ID プロバイダに接続する

コンソール

1. GDC コンソールにログインします。次の例は、org-1 という組織にログインした後のコンソールを示しています。
2. ナビゲーション メニューで、[ID とアクセス権（IAM）] > [ID] をクリックします。

3. [Setup New Identity Provider] をクリックします。

4. [ID プロバイダの構成] セクションで、次の手順を完了して [次へ] をクリックします。

   1. [ID プロバイダ] プルダウン メニューで、[Open ID Connect（OIDC）] を選択します。
   2. ID プロバイダ名を入力します。
   3. [Google Distributed Cloud URL] フィールドに、GDC へのアクセスに使用する URL を入力します。
   4. [発行元 URI] フィールドに、ID プロバイダに認可リクエストが送信される URL を入力します。Kubernetes API サーバーは、この URL を使用してトークン検証用の公開鍵を検出します。URL には HTTPS を使用する必要があります。
   5. [クライアント ID] フィールドに、ID プロバイダへの認証リクエストを行うクライアント アプリケーションの ID を入力します。
   6. [クライアント シークレット] セクションで、[クライアント シークレットを構成する（推奨）] を選択します。
      1. [クライアント シークレット] フィールドに、ID プロバイダと Distributed Cloud 間の共有シークレットであるクライアント シークレットを入力します。

   7. 省略可: [接頭辞] フィールドに接頭辞を入力します。この接頭辞は、ユーザー クレームとグループ クレームの先頭に追加されます。接頭辞は、異なる ID プロバイダ構成を区別するために使用されます。たとえば、接頭辞を myidp に設定すると、ユーザー クレームは myidpusername@example.com、グループ クレームは myidpgroup@example.com になることがあります。ロールベースのアクセス制御（RBAC）権限をグループに割り当てるときは、接頭辞も含める必要があります。

   8. 省略可: [暗号化] セクションで、[暗号化されたトークンを有効にする] を選択します。

      暗号化トークンを有効にするには、IdP 連携管理者ロールが必要です。組織の IAM 管理者に、IdP 連携管理者（idp-federation-admin）ロールを付与するよう依頼します。

      1. [キー ID] フィールドにキー ID を入力します。鍵 ID は、JSON ウェブ暗号化トークン（JWT）の公開鍵です。OIDC プロバイダが鍵 ID を設定してプロビジョニングします。
      2. [復号鍵] フィールドに、PEM 形式の復号鍵を入力します。復号鍵は、暗号化を復号する非対称鍵です。OIDC プロバイダが復号鍵を設定してプロビジョニングします。

5. [属性を構成する] セクションで、次の手順を完了して [次へ] をクリックします。

   1. [OIDC プロバイダの認証局] フィールドに、ID プロバイダの Base64 でエンコードされた PEM エンコード証明書を入力します。詳細については、https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail をご覧ください。
      1. 文字列を作成するには、ヘッダーを含めた証明書を base64 でエンコードします。
      2. 結果の文字列は 1 行で含めます。例: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tC...k1JSUN2RENDQWFT==
   2. [グループ クレーム] フィールドに、ユーザーのグループ情報を保持する ID プロバイダ トークンのクレームの名前を入力します。
   3. [ユーザー クレーム] フィールドに、各ユーザーを識別するクレームを入力します。多くのプロバイダのデフォルトのクレームは sub です。ID プロバイダによっては、email や name などの他のクレームを選択できます。名前が競合しないように、email 以外のクレームには、発行元の URL が先頭に付加されます。
   4. 省略可: [カスタム属性] セクションで [追加] をクリックし、ユーザーに関する追加のクレーム（部署やプロフィール写真の URL など）の Key-Value ペアを入力します。
   5. ID プロバイダで追加のスコープが必要な場合は、[スコープ] フィールドに、ID プロバイダに送信するスコープをカンマ区切りで入力します。
   6. [追加パラメータ] セクションに、ID プロバイダが必要とする追加の Key-Value ペア（カンマ区切り）を入力します。グループを承認する場合は、resource=token-groups-claim を渡します。

6. [Specify initial admins] セクションで、次の手順を完了して [Next] をクリックします。

   1. 個々のユーザーまたはグループを初期管理者として追加するかどうかを選択します。
   2. [ユーザー名またはグループ エイリアス] フィールドに、組織にアクセスするユーザーまたはグループのメールアドレスを入力します。管理者の場合は、メールアドレス（例: kiran@example.com）を入力します。接頭辞は、myidp-kiran@example.com のようにユーザー名の前に付加されます。

7. 選択内容を確認し、[設定] をクリックします。

新しい ID プロバイダ プロファイルが [ID プロファイル] リストに表示されます。

API

ID プロバイダを組織に接続するには、グローバル IdentityProviderConfig カスタム リソースを作成します。

1. pa-idp-oidc.yaml などの IdentityProviderConfig カスタム リソース YAML ファイルを作成します。

   apiVersion: iam.global.gdc.goog/v1
   kind: IdentityProviderConfig
   metadata:
     name: pa-idp-oidc
     namespace: platform
   spec:
     oidc:
       certificateAuthorityData: "IDP_BASE64_ENCODED_CERTIFICATE"
       clientID: IDP_CLIENT_ID
       clientSecret: IDP_CLIENT_SECRET
       groupPrefix: IDP_GROUP_PREFIX
       groupsClaim: IDP_GROUP_CLAIM
       issuerURI: IDP_ISSUER_URI
       scopes: openid email profile
       userClaim: IDP_USER_CLAIM
       userPrefix: IDP_USER_PREFIX
   

   次の変数を置き換えます。

   • IDP_BASE64_ENCODED_CERTIFICATE: IdP の Base64 エンコードされた証明書。
   • IDP_CLIENT_ID: IdP のクライアント ID。
   • IDP_CLIENT_SECRET: IdP のクライアント シークレット。
   • IDP_GROUP_PREFIX: IdP のグループの接頭辞。
   • IDP_GROUP_CLAIM: 情報をグループ化する IdP トークンのクレームの名前。
   • IDP_ISSUER_URI: IdP の発行元 URI。
   • IDP_USER_CLAIM: ユーザーの IdP トークンのクレームの名前。
   • IDP_USER_PREFIX: ユーザー IdP の接頭辞。

2. IdentityProviderConfig カスタム リソースをグローバル API サーバーに適用します。

   kubectl --kubeconfig GLOBAL_API_SERVER_KUBECONFIG apply -f pa-idp-oidc.yaml
   

   GLOBAL_API_SERVER_KUBECONFIG 変数を、グローバル API サーバーの kubeconfig ファイルへのパスに置き換えます。

コンソール

1. GDC コンソールにログインします。
2. ナビゲーション メニューで、[ID とアクセス] > [ID] をクリックします。

3. [ID プロバイダの構成] セクションで、次の手順を完了して [次へ] をクリックします。

   1. [ID プロバイダ] プルダウン メニューで、[Security Assertion Markup Language（SAML）] を選択します。
   2. ID プロバイダ名を入力します。
   3. [Identity ID] フィールドに、ID プロバイダに認証リクエストを行うクライアント アプリケーションの ID を入力します。
   4. [SSO URI] フィールドに、プロバイダのシングル サインオン エンドポイントの URL を入力します。例: https://www.idp.com/saml/sso。

   5. [Identity provider prefix] フィールドに接頭辞を入力します。この接頭辞は、ユーザーとグループのクレームの先頭に追加されます。接頭辞は、異なる ID プロバイダ構成を区別するために使用されます。たとえば、接頭辞を myidp に設定すると、ユーザー クレームは myidpusername@example.com、グループ クレームは myidpgroup@example.com と表示されることがあります。RBAC 権限をグループに割り当てるときは、接頭辞も含める必要があります。

   6. セキュリティを強化するには、有効期間が 5 ～ 10 分のアサーションを発行するように SAML プロバイダを構成します。この設定は、SAML プロバイダの設定内で構成できます。

   7. 省略可: [SAML Assertions] セクションで、[Enable encrypted SAML assertions] を選択します。

      暗号化された SAML アサーションを有効にするには、IdP 連携管理者ロールが必要です。組織 IAM 管理者に、IdP 連携管理者（idp-federation-admin）ロールの付与を依頼します。

      1. [Encryption certificate] フィールドに、PEM 形式の暗号化証明書を入力します。暗号化証明書は、SAML プロバイダの生成後に受け取ります。
      2. [復号鍵] フィールドに復号鍵を入力します。復号鍵は、SAML プロバイダの生成後に受け取ります。

   8. 省略可: [SAML Signed requests] セクションで、[Enable signed SAML requests] をオンにします。

      1. [署名証明書] フィールドに、PEM ファイル形式の署名証明書を入力します。SAML プロバイダが署名証明書を設定して生成します。
      2. [署名鍵] フィールドに、PEM ファイル形式で署名鍵を入力します。SAML プロバイダが署名鍵を設定して生成します。

4. [属性を構成] ページで、次の手順を完了して [次へ] をクリックします。

   1. [IDP certificate] フィールドに、ID プロバイダの base64 でエンコードされた PEM エンコード証明書を入力します。詳細については、https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail をご覧ください。
      1. 文字列を作成するには、ヘッダーを含めた証明書を base64 でエンコードします。
      2. 結果の文字列は 1 行で含めます。例: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tC...k1JSUN2RENDQWFT==。
   2. 追加の証明書がある場合は、[Additional IDP certificate] フィールドに入力します。
   3. [ユーザー属性] フィールドに、各ユーザーを識別する属性を入力します。多くのプロバイダのデフォルトの属性は sub です。ID プロバイダによっては、email や name などの他の属性を選択できます。名前が競合しないように、email 以外の属性には、発行元の URL が先頭に付加されます。
   4. [グループ属性] フィールドに、ユーザーのグループ情報を保持する ID プロバイダ トークンの属性の名前を入力します。
   5. 省略可: [属性のマッピング] 領域で [追加] をクリックし、ユーザーの部署やプロフィール写真の URL など、ユーザーに関する追加の属性の Key-Value ペアを入力します。

5. [Specify initial admins] セクションで、次の手順を完了して [Next] をクリックします。

   1. 個々のユーザーまたはグループを初期管理者として追加するかどうかを選択します。
   2. [ユーザー名] フィールドに、組織へのアクセスに使用するユーザーまたはグループのメールアドレスを入力します。管理者の場合は、メールアドレス（例: kiran@example.com）を入力します。接頭辞は、myidp-kiran@example.com のようにユーザー名の前に付加されます。

6. [Review] ページで、続行する前に各 ID 構成のすべての値を確認します。[戻る] をクリックして前のページに戻り、必要な修正を行います。すべての値を仕様に合わせて構成したら、[設定] をクリックします。

API

ID プロバイダを組織に接続するには、グローバル IdentityProviderConfig カスタム リソースを作成します。

1. pa-idp-saml.yaml などの IdentityProviderConfig カスタム リソース YAML ファイルを作成します。

   apiVersion: iam.global.gdc.goog/v1
   kind: IdentityProviderConfig
   metadata:
     name: pa-idp-saml
     namespace: platform
   spec:
     saml:
       groupPrefix: IDP_GROUP_PREFIX
       groupsAttribute: IDP_GROUP_ATTRIBUTE
       idpCertificateDataList:
       - "IDP_BASE64_ENCODED_CERTIFICATE"
       idpEntityID: IDP_SAML_ENTITY_ID
       idpSingleSignOnURI: IDP_SAML_SSO_URI
       userAttribute: IDP_USER_ATTRIBUTE
       userPrefix: IDP_USER_PREFIX
   

   次の変数を置き換えます。

   • IDP_GROUP_PREFIX: IdP のグループの接頭辞。
   • IDP_GROUP_ATTRIBUTE: IdP のグループの属性。
   • IDP_BASE64_ENCODED_CERTIFICATE: IdP の Base64 エンコードされた証明書。
   • IDP_SAML_ENTITY_ID: IdP を一意に識別するための URL または URI。
   • IDP_SAML_SSO_URI: IdP の発行元 URI。
   • IDP_USER_ATTRIBUTE: IdP ユーザーの属性（メールなど）。
   • IDP_USER_PREFIX: ユーザーの IdP トークンのクレームの名前。

2. IdentityProviderConfig カスタム リソースをグローバル API サーバーに適用します。

   kubectl --kubeconfig GLOBAL_API_SERVER_KUBECONFIG apply -f pa-idp-saml.yaml
   

   GLOBAL_API_SERVER_KUBECONFIG 変数を、グローバル API サーバーの kubeconfig ファイルへのパスに置き換えます。