Workforce Identity 連携を構成する

このガイドでは、OIDC または SAML 2.0 をサポートする ID プロバイダ（IdP）との Workforce Identity 連携を構成する方法について説明します。

IdP 固有の手順については、以下をご覧ください。

• Microsoft Entra ID ベースの Workforce Identity 連携を構成する
• Okta ベースの Workforce Identity 連携を構成する

始める前に

1. Google Cloud 組織が設定されていることを確認します。

2. After installing the Google Cloud CLI, configure the gcloud CLI to use your federated identity and then initialize it by running the following command:

   gcloud init

3. Enable the Identity and Access Management (IAM) and Resource Manager APIs.

   Enable the APIs

4. ログインの場合、IdP は署名付き認証情報を提供する必要があります。OIDC IdP は JWT を提供し、SAML IdP レスポンスは署名されている必要があります。
5. 組織または Google Cloud プロダクトの変更に関する重要な情報を受け取るには、重要な連絡先を指定する必要があります。詳細については、Workforce Identity 連携の概要をご覧ください。

必要なロール

Workforce Identity 連携の構成に必要な権限を取得するには、組織に対する Workforce Identity プール管理者（roles/iam.workforcePoolAdmin）の IAM ロールを付与するように管理者に依頼します。ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

オーナーの基本ロール（roles/owner）には、Workforce Identity 連携を構成する権限も含まれています。本番環境では基本ロールを付与すべきではありません。基本ロールは、開発環境またはテスト環境で付与してください。

Workforce Identity 連携を構成する

Workforce Identity 連携を構成するには、Workforce Identity プールと Workforce Identity プール プロバイダを作成します。

Workforce Identity プールを作成する

プールを作成するには、次のコマンドを実行します。

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Workforce Identity プール プロバイダを作成する

このセクションでは、IdP ユーザーが Google Cloud にアクセスできるように Workforce Identity プール プロバイダを作成する方法について説明します。OIDC または SAML プロトコルを使用するようにプロバイダを構成できます。

OIDC Workforce プール プロバイダを作成する

OIDC プロトコルを使用して Workforce Identity プール プロバイダを作成する手順は次のとおりです。

1. OIDC IdP で、Google Cloud Workforce Identity 連携用の新しいアプリケーションを登録します。IdP から提供されるクライアント ID と発行者 URI をメモします。これらは、このドキュメントで使用します。

2. コンソールへのユーザー アクセスを設定する場合は、OIDC IdP に次のリダイレクト URL を追加します。

   https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

   コンソール（連携）ログインを構成する方法については、コンソール（連携）へのユーザー アクセスを設定するをご覧ください。

3. Google Cloud でプロバイダを作成する手順は次のとおりです。

   コンソール

   コードフロー

   Google Cloud コンソールで認可コードフローを使用する OIDC プロバイダを作成するには、次の手順を行います。

   1. Google Cloud コンソールで、[Workforce Identity プール] ページに移動します。

      Workforce Identity プールに移動

   2. [Workforce Identity プール] テーブルで、プロバイダを作成するプールを選択します。

   3. [プロバイダ] テーブルで [プロバイダを追加] をクリックします。

   4. [プロトコルを選択] で、[Open ID Connect（OIDC）] を選択します。

   5. [プール プロバイダの作成] で、次の手順を行います。

      1. [名前] にプロバイダの名前を入力します。
      2. [発行者（URL）] に発行者 URI を入力します。OIDC 発行者 URI は有効な URI 形式で、https で始まる必要があります。（例: https://example.com/oidc）。
      3. クライアント ID（OIDC IdP に登録されている OIDC クライアント ID）を入力します。ID は、IdP によって発行された JWT の aud クレームと一致する必要があります。
      4. 有効なプロバイダを作成するには、[有効なプロバイダ] がオンになっていることを確認します。
      5. [続行] をクリックします。

   6. [レスポンス タイプ] で、次の手順を行います。レスポンス タイプは、ウェブベースのシングル サインオン フローでのみ使用されます。

      1. [レスポンス タイプ] で [コード] を選択します。
      2. [クライアント シークレット] に、IdP のクライアント シークレットを入力します。

      3. [アサーション クレームの動作] で、次のいずれかを選択します。

         • ユーザー情報と ID トークン
         • ID トークンのみ

      4. [続行] をクリックします。

   7. [プロバイダの構成] で、属性のマッピングと属性条件を構成できます。属性のマッピングを作成する手順は次のとおりです。IdP フィールド名、または文字列を返す CEL 形式の式を指定できます。

      1. 必須: OIDC 1 に、IdP からの件名を入力します（例: assertion.sub）。

      2. 省略可: 属性のマッピングを追加する手順は次のとおりです。

         1. [マッピングを追加] をクリックします。
         2. [Google n]（n は数値）で、Google Cloud でサポートされている鍵のいずれかを入力します。
         3. 対応する [OIDC n] フィールドに、マッピングする IdP 固有のフィールドの名前を CEL 形式で入力します。

      3. 属性条件を作成するには、次の手順を行います。

         1. [条件を追加] をクリックします。
         2. [属性条件] で、CEL 形式で条件を入力します（例: assertion.role == 'gcp-users'）。この例の条件により、ロール gcp-users を持つユーザーのみがこのプロバイダを使用してログインできます。

   8. プロバイダを作成するには、[送信] をクリックします。

   暗黙的フロー

   Google Cloud コンソールで、暗黙的フローを使用する OIDC プロバイダを作成するには、次の手順を行います。

   1. Google Cloud コンソールで、[Workforce Identity プール] ページに移動します。

      Workforce Identity プールに移動

   2. [Workforce Identity プール] テーブルで、プロバイダを作成するプールを選択します。

   3. [プロバイダ] テーブルで [プロバイダを追加] をクリックします。

   4. [プロトコルを選択] で、[Open ID Connect（OIDC）] を選択します。

   5. [プール プロバイダの作成] で、次の手順を行います。

      1. [名前] にプロバイダの名前を入力します。
      2. [発行者（URL）] に発行者 URI を入力します。OIDC 発行者 URI は有効な URI 形式で、https で始まる必要があります。（例: https://example.com/oidc）。
      3. クライアント ID（OIDC IdP に登録されている OIDC クライアント ID）を入力します。ID は、IdP によって発行された JWT の aud クレームと一致する必要があります。
      4. 有効なプロバイダを作成するには、[有効なプロバイダ] がオンになっていることを確認します。
      5. [続行] をクリックします。

   6. [レスポンス タイプ] で、次の手順を行います。レスポンス タイプは、ウェブベースのシングル サインオン フローでのみ使用されます。

      1. [レスポンス タイプ] で [ID トークン] を選択します。
      2. [続行] をクリックします。

   7. [プロバイダの構成] で、属性のマッピングと属性条件を構成できます。属性のマッピングを作成する手順は次のとおりです。IdP フィールド名、または文字列を返す CEL 形式の式を指定できます。

      1. 必須: OIDC 1 に、IdP からの件名を入力します（例: assertion.sub）。

      2. 省略可: 属性のマッピングを追加する手順は次のとおりです。

         1. [マッピングを追加] をクリックします。
         2. [Google n]（n は数値）で、Google Cloud でサポートされている鍵のいずれかを入力します。
         3. 対応する [OIDC n] フィールドに、マッピングする IdP 固有のフィールドの名前を CEL 形式で入力します。

      3. 属性条件を作成するには、次の手順を行います。

         1. [条件を追加] をクリックします。

         2. [属性条件] で、CEL 形式で条件を入力します（例: assertion.role == 'gcp-users'）。この例の条件により、ロール gcp-users を持つユーザーのみがこのプロバイダを使用してログインできます。

   8. プロバイダを作成するには、[送信] をクリックします。

   gcloud

   コードフロー

   ウェブログインに認証コードフローを使用する OIDC プロバイダを作成するには、次のコマンドを実行します。

   gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
       --workforce-pool=WORKFORCE_POOL_ID \
       --display-name="DISPLAY_NAME" \
       --description="DESCRIPTION" \
       --issuer-uri="ISSUER_URI" \
       --client-id="OIDC_CLIENT_ID" \
       --client-secret-value="OIDC_CLIENT_SECRET" \
       --web-sso-response-type="code" \
       --web-sso-assertion-claims-behavior="merge-user-info-over-id-token-claims" \
       --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --jwk-json-path="JWK_JSON_PATH" \
       --location=global
   

   次のように置き換えます。

   • PROVIDER_ID: 一意のプロバイダ ID。接頭辞 gcp- は予約されているため、プールやプロバイダ ID では使用できません。
   • WORKFORCE_POOL_ID: IdP を接続する Workforce Identity プール ID。
   • DISPLAY_NAME: プロバイダのわかりやすい表示名。省略可能です。例: idp-eu-employees
   • DESCRIPTION: Workforce プロバイダの説明。省略可能です。例: IdP for Partner Example Organization employees
   • ISSUER_URI: https で始まる有効な URI 形式の OIDC 発行者 URI。例: https://example.com/oidc注: セキュリティ上の理由により、ISSUER_URI では HTTPS スキームを使用する必要があります。
   • OIDC_CLIENT_ID: OIDC IdP に登録されている OIDC クライアント ID。ID は、IdP によって発行された JWT の aud クレームと一致する必要があります。
   • OIDC_CLIENT_SECRET: OIDC クライアント シークレット。
   • WEB_SSO_ADDITIONAL_SCOPES: コンソール（連携）または gcloud CLI ブラウザベースのログイン用に OIDC IdP に送信する任意の追加スコープ
   • ATTRIBUTE_MAPPING: 属性マッピング。属性マッピングの例を次に示します。

     google.subject=assertion.sub,
     google.groups=assertion.group1,
     attribute.costcenter=assertion.costcenter

     この例では、OIDC アサーションの IdP 属性 subject、group1、costcenter をそれぞれ google.subject、google.groups、attribute.costcenter の各属性にマッピングしています。
   • ATTRIBUTE_CONDITION: 属性条件。例: assertion.role == 'gcp-users'この例の条件により、ロール gcp-users を持つユーザーのみがこのプロバイダを使用してログインできます。
   • JWK_JSON_PATH: ローカルにアップロードされた OIDC JWK へのパス（省略可）。このパラメータを指定しない場合、代わりに Google Cloud は IdP の /.well-known/openid-configuration パスを使用して公開鍵を含む JWK を取得します。ローカルにアップロードされた OIDC JWK の詳細については、OIDC JWK を管理するをご覧ください。

   コマンド レスポンスで、POOL_RESOURCE_NAME はプールの名前です。例: locations/global/workforcePools/enterprise-example-organization-employees

   暗黙的フロー

   ウェブログインに暗黙的フローを使用する OIDC プロバイダを作成するには、次のコマンドを実行します。

   gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
       --workforce-pool=WORKFORCE_POOL_ID \
       --display-name="DISPLAY_NAME" \
       --description="DESCRIPTION" \
       --issuer-uri="ISSUER_URI" \
       --client-id="OIDC_CLIENT_ID" \
       --web-sso-response-type="id-token" \
       --web-sso-assertion-claims-behavior="only-id-token-claims" \
       --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --jwk-json-path="JWK_JSON_PATH" \
       --location=global
   

   次のように置き換えます。

   • PROVIDER_ID: 一意のプロバイダ ID。接頭辞 gcp- は予約されているため、プールやプロバイダ ID では使用できません。
   • WORKFORCE_POOL_ID: IdP を接続する Workforce Identity プール ID。
   • DISPLAY_NAME: プロバイダのわかりやすい表示名。省略可能です。例: idp-eu-employees
   • DESCRIPTION: Workforce プロバイダの説明。省略可能です。例: IdP for Partner Example Organization employees
   • ISSUER_URI: https で始まる有効な URI 形式の OIDC 発行者 URI。例: https://example.com/oidc注: セキュリティ上の理由により、ISSUER_URI では HTTPS スキームを使用する必要があります。
   • OIDC_CLIENT_ID: OIDC IdP に登録されている OIDC クライアント ID。ID は、IdP によって発行された JWT の aud クレームと一致する必要があります。
   • WEB_SSO_ADDITIONAL_SCOPES: コンソール（連携）または gcloud CLI ブラウザベースのログイン用に OIDC IdP に送信する任意の追加スコープ
   • ATTRIBUTE_MAPPING: 属性マッピング。属性マッピングの例を次に示します。

     google.subject=assertion.sub,
     google.groups=assertion.group1,
     attribute.costcenter=assertion.costcenter

     この例では、OIDC アサーションの IdP 属性 subject、group1、costcenter をそれぞれ google.subject、google.groups、attribute.costcenter の各属性にマッピングしています。
   • ATTRIBUTE_CONDITION: 属性条件。例: assertion.role == 'gcp-users'この例の条件により、ロール gcp-users を持つユーザーのみがこのプロバイダを使用してログインできます。
   • JWK_JSON_PATH: ローカルにアップロードされた OIDC JWK へのパス（省略可）。このパラメータを指定しない場合、代わりに Google Cloud は IdP の /.well-known/openid-configuration パスを使用して公開鍵を含む JWK を取得します。ローカルにアップロードされた OIDC JWK の詳細については、OIDC JWK を管理するをご覧ください。

   コマンド レスポンスで、POOL_RESOURCE_NAME はプールの名前です。例: locations/global/workforcePools/enterprise-example-organization-employees

   接頭辞 gcp- は予約されているため、プールやプロバイダ ID では使用できません。

   OIDC 連携の場合は assertion.NAME を使用できます。これは、ID トークン ペイロードの同じ名前のクレーム値に等しい文字列です。

SAML Workforce プール プロバイダを作成する

1. SAML IdP で、Google Cloud Workforce Identity 連携用の新しいアプリケーションを登録します。

2. SAML アサーションのオーディエンスを設定します。通常、これは IdP 構成の SP Entity ID フィールドです。次の URL に設定する必要があります。

   https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/PROVIDER_ID
   

3. コンソールへのユーザー アクセスを設定する場合は、SAML IdP で、リダイレクト URL または Assertion Consumer Service（ACS）の URL フィールドを次の URL に設定します。

   https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

   コンソール ログインの構成の詳細については、コンソールへのユーザー アクセスを設定するをご覧ください。

4. Google Cloud で、IdP の SAML メタデータ ドキュメントを使用して SAML Workforce Identity プール プロバイダを作成します。IdP から SAML メタデータ XML ドキュメントをダウンロードできます。ドキュメントには少なくとも次のものが含まれている必要があります。

   • IdP の SAML エンティティ ID。
   • IdP のシングル サインオン URL。
   • 少なくとも 1 つの署名公開鍵。署名鍵の詳細については、このガイドの後述の鍵の要件をご覧ください。

  gcloud iam workforce-pools providers create-saml PROVIDER_ID \
      --workforce-pool=WORKFORCE_POOL_ID \
      --display-name="DISPLAY_NAME" \
      --description="DESCRIPTION" \
      --idp-metadata-path=METADATA_FILE_PATH \
      --attribute-mapping="ATTRIBUTE_MAPPING" \
      --attribute-condition="ATTRIBUTE_CONDITION" \
      --location=global

gcloud iam workforce-pools providers keys create KEY_ID \
    --workforce-pool WORKFORCE_POOL_ID \
    --provider PROVIDER_ID \
    --location global \
    --use encryption \
    --spec KEY_SPECIFICATION

gcloud iam workforce-pools providers keys describe KEY_ID \
    --workforce-pool WORKFORCE_POOL_ID \
    --provider PROVIDER_ID \
    --location global \
    --format "value(keyData.key)" \
    > CERTIFICATE_PATH

  gcloud iam workforce-pools providers keys delete KEY_ID \
      --workforce-pool WORKFORCE_POOL_ID \
      --provider PROVIDER_ID \
      --location global

IAM ポリシーでワーカープール ユーザーを表す

次の表に、単一ユーザー、ユーザー グループ、特定のクレームを持つユーザー、または Workforce プールのすべてのユーザーにロールを付与する際に使用するプリンシパル ID を示します。

プリンシパルに IAM ロールを付与する

単一の ID、ID のグループ、またはプール全体などのプリンシパルにロールを付与できます。

プロジェクトのロールをプリンシパルに付与するには、次のコマンドを実行します。

gcloud projects add-iam-policy-binding PROJECT_ID \
    --role="ROLE" \
    --member="PRINCIPAL"

次のように置き換えます。

• PROJECT_ID: プロジェクト ID
• ROLE: 設定するロール
• PRINCIPAL: プリンシパル。Workforce Identity 連携のプリンシパル ID をご覧ください。

次のコマンドでは、ストレージ管理者（roles/storage.admin）をグループ GROUP_ID 内のすべての ID に付与します。

gcloud projects add-iam-policy-binding my-project \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

プリンシパルの形式の詳細については、Workforce Identity 連携のプリンシパル ID をご覧ください。

ユーザーを削除する

Workforce Identity 連携は、連携ユーザー ID のユーザー メタデータとリソースを作成します。たとえば、IdP でユーザーを削除する場合は、Google Cloud でこれらのリソースも明示的に削除する必要があります。詳しくは、Workforce Identity 連携ユーザーとそのデータを削除するをご覧ください。

削除されたユーザーにリソースが引き続き関連付けられていることがあります。これは、ユーザーのメタデータとリソースの削除には長時間実行オペレーションが必要になるためです。ユーザー ID の削除を開始した後、削除前にユーザーが開始したプロセスは、プロセスが完了するかキャンセルされるまで引き続き実行されます。

次のステップ

• Workforce Identity 連携の有効期間が短い認証情報を取得する
• Workforce Identity プール プロバイダを管理する
• Workforce Identity 連携ユーザーとそのデータを削除する
• Workforce Identity 連携をサポートする Google Cloud プロダクトを確認する
• コンソール（連携）へのユーザー アクセスを設定する