借助身份联合，您可以将 Google Cloud 连接到外部身份提供方 (IdP)，以便员工可以使用其现有凭据访问 Google Cloud 资源和其他 Google 服务。根据您的服务组合、数据驻留要求和 Gemini Enterprise 集成，您可以从以下四种架构中进行选择：Cloud Identity 或 Google Workspace 联合、无同步员工身份联合、使用 SCIM 的员工身份联合或混合 Cloud Identity 和员工身份联合。
决策因素
如需选择适合贵组织的架构模式，请考虑多种因素，包括：
- 服务组合：您的 Google 服务组合，以及其中是否包含 Google Workspace 和Google Cloud以外的服务，例如 Google Ads、Google 地图或 Chrome 企业版。
- 数据驻留：您的数据驻留和主权要求。
- Gemini Enterprise 与 Microsoft 365 集成：您对 Gemini Enterprise 或 Gemini Notebook Enterprise 的使用情况，以及您是否计划将 Gemini Enterprise 与 Microsoft 365 服务集成。
服务产品组合
Google 服务以不同的方式管理身份验证和授权。这会影响您配置身份联合的方式。有两个因素决定了这些差异：服务模型（SaaS 与 PaaS 和 IaaS）和授权模型（IAM 与服务专用）。
服务模式
- 软件即服务 (SaaS)：Google 全面管理 Gmail、Google Ads 或 Gemini Enterprise 应用等全托管式服务。这些服务无需开发，开箱即用。由于 SaaS 服务面向大量受众群体，因此大多数用户可能都需要访问这些服务。
- 平台即服务 (PaaS) 或基础架构即服务 (IaaS)：大多数Google Cloud 服务都是 PaaS 或 IaaS。这些服务可让技术用户开发、部署和运行自定义工作负载。由于这些服务面向技术受众群体，因此只有部分用户需要访问权限。
授权模型
Google 服务通过以下两种方式之一实现授权：
- IAM：大多数 Google Cloud 服务都使用 IAM，以便管理员管理对资源的精细访问权限。
- 特定于服务的授权：Google Ads、Looker 或 Google Workspace 等服务不使用 IAM。而是由管理员使用每项服务专用的工具来管理访问权限。
这些因素会产生以下服务组：
| SaaS | PaaS 或 IaaS | |
|---|---|---|
| 基于 IAM 的授权 | Google Cloud SaaS 服务，例如 Gemini Enterprise 应用和 Gemini Notebook Enterprise | Google Cloud PaaS 和 IaaS 服务，例如 BigQuery 或 Compute Engine |
| 特定于服务的授权 | 非云 Google 服务，例如 Google Ads、Google Workspace 和 Google 地图 | 无 |
如需选择适合贵组织的架构模式，请考虑哪些服务组适用于贵组织。
数据驻留
为了对用户进行身份验证和管理会话，Cloud Identity、Google Workspace 和员工身份联合会处理个人用户信息。这些用户信息可能包括：
- 用户名或邮箱
- 用户属性，例如名字和姓氏
- 群组名称和成员资格
Cloud Identity、Google Workspace 和员工身份联合会根据服务数据条款处理这些数据，并可能将其存储在贵组织或用户所在位置之外：
- Cloud Identity 和 Google Workspace 会将服务数据存储在 Google 数据中心，并可能会在所有数据中心之间复制这些数据。存储的数据可能包含对身份验证而言并非必需的信息，例如部门名称、地址或手机号码。
- 员工身份联合会将服务数据存储在 Google Cloud区域中，并可能会在所有区域中复制这些数据。
如果您向用户授予对资源的访问权限，IAM 会将其主账号标识符存储在角色绑定中。 Google Cloud 会根据服务数据的条款处理角色绑定，并可能将其存储在所有 Google Cloud 区域中。
本页面中介绍的架构模式需要存储用户信息，但它们在存储用户信息的时间长短方面有所不同：
- 不使用 SCIM 的员工身份联合仅在用户会话过期之前存储用户信息。
- Workforce Identity Federation with SCIM 会存储用户信息，直到您删除用户账号或删除租户，以及保留期限结束。
- Cloud Identity 和 Google Workspace 会存储用户信息，直到您删除用户账号且保留期限结束。
许多 IdP 允许您在 IdP 中的相应用户账号状态发生变化时自动暂停或删除用户账号。根据您的 IdP 及其配置，IdP 可能会延迟删除用户账号，直到经过一定的宽限期，这可能会延长 Google Cloud存储该用户信息的时间。
Gemini Enterprise 与 Microsoft 365 集成
Gemini Enterprise 允许您使用以下两种类型的连接器连接到 Microsoft 365 服务：
- 基于数据注入的连接器：这些连接器会抓取 Microsoft 365，以便在 Google Cloud中构建搜索索引。当用户提交提示时，Gemini Enterprise 会使用此索引搜索内容，并通过评估从 Microsoft 365 获取的访问控制列表 (ACL) 在本地执行访问权限检查。
- 联合连接器：这些连接器会针对每个提示查询 Microsoft 365。它们使用委托授权，让 Microsoft 365 直接执行访问权限检查。
基于数据注入的连接器对用户联合提出了特定要求：
- 群组成员资格感知：Microsoft 365 ACL 可以包含群组和用户的条目。为了评估用户是否可以访问内容，连接器必须考虑用户所属的所有群组。如果连接器仅知道用户群组的子集，则可能会错误地允许或拒绝访问。
- 标识符转换：为了评估 ACL，连接器必须在 Microsoft 365 使用的用户和群组标识符与 Google Cloud使用的标识符之间进行转换。
如果您使用员工身份联合，只要您将属性映射配置为与 Gemini Enterprise 兼容，Gemini Enterprise 就能可靠地转换标识符并评估 ACL。
使用 Cloud Identity 或 Google Workspace 联合时，Microsoft Entra ID 会控制用户和群组预配的属性映射，而不是 Google Cloud。Entra 决定了用户和群组标识符的转换规则，其中可能涉及复杂的转换。为了评估 ACL，Gemini Enterprise 连接器必须应用相同的转换规则，但该连接器无法查看 Entra 配置。因此，当您使用 Cloud Identity 联合或 Google Workspace 联合时，Gemini Enterprise 无法可靠地转换用户和群组标识符，也无法可靠地评估 ACL。
如需确定哪种架构模式适合您的组织，请考虑您对 Gemini Enterprise 的使用情况，以及您是否计划使用基于数据注入的连接器。
架构模式
以下流程图展示了这些因素如何决定哪种模式符合贵组织的要求：
贵组织中是否有很大一部分人使用 Google Workspace？
- 如果是，请使用 Cloud Identity 或 Google Workspace 联合模式。
- 如果否，请继续执行决策 2。
您是否使用 Google Cloud 以外的服务，例如 Google Ads 或 Google 地图？
- 如果答案为是，请继续回答决策 3。
- 如果否，请继续执行决策 4。
您是否计划使用 Gemini Enterprise 并将其与 Microsoft 365 集成？
- 如果是，请使用混合 Cloud Identity 和员工身份联合模式。
- 如果否，则使用 Cloud Identity 或 Google Workspace 联合模式。
您是否计划使用 Gemini Enterprise？
- 如果是，请使用员工身份联合与 SCIM 模式。
- 如果否，请继续执行决策 5。
您是否有数据驻留要求，需要尽可能减少用户信息存储？
- 如果是，请使用员工身份联合、无同步模式。
- 如果否，则使用 Cloud Identity 或 Google Workspace 联合模式。
Cloud Identity 或 Google Workspace 联合
如果您的组织符合以下任一条件，请选择此模式：
- 贵组织中已有很大一部分人员在使用 Google Workspace。
- 您使用 Google Cloud 以外的 Google 服务，例如 Google Ads 或 Google 地图，但不打算使用基于数据注入的连接器将 Gemini Enterprise 与 Microsoft 365 集成。
- 您仅使用 Google Cloud 服务，不打算使用 Gemini Enterprise，并且没有严格的数据驻留要求来最大限度地减少用户数据存储。
在此模式中，您不使用员工身份联合。相反，您需要将 Cloud Identity 账号或 Google Workspace 账号与 IdP 联合，并使用提前用户预配和群组预配。
在此模式下，您必须先预配用户和群组，然后用户才能登录；否则，用户的登录尝试会失败：
- 用户预配：有助于确保及时为用户配置和取消配置。
- 群组配置：让您可以使用群组来管理对 Google 服务和 Google Cloud 资源的访问权限。
如果贵组织中只有一部分用户需要 Google Workspace，请同时为您的账号添加 Google Workspace 订阅和 Cloud Identity 订阅，并仅向需要 Google Workspace 的用户分配 Google Workspace 许可。
优势
- 用户可以向 Google 服务进行身份验证，无论这些服务是否使用 IAM。在 Cloud Identity 账号或 Google Workspace 账号中，控制允许用户使用哪些 Google 服务。
- 您可以将单点登录 (SSO) 和提前预配限制为一部分用户，并继续直接在 Cloud Identity 或 Google Workspace 中管理特定用户（例如紧急访问用户）。
- 您可以从外部 IdP 预配群组，在 Cloud Identity 账号或 Google Workspace 账号中本地管理群组，或将这两种方法结合使用。
限制
- 提前预配用户账号会增加开销，并且预配可能会减慢初始配置过程。
您无法控制或限制 Cloud Identity 或 Google Workspace 用于存储用户数据和群组数据的位置。由于 Google 会根据服务数据条款处理和存储用户数据和群组数据，因此数据区域控制不涵盖这些数据，并且 Google 可能会在 Google 数据中心位置之间复制这些数据。
如果您使用 Cloud Identity 联合或 Google Workspace 联合，Gemini Enterprise 对连接到 Microsoft 数据源的支持有限。
员工身份联合（无同步）
如果您的组织符合以下条件，请选择此模式：
- 您仅使用 Google Cloud 服务。
- 您使用 Gemini Enterprise，但希望保持在 IdP 施加的群组限制内。
- 您有数据驻留要求，需要尽量减少存储用户个人信息。
在此模式中，您可以使用员工身份联合将Google Cloud 组织与外部 IdP 联合。
此模式不需要用户配置或群组配置。每次用户登录时，IdP 都会将有关用户的必需信息（包括群组成员资格和自定义属性）传递给 Google Cloud，而 Google Cloud 仅在用户会话期间保留这些信息。
优势
- 您无需在Google Cloud中存储或管理用户账号或群组。
- 该模式可让您使用基于数据注入的连接器将 Gemini Enterprise 与 Microsoft 365 集成。
限制
- 员工身份联合是一项 IAM 功能，仅允许用户访问使用 IAM 的服务。使用员工身份联合进行身份验证的用户无法访问 Google Ads、Looker 或 Google Marketing Platform 等 Google 服务。
- 使用员工身份联合进行身份验证的用户无法访问某些 Google Cloud 功能。如需了解详情，请参阅身份联合：产品和限制。
- 许多 IdP 会限制其在 SAML 断言或 ID 令牌中可传递给员工身份联合的群组成员资格数量。为了不超出这些限制，您可能需要加强群组治理，并限制断言或令牌中要包含的群组类型。
- 共享资源（例如 Gemini Notebook Enterprise 笔记本）时，您无法按名称查找群组。而是必须手动输入其标识符。
如果您使用 Microsoft Entra ID，则可以通过配置额外属性来使用此模式的变体。配置额外属性后，员工身份联合会在用户身份验证期间对 Microsoft Graph API 执行回调，以检索群组成员资格。通过此配置，您可以克服 Entra 对 SAML 断言和 ID 令牌的群组成员资格限制，并为每位用户使用最多 999 个群组成员资格。
使用 SCIM 的员工身份联合
如果您的组织符合以下条件，请选择此模式：
- 您仅使用 Google Cloud 服务。也就是说，您不使用 Google Ads 或 Google 地图等外部 Google 服务。
- 您计划使用 Gemini Enterprise 或 Gemini Notebook Enterprise，并且需要支持每位用户最多 2,000 个群组成员资格，或者在共享资源时能够按名称查找群组。
在此模式中，您可以使用员工身份联合来联合您的Google Cloud 组织。如需增加可用于 Gemini Enterprise 的群组数量，您还需要配置 SCIM 以提前预配群组成员资格信息。
优势
- 该模式可让您使用基于数据注入的连接器将 Gemini Enterprise 与 Microsoft 365 集成。
- 您最多可以使用每个用户 2,000 个群组成员资格来控制对 Gemini Enterprise 和 Gemini Notebook Enterprise 的访问权限，并让基于 Gemini Enterprise 数据注入的连接器执行访问权限检查。
- 共享资源（例如 Gemini Notebook Enterprise 笔记本）时，您可以按名称查找群组，以帮助提升整体用户体验。
限制
- 对通过 SCIM 配置的群组的支持仅限于 Gemini Enterprise 和 Gemini Notebook Enterprise。 其他服务只能使用您的 IdP 在 SAML 断言或 ID 令牌中传递的群组成员资格。
- 员工身份联合是一项 IAM 功能，仅允许用户访问使用 IAM 的服务。使用员工身份联合进行身份验证的用户无法访问 Google Ads、Looker 或 Google Marketing Platform 等 Google 服务。
- 使用员工身份联合进行身份验证的用户无法访问某些 Google Cloud 功能。如需了解详情，请参阅身份联合：产品和限制。
混合 Cloud Identity 和员工身份联合
如果您的组织符合以下条件，请选择此模式：
- 您使用 Google Cloud 以外的 Google 服务（例如 Google Ads 或 Google 地图）。
- 您计划使用 Gemini Enterprise 并将其与 Microsoft 365 集成。
此模式结合了上述两种模式：
- 您使用员工身份联合（无同步或使用 SCIM）来管理对 Gemini Enterprise 和 Gemini Notebook Enterprise 的访问权限。
- 您可以使用 Cloud Identity 或 Google Workspace 联合来管理对其他服务（包括 Google Cloud 和非云 Google 服务）的访问权限。
优势
此模式可让您结合前两种模式的优势：
- 您可以将 Gemini Enterprise 关联到 Microsoft 数据源，不受功能限制。
- 用户可以向 Google 服务进行身份验证，无论这些服务是否使用 IAM。
- 使用全套 Google Cloud 功能。
限制
- 您必须在外部 IdP 中维护两个单独的信赖方配置：一个用于 Cloud Identity，另一个用于员工身份联合。
- 根据您是将用户配置为使用 Cloud Identity 还是员工身份联合，他们的登录体验可能会有所不同。
- 管理 IAM 允许政策时，您必须根据用户的身份验证方式使用不同的主账号标识符。例如，在外部 IdP 中名为
bob@example.com的用户在 IAM 中可能具有主账号标识符bob@example.com或principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID//subject/SUBJECT_ID，具体取决于该用户是使用 Cloud Identity 联合还是使用员工身份联合进行身份验证。 - 您无法创建同时包含 Cloud Identity 用户和员工身份联合主账号的群组。Cloud Identity 群组只能包含 Cloud Identity 用户，而员工身份群组只能包含员工身份联合主账号。
- 如果将外聘人员身份联合的使用范围扩展到 Gemini Enterprise 之外，用户可能需要在不同身份之间切换，或者不确定如何进行身份验证。