Configurare la federazione delle identità per la forza lavoro

Questa guida descrive come configurare la federazione delle identità della forza lavoro con un provider di identità (IdP) che supporta OIDC o SAML 2.0.

Per istruzioni specifiche per l'identità provider, consulta quanto segue:

• Configurare la Federazione delle identità della forza lavoro basata su Microsoft Entra ID
• Configurare la federazione delle identità della forza lavoro basata su Okta

Prima di iniziare

1. Assicurati di aver configurato un'organizzazione Google Cloud.

2. After installing the Google Cloud CLI, configure the gcloud CLI to use your federated identity and then initialize it by running the following command:

   gcloud init

3. Enable the Identity and Access Management (IAM) and Resource Manager APIs.

   Enable the APIs

4. Per l'accesso, l'IdP deve fornire informazioni di autenticazione firmate: gli IdP OIDC devono fornire un JWT e le risposte degli IdP SAML devono essere firmate.
5. Per ricevere informazioni importanti sulle modifiche apportate alla tua organizzazione o ai prodotti Google Cloud, devi fornire i Contatti fondamentali. Per ulteriori informazioni, consulta la panoramica della federazione delle identità per la forza lavoro.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per configurare la federazione delle identità per la forza lavoro, chiedi all'amministratore di concederti il ruolo IAM Amministratore pool Workload Identity (roles/iam.workforcePoolAdmin) nell'organizzazione. Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

In alternativa, il ruolo di base Proprietario (roles/owner) include anche le autorizzazioni per configurare la federazione delle identità della forza lavoro. Non dovresti concedere ruoli di base in un ambiente di produzione, ma puoi farlo in un ambiente di sviluppo o di test.

Configurare la federazione delle identità per la forza lavoro

Per configurare la federazione delle identità per la forza lavoro, devi creare un pool di identità per la forza lavoro e un provider di pool di identità per la forza lavoro.

Crea un pool di identità della forza lavoro

Per creare il pool, esegui il seguente comando:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Crea un provider di pool di identità per la forza lavoro

Questa sezione descrive come creare un provider del pool di identità di forza lavoro per consentire agli utenti dell'IdP di accedere a Google Cloud. Puoi configurare il provider in modo che utilizzi il protocollo OIDC o SAML.

Crea un provider del pool di forza lavoro OIDC

Per creare un provider del pool di identità della forza lavoro utilizzando il protocollo OIDC:

1. Nel tuo IdP OIDC, registra una nuova applicazione per la federazione delle identità della forza lavoro di Google Cloud. Prendi nota dell'ID client e dell'URI issuer fornito dall'IdP. che utilizzerai in questo documento.

2. Se prevedi di configurare l'accesso degli utenti alla console, aggiungi il seguente URL di reindirizzamento al tuo IdP OIDC:

   https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

   Per scoprire come configurare l'accesso alla console (federata), consulta Configurare l'accesso degli utenti alla console (federata).

3. In Google Cloud, per creare il provider:

   Console

   Flusso codice

   Nella console Google Cloud, per creare un provider OIDC che utilizzi il flusso di codice di autorizzazione, svolgi i seguenti passaggi:

   1. Nella console Google Cloud, vai alla pagina Pool di identità del personale:

      Vai a Pool di identità della forza lavoro

   2. Nella tabella Pool di identità della forza lavoro, seleziona il pool per cui vuoi creare il provider.

   3. Nella tabella Fornitori, fai clic su Aggiungi fornitore.

   4. In Seleziona un protocollo, seleziona OpenID Connect (OIDC).

   5. In Crea un provider di pool, segui questi passaggi:

      1. In Nome, inserisci un nome per il provider.
      2. In Emittente (URL), inserisci l'URI dell'emittente. L'URI dell'emittente OIDC deve essere in un formato URI valido e iniziare con https; ad esempio, https://example.com/oidc.
      3. Inserisci l'ID client, l'ID client OIDC registrato con il tuo IdP OIDC. L'ID deve corrispondere al claim aud del JWT emesso dal tuo IdP.
      4. Per creare un provider abilitato, assicurati che l'opzione Provider abilitato sia attivata.
      5. Fai clic su Continua.

   6. In Tipo di risposta, segui questi passaggi: Il tipo di risposta viene utilizzato solo per un flusso di Single Sign-On basato sul web.

      1. In Tipo di risposta, seleziona Codice.
      2. In Client secret, inserisci il client secret della tua IdP.

      3. In Comportamento delle rivendicazioni per affermazioni, seleziona una delle seguenti opzioni:

         • Informazioni utente e token ID
         • Solo token ID

      4. Fai clic su Continua.

   7. In Configura provider, puoi configurare una mappatura degli attributi e una condizione dell'attributo. Per creare una mappatura degli attributi: Puoi fornire il nome del campo dell'IDP o un'espressione in formato CEL che restituisce una stringa.

      1. Obbligatorio: in OIDC 1, inserisci il soggetto dell'IdP, ad esempio assertion.sub.

      2. (Facoltativo) Per aggiungere altre mappature degli attributi, procedi nel seguente modo:

         1. Fai clic su Aggiungi mappatura.
         2. In Google n, dove n è un numero, inserisci una delle chiavi supportate da Google Cloud.
         3. Nel campo OIDC n corrispondente, inserisci il nome del campo specifico dell'IDP da mappare, in formato CEL.

      3. Per creare una condizione dell'attributo:

         1. Fai clic su Aggiungi condizione.
         2. In Condizioni attributi, inserisci una condizione in formato CEL, ad esempio assertion.role == 'gcp-users'. Questa condizione di esempio garantisce che solo gli utenti con il ruolo gcp-users possano accedere utilizzando questo provider.

   8. Per creare il provider, fai clic su Invia.

   Flusso implicito

   Nella console Google Cloud, per creare un provider OIDC che utilizzi il flusso implicito:

   1. Nella console Google Cloud, vai alla pagina Pool di identità del personale:

      Vai a Pool di identità della forza lavoro

   2. Nella tabella Pool di identità della forza lavoro, seleziona il pool per cui vuoi creare il provider.

   3. Nella tabella Fornitori, fai clic su Aggiungi fornitore.

   4. In Seleziona un protocollo, seleziona OpenID Connect (OIDC).

   5. In Crea un provider di pool, segui questi passaggi:

      1. In Nome, inserisci un nome per il provider.
      2. In Emittente (URL), inserisci l'URI dell'emittente. L'URI dell'emittente OIDC deve essere in un formato URI valido e iniziare con https; ad esempio, https://example.com/oidc.
      3. Inserisci l'ID client, l'ID client OIDC registrato con il tuo IdP OIDC. L'ID deve corrispondere al claim aud del JWT emesso dal tuo IdP.
      4. Per creare un provider abilitato, assicurati che l'opzione Provider abilitato sia attivata.
      5. Fai clic su Continua.

   6. In Tipo di risposta, segui questi passaggi: Il tipo di risposta viene utilizzato solo per un flusso di Single Sign-On basato sul web.

      1. In Tipo di risposta, seleziona Token ID.
      2. Fai clic su Continua.

   7. In Configura provider, puoi configurare una mappatura degli attributi e una condizione dell'attributo. Per creare una mappatura degli attributi: Puoi fornire il nome del campo dell'IDP o un'espressione in formato CEL che restituisce una stringa.

      1. Obbligatorio: in OIDC 1, inserisci il soggetto dell'IdP, ad esempio assertion.sub.

      2. (Facoltativo) Per aggiungere altre mappature degli attributi, procedi nel seguente modo:

         1. Fai clic su Aggiungi mappatura.
         2. In Google n, dove n è un numero, inserisci una delle chiavi supportate da Google Cloud.
         3. Nel campo OIDC n corrispondente, inserisci il nome del campo specifico dell'IDP da mappare, in formato CEL.

      3. Per creare una condizione dell'attributo:

         1. Fai clic su Aggiungi condizione.

         2. In Condizioni attributi, inserisci una condizione in formato CEL, ad esempio assertion.role == 'gcp-users'. Questa condizione di esempio garantisce che solo gli utenti con il ruolo gcp-users possano accedere utilizzando questo provider.

   8. Per creare il provider, fai clic su Invia.

   gcloud

   Flusso codice

   Per creare un provider OIDC che utilizzi il flusso di codice di autorizzazione per l'accesso web, esegui il seguente comando:

   gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
       --workforce-pool=WORKFORCE_POOL_ID \
       --display-name="DISPLAY_NAME" \
       --description="DESCRIPTION" \
       --issuer-uri="ISSUER_URI" \
       --client-id="OIDC_CLIENT_ID" \
       --client-secret-value="OIDC_CLIENT_SECRET" \
       --web-sso-response-type="code" \
       --web-sso-assertion-claims-behavior="merge-user-info-over-id-token-claims" \
       --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --jwk-json-path="JWK_JSON_PATH" \
       --location=global
   

   Sostituisci quanto segue:

   • WORKFORCE_PROVIDER_ID: un ID fornitore del pool di identità della forza lavoro univoco. Il prefisso gcp- è riservato e non può essere utilizzato in un pool di identità per la forza lavoro o nell'ID provider di pool di identità per la forza lavoro.
   • WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro a cui collegare l'IdP.
   • DISPLAY_NAME: un nome visualizzato facoltativo e facile da usare per il fornitore, ad esempio idp-eu-employees.
   • DESCRIPTION: una descrizione facoltativa del fornitore di personale; ad esempio, IdP for Partner Example Organization employees.
   • ISSUER_URI: l'URI dell'emittente OIDC, in un formato URI valido, che inizia con https; ad esempio, https://example.com/oidc. Nota: per motivi di sicurezza, ISSUER_URI deve utilizzare lo schema HTTPS.
   • OIDC_CLIENT_ID: l'ID client OIDC registrato con l'IdP OIDC. L'ID deve corrispondere al claim aud del JWT emesso dall'IdP.
   • OIDC_CLIENT_SECRET: il client secret OIDC.
   • WEB_SSO_ADDITIONAL_SCOPES: ambiti aggiuntivi facoltativi da inviare all'IdP OIDC per l'accesso alla console (federato) o basato su browser dell'interfaccia a riga di comando gcloud.
   • ATTRIBUTE_MAPPING: una mappatura degli attributi. Di seguito è riportato un esempio di mappatura degli attributi:

     google.subject=assertion.sub,
     google.groups=assertion.group1,
     attribute.costcenter=assertion.costcenter

     Questo esempio mappa gli attributi IdP subject, group1 e costcenter nell'affermazione OIDC agli attributi google.subject, google.groups e attribute.costcenter, rispettivamente.
   • ATTRIBUTE_CONDITION: una condizione dell'attributo, ad esempio assertion.role == 'gcp-users'. Questa condizione di esempio garantisce che solo gli utenti con il ruolo gcp-users possano accedere utilizzando questo provider.
   • JWK_JSON_PATH: un percorso facoltativo a un file JWK OIDC caricato localmente. Se questo parametro non viene fornito, Google Cloud utilizza il percorso /.well-known/openid-configuration del tuo IdP per recuperare i JWK contenenti le chiavi pubbliche. Per saperne di più sui JWK OIDC caricati localmente, vedi Gestire i JWK OIDC.

   Nella risposta al comando, POOL_RESOURCE_NAME è il nome del pool, ad esempio locations/global/workforcePools/enterprise-example-organization-employees.

   Flusso implicito

   Per creare un provider OIDC che utilizzi il flusso implicito per l'accesso web, esegui il seguente comando:

   gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
       --workforce-pool=WORKFORCE_POOL_ID \
       --display-name="DISPLAY_NAME" \
       --description="DESCRIPTION" \
       --issuer-uri="ISSUER_URI" \
       --client-id="OIDC_CLIENT_ID" \
       --web-sso-response-type="id-token" \
       --web-sso-assertion-claims-behavior="only-id-token-claims" \
       --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --jwk-json-path="JWK_JSON_PATH" \
       --location=global
   

   Sostituisci quanto segue:

   • WORKFORCE_PROVIDER_ID: un ID fornitore del pool di identità della forza lavoro univoco. Il prefisso gcp- è riservato e non può essere utilizzato in un pool di identità per la forza lavoro o nell'ID provider di pool di identità per la forza lavoro.
   • WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro a cui collegare l'IdP.
   • DISPLAY_NAME: un nome visualizzato facoltativo e facile da usare per il fornitore, ad esempio idp-eu-employees.
   • DESCRIPTION: una descrizione facoltativa del fornitore di personale; ad esempio, IdP for Partner Example Organization employees.
   • ISSUER_URI: l'URI dell'emittente OIDC, in un formato URI valido, che inizia con https; ad esempio, https://example.com/oidc. Nota: per motivi di sicurezza, ISSUER_URI deve utilizzare lo schema HTTPS.
   • OIDC_CLIENT_ID: l'ID client OIDC registrato con l'IdP OIDC. L'ID deve corrispondere al claim aud del JWT emesso dall'IdP.
   • WEB_SSO_ADDITIONAL_SCOPES: ambiti aggiuntivi facoltativi da inviare all'IdP OIDC per l'accesso alla console (federato) o basato su browser dell'interfaccia a riga di comando gcloud.
   • ATTRIBUTE_MAPPING: una mappatura degli attributi. Di seguito è riportato un esempio di mappatura degli attributi:

     google.subject=assertion.sub,
     google.groups=assertion.group1,
     attribute.costcenter=assertion.costcenter

     Questo esempio mappa gli attributi IdP subject, group1 e costcenter nell'affermazione OIDC agli attributi google.subject, google.groups e attribute.costcenter, rispettivamente.
   • ATTRIBUTE_CONDITION: una condizione dell'attributo, ad esempio assertion.role == 'gcp-users'. Questa condizione di esempio garantisce che solo gli utenti con il ruolo gcp-users possano accedere utilizzando questo provider.
   • JWK_JSON_PATH: un percorso facoltativo a un file JWK OIDC caricato localmente. Se questo parametro non viene fornito, Google Cloud utilizza il percorso /.well-known/openid-configuration del tuo IdP per recuperare i JWK contenenti le chiavi pubbliche. Per saperne di più sui JWK OIDC caricati localmente, vedi Gestire i JWK OIDC.

   Nella risposta al comando, POOL_RESOURCE_NAME è il nome del pool, ad esempio locations/global/workforcePools/enterprise-example-organization-employees.

   Il prefisso gcp- è riservato e non può essere utilizzato in un pool di identità per la forza lavoro o nell'ID provider di pool di identità per la forza lavoro.

   Per la federazione OIDC, puoi utilizzare assertion.NAME: una stringa uguale al valore del claim con lo stesso nome nel payload del token ID.

Crea un provider di pool di forza lavoro SAML

1. Nel tuo IdP SAML, registra una nuova applicazione per la federazione delle identità della forza lavoro di Google Cloud.

2. Imposta il segmento di pubblico per le asserzioni SAML. Di solito è il campo SP Entity ID nella configurazione dell'IdP. Devi impostarlo sul seguente URL:

   https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

3. Se prevedi di configurare l'accesso utente alla console, nell'IdP SAML imposta il campo URL di reindirizzamento o URL Assertion Consumer Service (ACS) sul seguente URL:

   https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

   Per ulteriori dettagli sulla configurazione dell'accesso alla console, consulta Configurare l'accesso degli utenti alla console.

4. In Google Cloud, crea un provider di pool di identità di forza lavoro SAML utilizzando il documento dei metadati SAML del tuo IdP. Puoi scaricare il documento XML dei metadati SAML dal tuo IdP. Il documento deve includere almeno quanto segue:

   • Un ID entità SAML per il tuo IdP.
   • L'URL Single Sign-On per l'IdP.
   • Almeno una chiave pubblica di firma. Per informazioni dettagliate sulle chiavi di firma, consulta la sezione Requisiti delle chiavi più avanti in questa guida.

  gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
      --workforce-pool=WORKFORCE_POOL_ID \
      --display-name="DISPLAY_NAME" \
      --description="DESCRIPTION" \
      --idp-metadata-path=METADATA_FILE_PATH \
      --attribute-mapping="ATTRIBUTE_MAPPING" \
      --attribute-condition="ATTRIBUTE_CONDITION" \
      --location=global

gcloud iam workforce-pools providers keys create KEY_ID \
    --workforce-pool WORKFORCE_POOL_ID \
    --provider WORKFORCE_PROVIDER_ID \
    --location global \
    --use encryption \
    --spec KEY_SPECIFICATION

gcloud iam workforce-pools providers keys describe KEY_ID \
    --workforce-pool WORKFORCE_POOL_ID \
    --provider WORKFORCE_PROVIDER_ID \
    --location global \
    --format "value(keyData.key)" \
    > CERTIFICATE_PATH

  gcloud iam workforce-pools providers keys delete KEY_ID \
      --workforce-pool WORKFORCE_POOL_ID \
      --provider WORKFORCE_PROVIDER_ID \
      --location global

Rappresentare gli utenti del pool di forza lavoro nei criteri IAM

La tabella seguente mostra gli identificatori principali che utilizzi per concedere i ruoli a un singolo utente, a un gruppo di utenti, a utenti che presentano una determinata rivendicazione o a tutti gli utenti di un pool di risorse umane.

Concedere ruoli IAM alle entità

Puoi concedere ruoli ai principali, ad esempio singole identità, gruppi di identità o un intero pool.

Per concedere un ruolo in un progetto a un principale, esegui il seguente comando:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --role="ROLE" \
    --member="PRINCIPAL"

Sostituisci quanto segue:

• PROJECT_ID: l'ID progetto
• ROLE: il ruolo da impostare
• PRINCIPAL: l'entità; consulta Identificatori entità per la federazione delle identità per la forza lavoro.

Nell'esempio seguente, il comando concede il ruolo Amministratore archiviazione (roles/storage.admin) a tutte le identità all'interno del gruppo GROUP_ID:

gcloud projects add-iam-policy-binding my-project \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

Per ulteriori informazioni sul formato del principale, consulta Identificatori principali per la federazione delle identità per la forza lavoro.

Eliminare utenti

La federazione delle identità della forza lavoro crea risorse e metadati utente per le identità utente federate. Se scegli di eliminare gli utenti, ad esempio nel tuo provider di identità, devi eliminare esplicitamente anche queste risorse in Google Cloud. Per farlo, consulta Eliminare gli utenti e i relativi dati di Workforce Identity Federation.

Potresti notare che le risorse continuano ad essere associate a un utente che è stato eliminato. Questo perché l'eliminazione dei metadati e delle risorse utente richiede un'operazione di lunga durata. Dopo aver avviato l'eliminazione dell'identità di un utente, i processi avviati dall'utente prima dell'eliminazione possono continuare a essere eseguiti fino al loro completamento o all'annullamento.

Passaggi successivi

• Ottenere credenziali di breve durata per la federazione delle identità della forza lavoro
• Gestire i provider dei pool di identità per la forza lavoro
• Eliminare gli utenti di Workforce Identity Federation e i relativi dati
• Scopri quali prodotti Google Cloud supportano la federazione delle identità della forza lavoro
• Configurare l'accesso degli utenti alla console (federata)