設定控制台的使用者存取權 (聯合)

Google Cloud 員工身分聯盟控制台 (又稱控制台 (聯合)) 可讓員工使用現有的識別資訊提供者 (IdP) 憑證存取Google Cloud 資源。您可以在 IdP 中設定重新導向網址，建立存取權並向使用者發布登入操作說明。

事前準備

  1. 在 Google Cloud 組織中設定員工身分聯盟，包括員工身分集區和員工身分集區提供者。或者，如果您使用下列其中一個 IdP，請參閱 IdP 專屬指南，瞭解詳情：

  2. 記下工作團隊身分集區提供者名稱，本指南稍後會用到。

在 IdP 中設定重新導向網址

您可以設定 IdP，在使用者通過驗證後，發布 IdP 回應並將使用者重新導向至控制台 (聯合)。如要這麼做，您必須設定重新導向網址，並在 IdP 設定中設定該網址。

如要建立重新導向網址，請按照下列步驟操作：

  1. 將員工身分集區提供者的名稱提供給使用者。格式如下：

    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

    更改下列內容：

    • WORKFORCE_POOL_ID：員工身分集區 ID。
    • WORKFORCE_PROVIDER_ID：員工身分提供者 ID。

  2. 建立重新導向網址。格式如下：

    https://auth./signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

  3. 使用重新導向網址設定 IdP。

    在 IdP 中輸入重新導向網址。輸入網址的欄位可能有所不同。

    OIDC

    在 IdP 中，這個欄位可能稱為 Redirect URL 或 Callback URL。

    您的 IdP 會將回應和名稱權杖傳送至這個網址。

    SAML

    在 IdP 中，這個欄位可能稱為 Single sign-on URL 或 SAML assertion consumer service (ACS) URL。

    您的 IdP 會將 SAML 宣告發布至這個網址。

    如要透過 SAML 供應商啟用 IdP 啟動的登入功能，請在 Default RelayState 設定或對等設定中輸入下列網址。使用者順利通過驗證之後，IdP 服務會將使用者帶往這個網址：

    https://console./

告知使用者如何登入

本節說明使用者登入控制台 (聯合) 的不同方式。

如要透過 IdP 啟動登入程序，您可以將連結提供給使用者，將他們重新導向您的 IdP，而不必提示他們輸入提供者名稱。使用者成功登入後，系統會自動將他們重新導向控制台 (聯合)。

如要使用這個方法，請將下列登入連結傳送給使用者：

https://auth./signin/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID?continueUrl=https://console./

使用控制台 (聯合) 開始登入程序

如要在控制台 (聯合) 啟動登入程序，請按照下列步驟操作：

  1. 向使用者提供本文稍早所述的工作團隊身分集區提供者名稱。

  2. 請將下列控制台連結 (聯合) 提供給使用者：

    https://console./

使用者首次存取控制台 (聯合) 時，系統會提示他們輸入工作團隊身分集區提供者名稱。接著，系統會將他們重新導向至您的 IdP 進行驗證。驗證完成後，系統會將他們重新導向控制台 (聯合)。

使用 SAML IdP 啟動的登入

SAML 規格定義了稱為「IdP 啟動的登入」流程，使用者會在 IdP 啟動登入程序。如果您的 IdP 支援這項流程，可以將詳細資料提供給使用者。

使用控制台 (聯合) 與 Google Cloud 控制台

控制台 (聯合) 僅提供有限存取權，只能存取支援員工身分聯盟的 Google Cloud 產品。因此，使用控制台 (聯合) 時，您會看到有限數量的 Google Cloud產品，且在控制台 (聯合) 中查看時，產品 UI 本身可能會有進一步的限制。

如要進一步瞭解支援員工身分聯盟的產品和相關限制，請參閱「身分聯盟：支援的產品和限制」。

相較之下， Google Cloud 控制台可根據授予使用者的角色，提供所有產品和功能的完整存取權。

後續步驟