungen und Attributbedingungen verwendet wird. Für den Autorisierungscode-Vorgang (--web-sso-response-type="code") können Sie dieses Flag auf einen der folgenden Werte festlegen:

   • merge-user-info-over-id-token-claims: Führt Anforderungen vom OIDC-UserInfo-Endpunkt mit Anforderungen aus dem ID-Token zusammen. Wenn beide denselben Anforderungsnamen enthalten, hat der Anforderungswert UserInfo Vorrang. Verwenden Sie diesen Wert, wenn Ihr IdP zusätzliche Nutzerattribute oder Gruppenansprüche vom UserInfo-Endpunkt zurückgibt.
   • only-id-token-claims: Enthält nur Anforderungen aus dem ID-Token. Verwenden Sie diesen Wert, wenn alle für Ihre Attributzuordnungen und Bedingungen erforderlichen Anforderungen bereits im ID-Token vorhanden sind.

   In der Befehlsantwort ist POOL_RESOURCE_NAME der Name des Pools, z. B. locations/global/workforcePools/enterprise-example-organization-employees.

   Impliziter Ablauf

   Führen Sie den folgenden Befehl aus, um einen OIDC-Anbieter zu erstellen, der den impliziten Ablauf für die Webanmeldung verwendet:

   gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
       --workforce-pool=WORKFORCE_POOL_ID \
       --display-name="DISPLAY_NAME" \
       --description="DESCRIPTION" \
       --issuer-uri="ISSUER_URI" \
       --client-id="OIDC_CLIENT_ID" \
       --web-sso-response-type="id-token" \
       --web-sso-assertion-claims-behavior="only-id-token-claims" \
       --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --jwk-json-path="JWK_JSON_PATH" \
       --detailed-audit-logging \
       --location=global
   

   Ersetzen Sie Folgendes:

   • WORKFORCE_PROVIDER_ID: Eine eindeutige Anbieter-ID für den Workforce Identity-Pool. Das Präfix gcp- ist reserviert und kann nicht in einem Workforce Identity-Pool oder einer Workforce Identity-Pool-Anbieter-ID verwendet werden.
   • WORKFORCE_POOL_ID: die ID des Workforce Identity-Pools, mit dem Ihr IdP verbunden werden soll
   • DISPLAY_NAME: ein optionaler nutzerfreundlicher Anzeigename für den Anbieter; Beispiel: idp-eu-employees
   • DESCRIPTION: eine optionale Beschreibung des Mitarbeiter-Anbieters. Beispiel: IdP for Partner Example Organization employees
   • ISSUER_URI: der OIDC-Aussteller-URI in einem gültigen URI-Format, das mit https beginnt. Beispiel: https://example.com/oidc. Hinweis: Aus Sicherheitsgründen muss ISSUER_URI das HTTPS-Schema verwenden.
   • OIDC_CLIENT_ID: die OIDC-Client-ID, die bei Ihrem OIDC-IdP registriert ist. Die ID muss mit der aud-Anforderung des JWT übereinstimmen, die von Ihrem IdP ausgestellt wird.
   • WEB_SSO_ADDITIONAL_SCOPES: optionale zusätzliche Bereiche, die an den OIDC-IdP für die Console (föderiert) oder die browserbasierte Anmeldung mit der gcloud CLI gesendet werden
   • ATTRIBUTE_MAPPING: Eine Attributzuordnung. Hier ein Beispiel für eine Attributzuordnung:

     google.subject=assertion.oid
     google.groups=assertion.groups,
     attribute.costcenter=assertion.costcenter

     In diesem Beispiel werden die IdP-Attribute assertion.oid, assertion.groups und assertion.costcenter in der OIDC-Assertion den Google Cloud -Attributen google.subject, google.groups bzw. attribute.costcenter zugeordnet.
   • ATTRIBUTE_CONDITION: eine Attributbedingung; Beispiel: assertion.role == 'gcp-users' Durch diese Beispielbedingung wird gewährleistet, dass sich nur Nutzer mit der Rolle gcp-users über diesen Anbieter anmelden können.
     Warnung: Wenn Ihr mandantenfähiger IdP einen einzelnen Aussteller-URI hat, müssen Sie Attributbedingungen verwenden, um sicherzustellen, dass der Zugriff auf den richtigen Mandanten beschränkt ist. Weitere Informationen finden Sie unter Attributbedingungen bei der Föderation mit GitHub oder anderen mandantenfähigen Identitätsanbietern verwenden.
   • JWK_JSON_PATH: Ein optionaler Pfad zu einem lokal hochgeladenen OIDC-JWKs. Wenn dieser Parameter nicht angegeben ist, verwendet Google Cloud stattdessen den Pfad /.well-known/openid-configuration Ihres IdP, um den JWKS mit den öffentlichen Schlüsseln zu ermitteln. Weitere Informationen zu lokal hochgeladenen OIDC-JWKs finden Sie unter OIDC-JWKs verwalten.
     Hinweis: Lokale OIDC-JWKs können über den impliziten Ablauf oder den Codeablauf hochgeladen werden, können aber nur im programmatischen Ablauf verwendet werden. Dabei rufen Sie den STS-Endpunkt /token direkt mit einem Berechtigungsnachweis des Drittanbieter-IdP auf, um ihn gegen ein Google Cloud -Zugriffstoken für Ihren Workforce-Pool einzutauschen. Sie können keine lokalen OIDC-JWKs verwenden, wenn Sie sich in der Console (föderiert) anmelden.

   • Mit dem detaillierten Audit-Logging der Workforce Identity-Föderation werden Informationen, die von Ihrem IdP empfangen werden, in Logging protokolliert. Mit dem detaillierten Audit-Logging können Sie Probleme mit der Konfiguration Ihres Workforce Identity-Poolanbieters beheben. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detailliertem Audit-Logging finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Preisen für Logging finden Sie unter Google Cloud Observability-Preise.

     Wenn Sie das detaillierte Audit-Logging für einen Workforce Identity-Pool-Anbieter deaktivieren möchten, lassen Sie das Flag --detailed-audit-logging weg, wenn Sie gcloud iam workforce-pools providers create ausführen. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

   Für den impliziten Ablauf (--web-sso-response-type="id-token") müssen Sie das Flag --web-sso-assertion-claims-behavior auf only-id-token-claims setzen. Dadurch werden nur Anforderungen aus dem ID-Token in das assertion-Objekt aufgenommen. Der implizite Ablauf unterstützt den Wert merge-user-info-over-id-token-claims nicht.

   In der Befehlsantwort ist POOL_RESOURCE_NAME der Name des Pools, z. B. locations/global/workforcePools/enterprise-example-organization-employees.

   Das Präfix gcp- ist reserviert und kann nicht in einem Workforce Identity-Pool oder einer Workforce Identity-Pool-Anbieter-ID verwendet werden.

   Für die OIDC-Föderation können Sie assertion.NAME verwenden: ein String, der dem Wert der gleichnamigen Anforderung in der ID-Token-Nutzlast entspricht.

   Console

   Codeablauf

   So erstellen Sie in der Google Cloud Console einen OIDC-Anbieter, der den Autorisierungscode-Ablauf verwendet:

   1. Rufen Sie in der Google Cloud Console die Seite Workforce Identity-Pools auf:

      Zu Workforce Identity-Pools

   2. Wählen Sie in der Tabelle Workforce Identity-Pools den Pool aus, für den Sie den Anbieter erstellen möchten.
   3. Klicken Sie im Bereich Anbieter auf Anbieter hinzufügen.
   4. Wählen Sie in der Liste Anbieter auswählen Ihren IdP aus.

      Wenn Ihr IdP nicht aufgeführt ist, wählen Sie Generischer Identitätsanbieter aus.

   5. Wählen Sie unter Authentifizierungsprotokoll auswählen die Option OpenID Connect (OIDC) aus.
   6. Führen Sie im Abschnitt Anbieter erstellen die folgenden Schritte aus:
      1. Geben Sie unter Name den Namen des Anbieters ein.
      2. Geben Sie unter Beschreibung eine Beschreibung für den Anbieter ein.
      3. Geben Sie unter Aussteller (URL) den URI des Ausstellers ein. Der OIDC-Aussteller-URI muss ein gültiges URI-Format haben und mit https beginnen. Beispiel: https://example.com/oidc
      4. Geben Sie unter Client-ID die OIDC-Client-ID ein, die bei Ihrem OIDC-IdP registriert ist. Die ID muss mit der aud-Anforderung des JWT übereinstimmen, die von Ihrem IdP ausgestellt wird.
      5. Wenn Sie einen aktivierten Anbieter erstellen möchten, muss die Option Anbieter aktivieren aktiviert sein.
      6. Klicken Sie auf Weiter.
   7. Kopieren Sie im Abschnitt Anbieterinformationen mit IdP teilen die URL. Konfigurieren Sie diese URL in Ihrem IdP als Weiterleitungs-URI, damit Ihr IdP weiß, wohin das Assertion-Token nach der Anmeldung gesendet werden soll.
   8. Klicken Sie auf Weiter.
   9. Führen Sie im Abschnitt OIDC-Webanmeldung konfigurieren die folgenden Schritte aus:
      1. Wählen Sie in der Liste Flusstyp die Option Code aus.
      2. Wählen Sie in der Liste Verhalten bei Assertion-Anforderungen eine der folgenden Optionen aus:
         • Nutzerinformationen und ID-Token: Zusammenführung von Anforderungen vom UserInfo-Endpunkt mit Anforderungen aus dem ID-Token, wobei UserInfo-Anforderungswerte für denselben Anforderungsnamen bevorzugt werden. Wählen Sie diese Option aus, wenn Ihr IdP zusätzliche Nutzerattribute oder Gruppenanforderungen vom UserInfo-Endpunkt zurückgibt.
         • Nur ID-Token: Enthält nur Anforderungen aus dem ID-Token. Wählen Sie diese Option aus, wenn alle für Ihre Attributzuordnungen und Bedingungen erforderlichen Anforderungen bereits im ID-Token vorhanden sind.
      3. Geben Sie im Feld Clientschlüssel den Clientschlüssel von Ihrem IdP ein.
      4. Optional: Wenn Sie Okta als IdP ausgewählt haben, fügen Sie im Feld Zusätzliche Bereiche über OpenID, Profil und E‑Mail hinaus zusätzliche OIDC-Bereiche hinzu.
   10. Klicken Sie auf Weiter.
   11. Klicken Sie im Abschnitt Anbieter konfigurieren unter Detailliertes Logging auf den Schalter Audit-Logging für Attributwerte aktivieren.

       Mit dem detaillierten Audit-Logging der Workforce Identity-Föderation werden Informationen, die von Ihrem IdP empfangen werden, in Logging protokolliert. Mit dem detaillierten Audit-Logging können Sie Probleme mit der Konfiguration Ihres Workforce Identity-Poolanbieters beheben. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detailliertem Audit-Logging finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Preisen für Logging finden Sie unter Google Cloud Observability-Preise.

       Wenn Sie das detaillierte Audit-Logging für einen Anbieter von Workforce Identity-Pools deaktivieren möchten, lassen Sie die Option Audit-Logging für Attributwerte aktivieren beim Erstellen des Anbieters deaktiviert. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

   12. Klicken Sie auf Senden, um den Anbieter zu erstellen.

   Nachdem der Anbieter erstellt wurde, werden Sie zur Seite mit den Anbieterattributen weitergeleitet.

   So konfigurieren Sie Attributzuordnungen und -bedingungen:

   1. Melden Sie sich nach Aufforderung bei Ihrem externen IdP an, um die Standardattributzuordnungen zu validieren.
   2. Auf der Seite mit den Anbieterattributen können Sie die Attributzuordnungen und ‑bedingungen ansehen und bearbeiten:
      1. So fügen Sie Attributzuordnungen hinzu oder bearbeiten sie:
         1. Klicken Sie auf Zuordnung hinzufügen, um eine neue Zuordnung hinzuzufügen, oder bearbeiten Sie die vorhandenen Zuordnungen.
         2. Wählen Sie im Feld Google n, wobei n eine Zahl ist, einen von Google Cloudunterstützten Schlüssel aus.
         3. Geben Sie im entsprechenden Feld OIDC n den IdP-Attributnamen oder einen CEL-Ausdruck ein.
      2. So fügen Sie eine Attributbedingung hinzu:
         Warnung: Wenn Ihr mandantenfähiger IdP einen einzelnen Aussteller-URI hat, müssen Sie Attributbedingungen verwenden, um sicherzustellen, dass der Zugriff auf den richtigen Mandanten beschränkt ist. Weitere Informationen finden Sie unter Attributbedingungen bei der Föderation mit GitHub oder anderen mandantenfähigen Identitätsanbietern verwenden.
         1. Klicken Sie auf Bedingung hinzufügen.
         2. Geben Sie im Feld Attributbedingungen eine Bedingung im CEL-Format ein, z. B. assertion.role == 'gcp-users'. Durch diese Beispielbedingung wird gewährleistet, dass sich nur Nutzer mit der Rolle gcp-users über diesen Anbieter anmelden können.
   3. Klicken Sie auf Speichern und Token neu abrufen, um die Zuordnungen zu validieren.
   4. Klicken Sie auf Speichern und beenden, um die Einrichtung abzuschließen.

   Impliziter Ablauf

   So erstellen Sie in der Google Cloud Console einen OIDC-Anbieter, der den impliziten Ablauf verwendet:

   1. Rufen Sie in der Google Cloud Console die Seite Workforce Identity-Pools auf:

      Zu Workforce Identity-Pools

   2. Wählen Sie in der Tabelle Workforce Identity-Pools den Pool aus, für den Sie den Anbieter erstellen möchten.
   3. Klicken Sie im Bereich Anbieter auf Anbieter hinzufügen.
   4. Wählen Sie in der Liste Anbieter auswählen Ihren IdP aus.

      Wenn Ihr IdP nicht aufgeführt ist, wählen Sie Generischer Identitätsanbieter aus.

   5. Wählen Sie unter Authentifizierungsprotokoll auswählen die Option OpenID Connect (OIDC) aus.
   6. Führen Sie im Abschnitt Anbieter erstellen die folgenden Schritte aus:
      1. Geben Sie unter Name den Namen des Anbieters ein.
      2. Geben Sie unter Beschreibung eine Beschreibung für den Anbieter ein.
      3. Geben Sie unter Aussteller (URL) den URI des Ausstellers ein. Der OIDC-Aussteller-URI muss ein gültiges URI-Format haben und mit https beginnen. Beispiel: https://example.com/oidc
      4. Geben Sie unter Client-ID die OIDC-Client-ID ein, die bei Ihrem OIDC-IdP registriert ist. Die ID muss mit der aud-Anforderung des JWT übereinstimmen, die von Ihrem IdP ausgestellt wird.
      5. Wenn Sie einen aktivierten Anbieter erstellen möchten, muss die Option Anbieter aktivieren aktiviert sein.
      6. Klicken Sie auf Weiter.
   7. Kopieren Sie im Abschnitt Anbieterinformationen mit IdP teilen die URL. Konfigurieren Sie diese URL in Ihrem IdP als Weiterleitungs-URI, damit Ihr IdP weiß, wohin das Assertion-Token nach der Anmeldung gesendet werden soll.
   8. Klicken Sie auf Weiter.
   9. Führen Sie im Abschnitt OIDC-Webanmeldung konfigurieren die folgenden Schritte aus:
      1. Wählen Sie in der Liste Flow-Typ die Option ID-Token aus.
      2. In der Liste Verhalten bei Assertion-Anforderungen ist ID-Token ausgewählt.
      3. Optional: Wenn Sie Okta als IdP ausgewählt haben, fügen Sie im Feld Zusätzliche Bereiche über OpenID, Profil und E‑Mail hinaus zusätzliche OIDC-Bereiche hinzu.
   10. Klicken Sie auf Weiter.
   11. Klicken Sie im Bereich Anbieter konfigurieren unter Detailliertes Logging auf den Schalter Audit-Logging für Attributwerte aktivieren.

       Mit dem detaillierten Audit-Logging der Workforce Identity-Föderation werden Informationen, die von Ihrem IdP empfangen werden, in Logging protokolliert. Mit dem detaillierten Audit-Logging können Sie Probleme mit der Konfiguration Ihres Workforce Identity-Poolanbieters beheben. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detailliertem Audit-Logging finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Preisen für Logging finden Sie unter Google Cloud Observability-Preise.

       Wenn Sie das detaillierte Audit-Logging für einen Anbieter von Workforce Identity-Pools deaktivieren möchten, lassen Sie die Option Audit-Logging für Attributwerte aktivieren beim Erstellen des Anbieters deaktiviert. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

   12. Klicken Sie auf Senden, um den Anbieter zu erstellen.

   Nachdem der Anbieter erstellt wurde, werden Sie zur Seite mit den Anbieterattributen weitergeleitet.

   So konfigurieren Sie Attributzuordnungen und -bedingungen:

   1. Melden Sie sich nach Aufforderung bei Ihrem externen IdP an, um die Standardattributzuordnungen zu validieren.
   2. Auf der Seite mit den Anbieterattributen können Sie die Attributzuordnungen und ‑bedingungen ansehen und bearbeiten:
      1. So fügen Sie Attributzuordnungen hinzu oder bearbeiten sie:
         1. Klicken Sie auf Zuordnung hinzufügen, um eine neue Zuordnung hinzuzufügen, oder bearbeiten Sie die vorhandenen Zuordnungen.
         2. Wählen Sie im Feld Google n, wobei n eine Zahl ist, einen von Google Cloudunterstützten Schlüssel aus.
         3. Geben Sie im entsprechenden Feld OIDC n den IdP-Attributnamen oder einen CEL-Ausdruck ein.
      2. So fügen Sie eine Attributbedingung hinzu:
         Warnung: Wenn Ihr mandantenfähiger IdP einen einzelnen Aussteller-URI hat, müssen Sie Attributbedingungen verwenden, um sicherzustellen, dass der Zugriff auf den richtigen Mandanten beschränkt ist. Weitere Informationen finden Sie unter Attributbedingungen bei der Föderation mit GitHub oder anderen mandantenfähigen Identitätsanbietern verwenden.
         1. Klicken Sie auf Bedingung hinzufügen.
         2. Geben Sie im Feld Attributbedingungen eine Bedingung im CEL-Format ein, z. B. assertion.role == 'gcp-users'. Durch diese Beispielbedingung wird gewährleistet, dass sich nur Nutzer mit der Rolle gcp-users über diesen Anbieter anmelden können.
   3. Klicken Sie auf Speichern und Token neu abrufen, um die Zuordnungen zu validieren.
   4. Klicken Sie auf Speichern und beenden, um die Einrichtung abzuschließen.

SAML-Workforce-Pool-Anbieter erstellen

1. Registrieren Sie bei Ihrem SAML-IdP eine neue Anwendung für die Workforce Identity-Föderation von Google Cloud.

2. Legen Sie die Zielgruppe für SAML-Assertions fest. Dies ist normalerweise das Feld SP Entity ID in Ihrer IdP-Konfiguration. Legen Sie sie auf die folgende URL fest:

   https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

3. Legen Sie die Weiterleitungs-URL fest, die auch als Assertion Consumer Service-URL (ACS-URL) bezeichnet wird. Suchen Sie zum Festlegen der Weiterleitungs-URL das Feld für die Weiterleitungs-URL in Ihrem SAML-IdP und führen Sie einen der folgenden Schritte aus:

   • Wenn Sie die browserbasierte Anmeldung über die Google Cloud Console oder eine andere browserbasierte Anmeldemethode einrichten möchten, geben Sie die folgende URL ein:

     https://auth./signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
     

     Ersetzen Sie Folgendes:

     • WORKFORCE_POOL_ID: die ID des Workforce Identity-Pools

     • WORKFORCE_PROVIDER_ID: die ID des Anbieters des Workforce Identity-Pools, den Sie später in diesem Dokument erstellen.

   • Geben Sie die folgende URL ein, um die programmatische Anmeldung über Ihren IdP einzurichten:

     localhost
     

   Weitere Informationen zum Konfigurieren der Anmeldung in der Console finden Sie unter Nutzerzugriff auf die Console einrichten.

4. Erstellen Sie in Google Cloudeinen SAML-Mitarbeiteridentitätspoolanbieter mit dem SAML-Metadatendokument Ihres IdP. Sie können das SAML-Metadaten-XML-Dokument von Ihrem IdP herunterladen. Das Dokument muss mindestens Folgendes enthalten:

   • Eine SAML-Entitäts-ID für Ihren IdP
   • Die URL zur Einmalanmeldung (SSO) für Ihren IdP
   • Mindestens einen öffentlichen Signierschlüssel. Weitere Informationen zu Signierschlüsseln finden Sie weiter unten in dieser Anleitung unter Schlüsselanforderungen.

gcloud

So konfigurieren Sie den SAML-Anbieter mit der gcloud CLI:

  gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
      --workforce-pool=WORKFORCE_POOL_ID \
      --display-name="DISPLAY_NAME" \
      --description="DESCRIPTION" \
      --idp-metadata-path=METADATA_FILE_PATH \
      --attribute-mapping="ATTRIBUTE_MAPPING" \
      --attribute-condition="ATTRIBUTE_CONDITION" \
      --location=global

Ersetzen Sie Folgendes:

• WORKFORCE_PROVIDER_ID: Die ID des Anbieters des Workforce Identity-Pools.
• WORKFORCE_POOL_ID: Die ID des Workforce Identity-Pools.
• DISPLAY_NAME: der Anzeigename für den Anbiete; Beispiel: idp-eu-employees
• DESCRIPTION: die Beschreibung des Workforce Identity-Anbieters Beispiel: IdP for Partner Example Organization EU employees.
• METADATA_FILE_PATH: Der Pfad der SAML-Metadatendatei.

• ATTRIBUTE_MAPPING: die Attributzuordnung. Beispiel:

  google.subject=assertion.subject
  attribute.costcenter=assertion.attributes.costcenter[0]

  In diesem Beispiel wird das IdP-Attribut assertion.subject dem Attribut google.subject und das IdP-Attribut assertion.attributes.costcenter[0] dem Attribut attribute.costcenter zugeordnet.

• ATTRIBUTE_CONDITION: Eine Attributbedingung. Wenn Sie beispielsweise das Attribut ipaddr auf einen bestimmten IP-Bereich beschränken möchten, können Sie die Bedingung assertion.attributes.ipaddr.startsWith('98.11.12.') festlegen. Durch diese Beispielbedingung wird gewährleistet, dass sich nur Nutzer mit einer IP-Adresse, die mit 98.11.12. beginnt, über diesen Workforce-anbieter anmelden können.

Es kann einige Minuten dauern, bis der Anbieter Anfragen akzeptiert.

Für die SAML-Föderation können Sie die folgenden Schlüsselwörter in Attributzuordnungen und Bedingungen verwenden:

• assertion.subject: ein String, der dem Attribut NameID in der SAML-Assertion entspricht.
• assertion.attributes.NAME: eine Stringliste, die den Werten der gleichnamigen Attribute in der SAML-Assertion entspricht.

Optional: Verschlüsselte SAML-Assertions von Ihrem IdP akzeptieren

So ermöglichen Sie Ihrem SAML 2.0-IdP, verschlüsselte SAML-Assertions zu erstellen, die von der Workforce Identity-Föderation akzeptiert werden:

• Führen Sie in der Mitarbeiteridentitätsföderation folgende Schritte aus:
• Erstellen Sie ein asymmetrisches Schlüsselpaar für den Anbieter des Workforce Identity-Pools.
• Laden Sie eine Zertifikatsdatei herunter, die den öffentlichen Schlüssel enthält.
• Konfigurieren Sie Ihren SAML-IdP so, dass er den öffentlichen Schlüssel zum Verschlüsseln von SAML-Assertions verwendet.
• Gehen Sie bei Ihrem IdP so vor:
• Aktivieren Sie die Assertion-Verschlüsselung, auch als Tokenverschlüsselung bezeichnet.
• Laden Sie den öffentlichen Schlüssel hoch, den Sie in der Workforce Identity-Föderation erstellt haben.
• Prüfen Sie, ob Ihr IdP verschlüsselte SAML-Assertions erstellt.

Beachten Sie, dass die Workforce Identity-Föderation auch dann eine Klartext-Assertion verarbeiten kann, wenn SAML-Verschlüsselungsanbieterschlüssel konfiguriert sind.

SAML-Assertion-Verschlüsselungsschlüssel für die Workforce Identity-Föderation erstellen

In diesem Abschnitt wird beschrieben, wie Sie ein asymmetrisches Schlüsselpaar erstellen, mit dem die Workforce Identity-Föderation verschlüsselte SAML-Assertions akzeptieren kann.

Google Cloud verwendet den privaten Schlüssel zum Entschlüsseln der SAML-Assertions, die Ihr IdP ausgibt. Führen Sie den folgenden Befehl aus, um ein asymmetrisches Schlüsselpaar für die Verwendung mit der SAML-Verschlüsselung zu erstellen. Weitere Informationen finden Sie unter Unterstützte SAML-Verschlüsselungsalgorithmen.

gcloud iam workforce-pools providers keys create KEY_ID \
    --workforce-pool WORKFORCE_POOL_ID \
    --provider WORKFORCE_PROVIDER_ID \
    --location global \
    --use encryption \
    --spec KEY_SPECIFICATION

Ersetzen Sie Folgendes:

• KEY_ID: ein Schlüsselname Ihrer Wahl
• WORKFORCE_POOL_ID: die Pool-ID
• WORKFORCE_PROVIDER_ID: die ID des Anbieters des Mitarbeiteridentitätspools
• KEY_SPECIFICATION: die Schlüsselspezifikation, entweder rsa-2048, rsa-3072 oder rsa-4096

Führen Sie nach dem Erstellen des Schlüsselpaars den folgenden Befehl aus, um den öffentlichen Schlüssel in eine Zertifikatsdatei herunterzuladen. Nur die Workload Identity-Föderation hat Zugriff auf den privaten Schlüssel.

gcloud iam workforce-pools providers keys describe KEY_ID \
    --workforce-pool WORKFORCE_POOL_ID \
    --provider WORKFORCE_PROVIDER_ID \
    --location global \
    --format "value(keyData.key)" \
    > CERTIFICATE_PATH

Ersetzen Sie Folgendes:

• KEY_ID: der Schlüsselname
• WORKFORCE_POOL_ID: die Pool-ID
• WORKFORCE_PROVIDER_ID: die ID des Anbieters des Mitarbeiteridentitätspools
• CERTIFICATE_PATH: der Pfad, in den das Zertifikat geschrieben werden soll, z. B. saml-certificate.cer oder saml-certificate.pem

SAML 2.0-konformen IdP für die Ausgabe verschlüsselter SAML-Assertions konfigurieren

Konfigurieren Sie Ihren SAML-IdP so, dass er das im letzten Schritt heruntergeladene öffentliche Zertifikat zum Verschlüsseln der von ihm ausgegebenen SAML-Assertions verwendet. Wenden Sie sich an Ihr IdP-Team, um eine genaue Anleitung zu erhalten.

Nachdem Sie Ihren IdP so konfiguriert haben, dass SAML-Assertions verschlüsselt werden, sollten Sie prüfen, ob die generierten Assertions tatsächlich verschlüsselt sind. Die Workforce Identity-Föderation kann weiterhin Klartext-Assertions verarbeiten, auch wenn die SAML-Assertion-Verschlüsselung konfiguriert ist.

Verschlüsselungsschlüssel der Mitarbeiteridentitätsföderation löschen

Führen Sie den folgenden Befehl aus, um SAML-Verschlüsselungsschlüssel zu löschen:

  gcloud iam workforce-pools providers keys delete KEY_ID \
      --workforce-pool WORKFORCE_POOL_ID \
      --provider WORKFORCE_PROVIDER_ID \
      --location global

Ersetzen Sie Folgendes:

• KEY_ID: der Schlüsselname
• WORKFORCE_POOL_ID: die Pool-ID
• WORKFORCE_PROVIDER_ID: die ID des Anbieters des Mitarbeiteridentitätspools

Unterstützte SAML-Verschlüsselungsalgorithmen

Die Workforce Identity-Föderation unterstützt die folgenden Schlüsseltransportalgorithmen:

• http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p
• http://www.w3.org/2009/xmlenc11#rsa-oaep"
• http://www.w3.org/2001/04/xmlenc#rsa-1_5"

Die Workforce Identity-Föderation unterstützt die folgenden Blockverschlüsselungsalgorithmen:

• http://www.w3.org/2001/04/xmlenc#aes128-cbc
• http://www.w3.org/2001/04/xmlenc#aes192-cbc
• http://www.w3.org/2001/04/xmlenc#aes256-cbc
• http://www.w3.org/2009/xmlenc11#aes128-gcm
• http://www.w3.org/2009/xmlenc11#aes256-gcm

Anforderungen an den SAML-X.509-Signaturschlüssel

Die folgenden Schlüsselspezifikationen gelten für SAML-X.509-Signaturschlüssel:

• Ein öffentlicher RSA-Schlüssel, der in ein X.509 v3-Zertifikat eingebunden ist.

• Anforderungen an die Gültigkeit von Zertifikaten:

  • notBefore: ein Zeitstempel, der nicht mehr als sieben Tage in der Zukunft liegt.
  • notAfter: ein Zeitstempel, der nicht mehr als 25 Jahre in der Zukunft liegt.

• Empfohlene Algorithmen:

  • RSAwithSHA256 (unterstützte Schlüsselgrößen (Bit): 2.048, 3.072, 4.096)
  • ECDSAwithSHA256

Ein Workforce Identity-Poolanbieter kann zu einem bestimmten Zeitpunkt mit maximal drei Signaturschlüssel konfiguriert werden. Wenn mehrere Schlüssel vorhanden sind, iteriert Google Cloudsie durch und versucht, jeden nicht abgelaufenen Schlüssel zum Ausführen einer Anfrage zum Tokenaustausch zu verwenden.

Als Best Practice für die Sicherheit empfehlen wir dringend, nicht dasselbe Schlüsselpaar mit anderen Diensten wiederzuverwenden.

Schlüsselverwaltung

Wichtig: Wir empfehlen Ihnen, Ihre Schlüssel regelmäßig zu aktualisieren, damit der Zugriff Ihrer Mitarbeiter nicht wegen des Ablaufs Ihrer Schlüssel unterbrochen wird. Die öffentlichen Signierschlüssel, die zum Prüfen von SAML-Assertion-Signaturen verwendet werden, haben ein Ablaufdatum. Nach dem Ablaufdatum können die Schlüssel nicht mehr für den Tokenaustausch verwendet werden.

So aktualisieren Sie die Signierschlüssel Ihres IdP:

1. Erstellen Sie ein neues asymmetrisches Schlüsselpaar und konfigurieren Sie den SAML-Identitätsanbieter mit dem Schlüsselpaar. Sie markieren ihn zuerst als inaktiv, bevor Sie ihn in einem späteren Schritt aktivieren.

2. Laden Sie ein SAML-Metadaten-XML-Dokument von Ihrem IdP herunter.

3. Aktualisieren Sie die Ressource des Anbieters des Workload Identity-Pools mithilfe des SAML-Metadatendokuments. Wenn mehrere Schlüssel vorhanden sind, iteriert Google Cloud durch jeden nicht abgelaufenen Schlüssel und versucht, jeden zu verwenden, um eine Anfrage zum Tokenaustausch zu erfüllen.

   Führen Sie den folgenden Befehl aus, um den Anbieter des Workload Identity-Pools mit den SAML-Metadaten zu aktualisieren.

   gcloud iam workforce-pools providers update-saml WORKFORCE_PROVIDER_ID \
       --workforce-pool=WORKFORCE_POOL_ID \
       --idp-metadata-path=SAML_METADATA_FILE_PATH \
       --location=global
   

   Ersetzen Sie Folgendes:

   • WORKFORCE_PROVIDER_ID: die ID des Anbieters des Workforce Identity-Pools
   • WORKFORCE_POOL_ID: die ID des Workforce Identity-Pools
   • SAML_METADATA_FILE_PATH: der Pfad zur SAML-Metadatendatei

4. Warten Sie, bis der im vorherigen Schritt zurückgegebene Vorgang abgeschlossen ist (der Vorgang ist als abgeschlossen markiert) und aktivieren Sie dann in Ihrem SAML-IdP den neuen Signierschlüssel. Der alte Signierschlüssel wird als inaktiv markiert. Von Ihrem IdP ausgestellte Assertions werden mit dem neuen Schlüssel signiert.

Die folgenden Schritte sind optional. Wir empfehlen sie jedoch als Best Practice:

1. Löschen Sie den alten, jetzt inaktiven Signierschlüssel bei Ihrem IdP.
2. Laden Sie das SAML-Metadaten-XML-Dokument von Ihrem IdP herunter.

3. Aktualisieren Sie die Ressource des Anbieters des Workload Identity-Pools mithilfe des SAML-Metadatendokuments. Google Cloud lehnt Assertions ab, die mit dem abgelaufenen Signaturschlüssel signiert sind. Führen Sie den folgenden Befehl aus, um das Dokument zu aktualisieren:

   gcloud iam workforce-pools providers update-saml WORKFORCE_PROVIDER_ID \
       --workforce-pool=WORKFORCE_POOL_ID \
       --idp-metadata-path=SAML_METADATA_FILE_PATH \
       --location=global
   

   Ersetzen Sie Folgendes:

   • WORKFORCE_PROVIDER_ID: die ID des Anbieters des Workforce Identity-Pools
   • WORKFORCE_POOL_ID: die ID des Workforce Identity-Pools
   • SAML_METADATA_FILE_PATH: der Pfad der SAML-Metadaten

Einschränkung für das Löschen von Schlüsseln

Google Cloud lehnt Assertions ab, die mit einem gelöschten Schlüssel signiert sind.

Achtung: Das versehentliche Löschen eines noch verwendeten Schlüssels kann zu Ausfällen führen. Sie können eine Anbieterressource für den Mitarbeiteridentitätspool nur aktualisieren, wenn die SAML-Metadaten mindestens einen nicht abgelaufenen Signierschlüssel enthalten. Diese Einschränkung wird übersprungen, wenn alle vorhandenen Signierschlüssel abgelaufen sind.

Console

So konfigurieren Sie den SAML-Anbieter mit der Google Cloud Console:

1. Rufen Sie in der Google Cloud Console die Seite Workforce Identity-Pools auf:

   Zu Workforce Identity-Pools

2. Wählen Sie in der Tabelle Workforce Identity-Pools den Pool aus, für den Sie den Anbieter erstellen möchten.
3. Klicken Sie im Bereich Anbieter auf Anbieter hinzufügen.
4. Wählen Sie in der Liste Anbieter auswählen Ihren IdP aus.

   Wenn Ihr IdP nicht aufgeführt ist, wählen Sie Generischer Identitätsanbieter aus.

5. Wählen Sie unter Authentifizierungsprotokoll auswählen die Option SAML aus.
6. Führen Sie im Abschnitt Anbieter erstellen die folgenden Schritte aus:
   1. Geben Sie unter Name einen Namen für den Anbieter ein.
   2. Optional: Geben Sie unter Beschreibung eine Beschreibung für den Anbieter ein.
   3. Wählen Sie in der IdP-Metadatendatei (XML) die XML-Metadatendatei aus, die Sie zuvor in dieser Anleitung generiert haben.
   4. Wenn Sie einen aktivierten Anbieter erstellen möchten, muss die Option Anbieter aktivieren aktiviert sein.
   5. Klicken Sie auf Weiter.
7. Kopieren Sie im Abschnitt Anbieterinformationen freigeben die URLs. Konfigurieren Sie in Ihrem IdP die erste URL als Entitäts-ID, die Ihre Anwendung für den IdP identifiziert. Konfigurieren Sie die andere URL als Weiterleitungs-URI, die Ihrem IdP mitteilt, wohin das Assertion-Token nach der Anmeldung gesendet werden soll.
8. Klicken Sie auf Weiter.
9. Klicken Sie im Bereich Anbieter konfigurieren unter Detailliertes Logging auf den Schalter Audit-Logging für Attributwerte aktivieren.

   Mit dem detaillierten Audit-Logging der Workforce Identity-Föderation werden Informationen, die von Ihrem IdP empfangen werden, in Logging protokolliert. Mit dem detaillierten Audit-Logging können Sie Probleme mit der Konfiguration Ihres Workforce Identity-Poolanbieters beheben. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detailliertem Audit-Logging finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Preisen für Logging finden Sie unter Google Cloud Observability-Preise.

   Wenn Sie das detaillierte Audit-Logging für einen Anbieter von Workforce Identity-Pools deaktivieren möchten, lassen Sie die Option Audit-Logging für Attributwerte aktivieren beim Erstellen des Anbieters deaktiviert. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

10. Klicken Sie auf Senden, um den Anbieter zu erstellen.

Nachdem der Anbieter erstellt wurde, werden Sie zur Seite mit den Anbieterattributen weitergeleitet.

So konfigurieren Sie Attributzuordnungen und -bedingungen:

1. Melden Sie sich nach Aufforderung bei Ihrem externen IdP an, um die Standardattributzuordnungen zu validieren.
2. Auf der Seite mit den Anbieterattributen können Sie die Attributzuordnungen und ‑bedingungen ansehen und bearbeiten:
   1. So fügen Sie Attributzuordnungen hinzu oder bearbeiten sie:
      1. Klicken Sie auf Zuordnung hinzufügen, um eine neue Zuordnung hinzuzufügen, oder bearbeiten Sie die vorhandenen Zuordnungen.
      2. Wählen Sie im Feld Google n, wobei n eine Zahl ist, einen von Google Cloud unterstützten Schlüssel aus.
      3. Geben Sie im entsprechenden Feld SAML n den IdP-Attributnamen oder einen CEL-Ausdruck ein, z. B.:

         google.subject=assertion.subject
         attribute.costcenter=assertion.attributes.costcenter[0]

         In diesem Beispiel wird das IdP-Attribut assertion.subject dem Attribut google.subject und das IdP-Attribut assertion.attributes.costcenter[0] dem Attribut attribute.costcenter zugeordnet.
   2. So fügen Sie eine Attributbedingung hinzu:
      Warnung: Wenn Ihr mandantenfähiger IdP einen einzelnen Aussteller-URI hat, müssen Sie Attributbedingungen verwenden, um sicherzustellen, dass der Zugriff auf den richtigen Mandanten beschränkt ist. Weitere Informationen finden Sie unter Attributbedingungen bei der Föderation mit GitHub oder anderen mandantenfähigen Identitätsanbietern verwenden.
      1. Klicken Sie auf Bedingung hinzufügen.
      2. Geben Sie im Feld Attributbedingungen eine Bedingung im CEL-Format ein. Wenn Sie beispielsweise das Attribut ipaddr auf einen bestimmten IP-Bereich beschränken möchten, können Sie die Bedingung assertion.attributes.ipaddr.startsWith('98.11.12.') festlegen. Durch diese Beispielbedingung wird gewährleistet, dass sich nur Nutzer mit einer IP-Adresse, die mit 98.11.12. beginnt, über diesen Workforce-Anbieter anmelden können.
3. Klicken Sie auf Speichern und Token neu abrufen, um die Zuordnungen zu validieren.
4. Klicken Sie auf Speichern und beenden, um die Einrichtung abzuschließen.

Anbieterkonfiguration überprüfen

Bevor Sie den Anmeldevorgang für Endnutzer testen, können Sie prüfen, ob die Konfiguration Ihres Anbieters korrekt ist und ob Google Cloud Tokens mit Ihrem IdP austauschen kann.

Die Seite Anbieterattribute validieren in der Google Cloud Console enthält einen Attribut-Viewer, mit dem Sie Ihre Konfiguration interaktiv testen und CEL-Ausdrücke (Common Expression Language) debuggen können. Mit der Attributanzeige können Sie Folgendes tun:

• Sehen Sie sich die Rohattribute an, die in der IdP-Assertion gesendet wurden.
• Prüfen Sie, ob die Attributzuordnungen und -bedingungen diese Attribute korrekt transformieren.
• Komplexe CEL-Ausdrücke in Echtzeit debuggen.

So prüfen Sie die Anbieterkonfiguration:

1. Wenn Sie den browserbasierten Anmeldevorgang für die Workforce Identity-Föderation aktivieren möchten, fügen Sie https://auth./signin-callback/locations/global/workforcePools/POOL_ID/providers/PROVIDER_ID der Liste der zulässigen Weiterleitungs-URIs Ihres IdP hinzu.

2. Rufen Sie in der Google Cloud Console die Seite Workforce Identity-Pools auf.

   Zu Workforce Identity-Pools
3. Klicken Sie in der Liste der Pools auf den Namen des Pools, den Sie prüfen möchten.
4. Klicken Sie auf der Seite Details zum Workforce-Pool auf den Namen des IdP, den Sie prüfen möchten.
5. Klicken Sie auf der Seite Anbieterdetails auf IdP-Token debuggen.
6. Melden Sie sich im Dialogfeld Anmelden als Testnutzer bei Ihrem IdP an.

Auf der Seite Anbieterattribute validieren werden die zugeordneten Attribute und das Ergebnis Ihrer Attributbedingung angezeigt.

Im Abschnitt Zugeordnete Attribute aus Ihrem IdP-Token wird angezeigt, wie Google-Attribute wie google.subject basierend auf Ihrer Zuordnungskonfiguration aus dem Token Ihres IdP ausgefüllt werden. Wenn eine Zuordnung falsch ist, wird ein Fehlersymbol angezeigt.

Im Abschnitt Attributbedingung wird das boolesche Ergebnis Ihrer Bedingung angezeigt. Wenn die Bedingung false ergibt, wird die Anmeldung blockiert.

Wenn Sie das vollständige Assertion-Token ansehen möchten, klicken Sie auf Vollständiges Token ansehen. Hier wird das JSON-Rohobjekt von Ihrem IdP angezeigt. Verweisen Sie in Ihren Zuordnungen im Format assertion.PROPERTY_NAME auf ein Attribut auf oberster Ebene.

Anbieterkonfiguration bearbeiten

Sie können die Konfiguration bearbeiten, um Fehler zu korrigieren:

1. Klicken Sie auf der Seite Anbieterattribute validieren auf Bearbeiten.
2. Nehmen Sie die gewünschten Änderungen vor.
3. Wenn Sie einen neuen Test starten und die aktualisierten Ergebnisse sehen möchten, klicken Sie auf Speichern und Token noch einmal abrufen.

Mitarbeiter-Hauptkonto-IDs für Zulassungsrichtlinien

In der folgenden Tabelle sind die Hauptkonto-Kennungen aufgeführt, mit denen Sie einzelnen Nutzern und Nutzergruppen Rollen zuweisen können.

Identitäten	ID-Format
Einzelne Identität im Workforce Identity-Pool	principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE
Alle Mitarbeiteridentitäten in einer Gruppe	principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/group/GROUP_ID
Alle Mitarbeiteridentitäten mit einem bestimmten Attributwert	principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE
Alle Identitäten in einem Mitarbeiteridentitätspool	principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/*

Eine vollständige Liste der Hauptkonto-IDs finden Sie unter Hauptkonto-IDs.

Hauptkonten IAM-Rollen gewähren

Sie können Hauptkonten Rollen zuweisen, z. B. einzelne Identitäten, Gruppen von Identitäten oder einen gesamten Pool.

Führen Sie den folgenden Befehl aus, um einem Hauptkonto eine Rolle für ein Projekt zuzuweisen:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --role="ROLE" \
    --member="PRINCIPAL"

Ersetzen Sie Folgendes:

• PROJECT_ID: die Projekt-ID
• ROLE: die zu gewährende Rolle
• PRINCIPAL: das Hauptkonto; siehe Hauptkonto-IDs für die Mitarbeiteridentitätsföderation.

Im folgenden Beispiel weist der Befehl allen Identitäten innerhalb der Gruppe GROUP_ID die Rolle des Storage-Administrators (roles/storage.admin) zu:

gcloud projects add-iam-policy-binding my-project \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

Weitere Informationen zum Hauptkontoformat finden Sie unter Hauptkonto-IDs für die Mitarbeiteridentitätsföderation.

Nutzer löschen

Die Mitarbeiteridentitätsföderation erstellt Nutzermetadaten und -ressourcen für föderierte Nutzeridentitäten. Wenn Sie Nutzer in Ihrem IdP löschen, müssen Sie diese Ressourcen auch explizit in Google Cloudlöschen. Weitere Informationen finden Sie unter Nutzer und Daten der Mitarbeiteridentitätsföderation löschen.

Wenn Sie die aktiven Sitzungen eines Nutzers sofort beenden möchten, können Sie seine Sitzungen widerrufen. Weitere Informationen finden Sie unter Nutzersitzungen der Workforce Identity-Föderation widerrufen.

Möglicherweise werden Ressourcen weiterhin einem gelöschten Nutzer zugeordnet. Das liegt daran, dass das Löschen von Nutzermetadaten und ‑ressourcen einen Vorgang mit langer Ausführungszeit erfordert. Nachdem Sie die Löschung der Identität eines Nutzers initiiert haben, können Prozesse, die der Nutzer vor der Löschung initiiert hat, weiter ausgeführt werden, bis sie abgeschlossen oder abgebrochen werden.

Nächste Schritte

• Kurzlebige Anmeldedaten für die Identitätsföderation von Arbeitslasten abrufen
• Workforce Identity-Pool-Anbieter verwalten
• Nutzer von Identitätsföderation von Arbeitslasten und deren Daten löschen
• Nutzersitzungen der Mitarbeiteridentitätsföderation widerrufen
• Google Cloud -Produkte, die die Mitarbeiteridentitätsföderation unterstützen
• Nutzerzugriff auf die Console (föderiert) einrichten