Gérer les fournisseurs de pools d'identités de personnel

Ce guide explique comment effectuer des opérations courantes avec la fédération des identités des employés. Pour configurer la fédération des identités des employés, consultez les guides suivants :

Avant de commencer

  1. Vous devez avoir configuré une organisation Google Cloud .

  2. Installez la Google Cloud CLI. Une fois que la Google Cloud CLI est installée, initialisez-la en exécutant la commande suivante : 

    gcloud init

    Si vous utilisez un fournisseur d'identité (IdP) externe, vous devez d'abord vous connecter à la gcloud CLI avec votre identité fédérée.

Gérer les pools

Cette section explique comment gérer les pools d'identités des employés.

Créer un pool

Pour créer un pool de personnel, exécutez la commande suivante :

gcloud

Pour créer le pool d'identités de personnel, exécutez la commande suivante :

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Remplacez les éléments suivants :

  • WORKFORCE_POOL_ID : ID que vous choisissez pour représenter votre pool de personnel Google Cloud . Pour plus d'informations sur la mise en forme de l'ID, consultez la section Paramètres de requête dans la documentation de l'API.
  • ORGANIZATION_ID : ID d'organisation numérique de votre organisation Google Cloud pour le pool d'identités de personnel. Les pools d'identités de personnel sont disponibles dans tous les projets et dossiers de l'organisation.
  • DISPLAY_NAME : facultatif. Un nom à afficher pour votre pool d'identités d'employés.
  • DESCRIPTION : facultatif. Description du pool d'identités de personnel
  • SESSION_DURATION : facultatif. Durée de la session, exprimée sous la forme d'un nombre suivi de s (par exemple, 3600s). La durée de la session détermine la durée pendant laquelle les jetons d'accès Google Cloud , les sessions de connexion à la console (fédération) et les sessions de connexion à gcloud CLI de ce pool de personnel sont valides. La durée de la session est définie par défaut sur une heure (3 600 s). La valeur de la durée de la session doit être comprise entre 15 minutes (900 s) et 12 heures (43 200 s).

Console

Pour créer le pool d'identités de personnel, procédez comme suit :

  1. Dans la console Google Cloud , accédez à la page Pools d'identités de personnel :

    Accéder aux pools d'identités de personnel

  2. Sélectionnez l'organisation pour votre pool d'identités d'employés. Les pools d'identités Workforce sont disponibles pour tous les projets et dossiers d'une organisation.

  3. Cliquez sur Créer un pool et procédez comme suit :

    1. Dans le champ Nom, saisissez le nom à afficher du pool. L'ID du pool est automatiquement dérivé du nom au fur et à mesure de la saisie, et s'affiche sous le champ Nom. Vous pouvez modifier l'ID du pool en cliquant sur Modifier à côté de l'ID du pool.

    2. Facultatif : Dans le champ Description, saisissez une description du pool.

    3. Pour créer le pool d'identités de personnel, cliquez sur Suivant.

La durée de session du pool d'identités de personnel est définie par défaut sur une heure (3 600 s). La durée de la session détermine la durée pendant laquelle les jetons d'accès Google Cloud , la console (fédération) et les sessions de connexion à gcloud CLI de ce pool de personnel sont valides. Une fois le pool créé, vous pouvez le modifier pour définir une durée de session personnalisée. La durée de la session doit être comprise entre 15 minutes (900 s) et 12 heures (43 200 s).

Décrire un pool

gcloud

Pour décrire un pool de personnel spécifique en utilisant gcloud CLI, exécutez la commande suivante:

gcloud iam workforce-pools describe WORKFORCE_POOL_ID \
    --location=global

Remplacez WORKFORCE_POOL_ID par l'ID de pool de personnel que vous avez choisi lors de la création du pool.

Console

Pour décrire un pool de personnel spécifique à l'aide de la console Google Cloud , procédez comme suit :

  1. Accédez à la page Pools d'identités de personnel:

    Accéder aux pools d'identités de personnel

  2. Dans Pools de personnel, sélectionnez le pool

Répertorier les pools

gcloud

Pour répertorier les pools de personnel de l'organisation, exécutez la commande suivante :

gcloud iam workforce-pools list \
    --organization=ORGANIZATION_ID \
    --location=global

Remplacez ORGANIZATION_ID par votre ID d'organisation.

Console

Pour répertorier les pools de personnel à l'aide de la console Google Cloud , procédez comme suit :

  1. Accédez à la page Pools d'identités de personnel:

    Accéder aux pools d'identités de personnel

  2. Dans le tableau, affichez la liste des pools.

Mettre à jour un pool

gcloud

Pour mettre à jour un pool de personnel spécifique, exécutez la commande suivante :

gcloud iam workforce-pools update WORKFORCE_POOL_ID \
    --description=DESCRIPTION \
    --location=global

Remplacez les éléments suivants :

  • WORKFORCE_POOL_ID : ID du pool de personnel
  • DESCRIPTION : description du pool

Console

Pour mettre à jour un pool de personnel spécifique à l'aide de la console Google Cloud , procédez comme suit :

  1. Accédez à la page Pools d'identités de personnel:

    Accéder aux pools d'identités de personnel

  2. Dans le tableau, sélectionnez le pool.

  3. Mettez à jour les paramètres du pool.

  4. Cliquez sur Enregistrer le pool.

Supprimer un pool

gcloud

Pour supprimer un pool d'identités de personnel, exécutez la commande suivante :

gcloud iam workforce-pools delete WORKFORCE_POOL_ID \
    --location=global

Remplacez WORKFORCE_POOL_ID par l'ID du pool de personnel.

Console

Pour supprimer un pool de personnel spécifique à l'aide de la console Google Cloud , procédez comme suit :

  1. Accédez à la page Pools d'identités de personnel:

    Accéder aux pools d'identités de personnel

  2. DansPools de personnel, cliquez sur Supprimer sur le pool que vous souhaitez supprimer.

  3. Suivez les instructions supplémentaires.

Annuler la suppression d'un pool

Vous pouvez annuler la suppression d'un pool d'identités de personnel supprimé au cours des 30 derniers jours.

Pour annuler la suppression d'un pool, exécutez la commande suivante :

gcloud iam workforce-pools undelete WORKFORCE_POOL_ID \
    --location=global

Remplacez WORKFORCE_POOL_ID par l'ID du pool de personnel.

Configurer un fournisseur dans le pool de personnel

Cette section explique comment utiliser les commandes gcloud pour configurer des fournisseurs de pools d'identités des employés :

Créer un fournisseur OIDC

Cette section explique comment créer un fournisseur de pools d'identités des employés pour un fournisseur d'identité OIDC.

gcloud

Flux de code

Pour créer un fournisseur OIDC qui utilise un flux avec code d'autorisation pour la connexion Web, exécutez la commande suivante :

gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
    --client-secret-value="OIDC_CLIENT_SECRET" \
    --web-sso-response-type="code" \
    --web-sso-assertion-claims-behavior="merge-user-info-over-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --detailed-audit-logging \
    --location=global

Remplacez les éléments suivants :

  • WORKFORCE_PROVIDER_ID : ID unique de fournisseur de pools d'identités de personnel. Le préfixe gcp- est réservé et ne peut pas être utilisé dans un ID de pool d'identités de personnel ni dans un ID de fournisseur de pool d'identités de personnel.
  • WORKFORCE_POOL_ID : ID du pool d'identités des employés auquel connecter votre fournisseur d'identité.
  • DISPLAY_NAME : nom à afficher convivial et facultatif pour le fournisseur. Par exemple : idp-eu-employees.
  • DESCRIPTION : description facultative du fournisseur de personnel. Par exemple : IdP for Partner Example Organization employees.
  • ISSUER_URI : URI de l'émetteur OIDC, dans un format d'URI valide, commençant par https. Exemple : https://example.com/oidc. Remarque : Pour des raisons de sécurité, ISSUER_URI doit utiliser le schéma HTTPS.
  • OIDC_CLIENT_ID : ID client OIDC enregistré auprès de votre fournisseur d'identité OIDC. L'ID doit correspondre à la revendication aud du JWT émis par votre fournisseur d'identité.
  • OIDC_CLIENT_SECRET : code secret du client OIDC.
  • WEB_SSO_ADDITIONAL_SCOPES : champs d'application supplémentaires facultatifs à envoyer au fournisseur d'identité OIDC pour la connexion basée sur le navigateur, via la console (fédération) ou via gcloud CLI.
  • ATTRIBUTE_MAPPING : mappage d'attributs. Voici un exemple de mappage d'attributs : 
    google.subject=assertion.sub,
google.groups=assertion.group1,
attribute.costcenter=assertion.costcenter
     Cet exemple mappe les attributs de fournisseur d'identité subject, group1 et costcenter dans l'assertion OIDC avec les attributs google.subject, google.groups et attribute.costcenter, respectivement.
  • ATTRIBUTE_CONDITION : une condition d'attribut. Par exemple  assertion.role == 'gcp-users'. Cet exemple de condition garantit que seuls les utilisateurs disposant du rôle gcp-users peuvent se connecter via ce fournisseur.
  • JWK_JSON_PATH : chemin d'accès facultatif aux JWK OIDC importées localement. Si ce paramètre n'est pas spécifié, Google Cloud utilise à la place le chemin /.well-known/openid-configuration de votre IdP pour obtenir les JWK contenant les clés publiques. Pour en savoir plus sur les JWK OIDC importées localement, consultez Gérer les JWK OIDC.

  • La journalisation d'audit détaillée de la fédération des identités des employés enregistre les informations reçues de votre fournisseur d'identité dans Logging. La journalisation d'audit détaillée peut vous aider à résoudre les problèmes liés à la configuration de votre fournisseur de pools d'identités des employés. Pour savoir comment résoudre les erreurs de mappage d'attributs à l'aide de journaux d'audit détaillés, consultez Erreurs générales de mappage d'attributs. Pour en savoir plus sur les tarifs de Logging, consultez la page Tarifs de Google Cloud Observability.

    Pour désactiver la journalisation d'audit détaillée pour un fournisseur de pool d'identités de personnel, omettez l'indicateur --detailed-audit-logging lorsque vous exécutez gcloud iam workforce-pools providers create. Pour désactiver la journalisation d'audit détaillée, vous pouvez également mettre à jour le fournisseur.

Dans la réponse de la commande, POOL_RESOURCE_NAME correspond au nom du pool, par exemple locations/global/workforcePools/enterprise-example-organization-employees.

Flux implicite

Pour créer un fournisseur de pools d'identités de personnel OIDC qui utilise le flux implicite pour la connexion Web, exécutez la commande suivante :

gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
    --web-sso-response-type="id-token" \
    --web-sso-assertion-claims-behavior="only-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --detailed-audit-logging \
    --location=global

Remplacez les éléments suivants :

  • WORKFORCE_PROVIDER_ID : ID unique de fournisseur de pools d'identités de personnel. Le préfixe gcp- est réservé et ne peut pas être utilisé dans un ID de pool d'identités de personnel ni dans un ID de fournisseur de pool d'identités de personnel.
  • WORKFORCE_POOL_ID : ID du pool d'identités des employés auquel connecter votre fournisseur d'identité.
  • DISPLAY_NAME : nom à afficher convivial et facultatif pour le fournisseur. Par exemple : idp-eu-employees.
  • DESCRIPTION : description facultative du fournisseur de personnel. Par exemple : IdP for Partner Example Organization employees.
  • ISSUER_URI : URI de l'émetteur OIDC, dans un format d'URI valide, commençant par https. Exemple : https://example.com/oidc. Remarque : Pour des raisons de sécurité, ISSUER_URI doit utiliser le schéma HTTPS.
  • OIDC_CLIENT_ID : ID client OIDC enregistré auprès de votre fournisseur d'identité OIDC. L'ID doit correspondre à la revendication aud du JWT émis par votre fournisseur d'identité.
  • WEB_SSO_ADDITIONAL_SCOPES : champs d'application supplémentaires facultatifs à envoyer au fournisseur d'identité OIDC pour la connexion basée sur le navigateur, via la console (fédération) ou via gcloud CLI.
  • ATTRIBUTE_MAPPING : mappage d'attributs. Voici un exemple de mappage d'attributs : 
    google.subject=assertion.sub,
google.groups=assertion.group1,
attribute.costcenter=assertion.costcenter
     Cet exemple mappe les attributs de fournisseur d'identité subject, group1 et costcenter dans l'assertion OIDC avec les attributs google.subject, google.groups et attribute.costcenter, respectivement.
  • ATTRIBUTE_CONDITION : une condition d'attribut. Par exemple  assertion.role == 'gcp-users'. Cet exemple de condition garantit que seuls les utilisateurs disposant du rôle gcp-users peuvent se connecter via ce fournisseur.
  • JWK_JSON_PATH : chemin d'accès facultatif aux JWK OIDC importées localement. Si ce paramètre n'est pas spécifié, Google Cloud utilise à la place le chemin /.well-known/openid-configuration de votre IdP pour obtenir les JWK contenant les clés publiques. Pour en savoir plus sur les JWK OIDC importées localement, consultez Gérer les JWK OIDC.

  • La journalisation d'audit détaillée de la fédération des identités des employés enregistre les informations reçues de votre fournisseur d'identité dans Logging. La journalisation d'audit détaillée peut vous aider à résoudre les problèmes liés à la configuration de votre fournisseur de pools d'identités des employés. Pour savoir comment résoudre les erreurs de mappage d'attributs à l'aide de journaux d'audit détaillés, consultez Erreurs générales de mappage d'attributs. Pour en savoir plus sur les tarifs de Logging, consultez la page Tarifs de Google Cloud Observability.

    Pour désactiver la journalisation d'audit détaillée pour un fournisseur de pool d'identités de personnel, omettez l'indicateur --detailed-audit-logging lorsque vous exécutez gcloud iam workforce-pools providers create. Pour désactiver la journalisation d'audit détaillée, vous pouvez également mettre à jour le fournisseur.

Dans la réponse de la commande, POOL_RESOURCE_NAME correspond au nom du pool, par exemple locations/global/workforcePools/enterprise-example-organization-employees.

Console

Flux de code

  1. Dans la console Google Cloud , accédez à la page Pools d'identités de personnel :

    Accéder aux pools d'identités de personnel

  2. Dans le tableau Pools d'identités de personnel, sélectionnez le pool pour lequel vous souhaitez créer le fournisseur.

  3. Dans le tableau Fournisseurs, cliquez sur Ajouter un fournisseur.

  4. Dans Sélectionner un protocole, sélectionnez Open ID Connect (OIDC).

  5. Dans Créer un fournisseur de pools, procédez comme suit :

    1. Dans Nom, saisissez le nom du fournisseur.
    2. Dans le champ Issuer (URL) (Émetteur (URL)), saisissez l'URI de l'émetteur. L'URI d'émetteur OIDC doit être dans un format d'URI valide et commencer par https. Exemple : https://example.com/oidc.
    3. Saisissez l'ID client, qui est l'ID client OIDC enregistré auprès de votre fournisseur d'identité OIDC. L'ID doit correspondre à la revendication aud du jeton JWT émis par votre fournisseur d'identité.
    4. Pour créer un fournisseur activé, assurez-vous que l'option fournisseur activé est activée.
    5. Cliquez sur Continuer.

  6. Dans Type de flux, procédez comme suit : Le type de flux n'est utilisé que pour un flux d'authentification unique basé sur le Web.

    1. Dans Type de flux, sélectionnez Code.
    2. Dans Code secret du client, saisissez le code secret du client à partir de votre fournisseur d'identité.

    3. Dans le champ Comportement des revendications d'assertion, sélectionnez l'une des options suivantes :

      • Informations sur l'utilisateur et jeton d'ID
      • Jeton d'ID uniquement

    4. Cliquez sur Continuer.

  7. Dans Configurer le fournisseur, vous pouvez configurer un mappage d'attributs et une condition d'attribut. Pour créer un mappage d'attributs, procédez comme suit : Vous pouvez indiquer le nom du champ du fournisseur d'identité ou une expression au format CEL qui renvoie une chaîne.

    1. Obligatoire : dans OIDC 1, saisissez l'objet du fournisseur d'identité. Exemple : assertion.sub.

    2. Facultatif : pour ajouter des mappages d'attributs supplémentaires, procédez comme suit :

      1. Cliquez sur Ajouter un mappage.
      2. Dans Google n, où n est un nombre, saisissez l'une des clés compatibles avecGoogle Cloud.
      3. Dans le champ OIDC n correspondant, saisissez le nom du champ spécifique au fournisseur d'identité à mapper, au format CEL.

    3. Pour créer une condition d'attribut, procédez comme suit :

      1. Cliquez sur Ajouter une condition :
      2. Dans Conditions d'attribut, saisissez une condition au format CEL. Par exemple, assertion.role == 'gcp-users'. Cet exemple de condition garantit que seuls les utilisateurs disposant du rôle gcp-users peuvent se connecter via ce fournisseur.

    4. Pour activer la journalisation d'audit détaillée, dans Journalisation détaillée, cliquez sur le bouton Activer la journalisation détaillée des valeurs d'attributs.

      La journalisation d'audit détaillée de la fédération des identités des employés enregistre les informations reçues de votre fournisseur d'identité dans Logging. La journalisation d'audit détaillée peut vous aider à résoudre les problèmes liés à la configuration de votre fournisseur de pools d'identités des employés. Pour savoir comment résoudre les erreurs de mappage d'attributs à l'aide de journaux d'audit détaillés, consultez Erreurs générales de mappage d'attributs. Pour en savoir plus sur les tarifs de Logging, consultez la page Tarifs de Google Cloud Observability.

      Pour désactiver la journalisation d'audit détaillée pour un fournisseur de pool d'identités de personnel, omettez l'indicateur --detailed-audit-logging lorsque vous exécutez gcloud iam workforce-pools providers create. Pour désactiver la journalisation d'audit détaillée, vous pouvez également mettre à jour le fournisseur.

  8. Pour créer le fournisseur, cliquez sur Envoyer.

Flux implicite

  1. Dans la console Google Cloud , accédez à la page Pools d'identités de personnel :

    Accéder aux pools d'identités de personnel

  2. Dans le tableau Pools d'identités de personnel, sélectionnez le pool pour lequel vous souhaitez créer le fournisseur.

  3. Dans le tableau Fournisseurs, cliquez sur Ajouter un fournisseur.

  4. Dans Sélectionner un protocole, sélectionnez Open ID Connect (OIDC).

  5. Dans Créer un fournisseur de pools, procédez comme suit :

    1. Dans Nom, saisissez un nom pour le fournisseur.
    2. Dans le champ Issuer (URL) (Émetteur (URL)), saisissez l'URI de l'émetteur. L'URI d'émetteur OIDC doit être dans un format d'URI valide et commencer par https. Exemple : https://example.com/oidc.
    3. Saisissez l'ID client, qui est l'ID client OIDC enregistré auprès de votre fournisseur d'identité OIDC. L'ID doit correspondre à la revendication aud du jeton JWT émis par votre fournisseur d'identité.
    4. Pour créer un fournisseur activé, assurez-vous que l'option fournisseur activé est activée.
    5. Cliquez sur Continuer.

  6. Dans Type de flux, procédez comme suit : Le type de flux n'est utilisé que pour un flux d'authentification unique basé sur le Web.

    1. Dans Type de flux, sélectionnez Jeton d'ID.
    2. Cliquez sur Continuer.

  7. Dans Configurer le fournisseur, vous pouvez configurer un mappage d'attributs et une condition d'attribut. Pour créer un mappage d'attributs, procédez comme suit : Vous pouvez indiquer le nom du champ du fournisseur d'identité ou une expression au format CEL qui renvoie une chaîne.

    1. Obligatoire : dans OIDC 1, saisissez l'objet du fournisseur d'identité. Exemple : assertion.sub.

    2. Facultatif : pour ajouter des mappages d'attributs supplémentaires, procédez comme suit :

      1. Cliquez sur Ajouter un mappage.
      2. Dans Google n, où n est un nombre, saisissez l'une des clés compatibles avecGoogle Cloud.
      3. Dans le champ OIDC n correspondant, saisissez le nom du champ spécifique au fournisseur d'identité à mapper, au format CEL.

    3. Pour créer une condition d'attribut, procédez comme suit :

      1. Cliquez sur Ajouter une condition :

      2. Dans Conditions d'attribut, saisissez une condition au format CEL. Par exemple, assertion.role == 'gcp-users'. Cet exemple de condition garantit que seuls les utilisateurs disposant du rôle gcp-users peuvent se connecter via ce fournisseur.

    4. Pour activer la journalisation d'audit détaillée, dans Journalisation détaillée, cliquez sur le bouton Activer la journalisation détaillée des valeurs d'attributs.

      La journalisation d'audit détaillée de la fédération des identités des employés enregistre les informations reçues de votre fournisseur d'identité dans Logging. La journalisation d'audit détaillée peut vous aider à résoudre les problèmes liés à la configuration de votre fournisseur de pools d'identités des employés. Pour savoir comment résoudre les erreurs de mappage d'attributs à l'aide de journaux d'audit détaillés, consultez Erreurs générales de mappage d'attributs. Pour en savoir plus sur les tarifs de Logging, consultez la page Tarifs de Google Cloud Observability.

      Pour désactiver la journalisation d'audit détaillée pour un fournisseur de pool d'identités de personnel, omettez l'indicateur --detailed-audit-logging lorsque vous exécutez gcloud iam workforce-pools providers create. Pour désactiver la journalisation d'audit détaillée, vous pouvez également mettre à jour le fournisseur.

  8. Pour créer le fournisseur, cliquez sur Envoyer.

Créer un fournisseur SAML

Cette section explique comment créer un fournisseur de pools d'identités des employés pour un fournisseur d'identité SAML.

gcloud

Pour créer le fournisseur, exécutez la commande suivante :

gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
    --workforce-pool="WORKFORCE_POOL_ID" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --idp-metadata-path="XML_METADATA_PATH" \
    --detailed-audit-logging \
    --location="global"

Remplacez les éléments suivants :

  • WORKFORCE_PROVIDER_ID : ID du fournisseur de personnel
  • WORKFORCE_POOL_ID : ID du pool de personnel

  • ATTRIBUTE_MAPPING : mappage d'attributs. Par exemple, pour mapper un sujet, le mappage est le suivant :

    
google.subject=assertion.subject,
google.groups=assertion.attributes['https://example.com/aliases'],
attribute.department=assertion.attributes.department[0]

  • ATTRIBUTE_CONDITION : condition d'attribut facultative. Par exemple : assertion.subject.endsWith("@example.com").

  • XML_METADATA_PATH : chemin d'accès au fichier de métadonnées au format XML de votre fournisseur d'identité.

Le préfixe gcp- est réservé et ne peut pas être utilisé dans un ID de pool d'identités de personnel ni dans un ID de fournisseur de pool d'identités de personnel.

Cette commande attribue l'objet et le service dans l'assertion SAML aux attributs google.subject et attribute.department, respectivement. En outre, la condition d'attribut garantit que seuls les utilisateurs dont l'objet se termine par @example.com peuvent se connecter en utilisant ce fournisseur de personnel.

La journalisation d'audit détaillée de la fédération des identités des employés enregistre les informations reçues de votre fournisseur d'identité dans Logging. La journalisation d'audit détaillée peut vous aider à résoudre les problèmes liés à la configuration de votre fournisseur de pools d'identités des employés. Pour savoir comment résoudre les erreurs de mappage d'attributs à l'aide de journaux d'audit détaillés, consultez Erreurs générales de mappage d'attributs. Pour en savoir plus sur les tarifs de Logging, consultez la page Tarifs de Google Cloud Observability.

Pour désactiver la journalisation d'audit détaillée pour un fournisseur de pool d'identités de personnel, omettez l'indicateur --detailed-audit-logging lorsque vous exécutez gcloud iam workforce-pools providers create. Pour désactiver la journalisation d'audit détaillée, vous pouvez également mettre à jour le fournisseur.

Console

Pour configurer le fournisseur SAML à l'aide de la console Google Cloud , procédez comme suit :

  1. Dans la console Google Cloud , accédez à la page Pools d'identités de personnel :

    Accéder aux pools d'identités de personnel

  2. Dans le tableau Pools d'identités de personnel, sélectionnez le pool pour lequel vous souhaitez créer le fournisseur.

  3. Dans le tableau Fournisseurs, cliquez sur Ajouter un fournisseur.

  4. Dans Sélectionner un protocole, sélectionnez SAML.

  5. Dans Créer un fournisseur de pools, procédez comme suit :

    1. Dans Nom, saisissez un nom pour le fournisseur.

    2. Facultatif : Dans le champ Description, saisissez une description du fournisseur.

    3. Dans Fichier de métadonnées IdP (XML), sélectionnez le fichier XML de métadonnées que vous avez généré précédemment dans ce guide.

    4. Assurez-vous que l'option fournisseur activé est activée.

    5. Cliquez sur Continuer.

  6. Dans Configurer le fournisseur, procédez comme suit :

    1. Dans Mappage des attributs, saisissez une expression CEL pour google.subject.

    2. Facultatif : Pour définir d'autres mappages, cliquez sur Ajouter un mappage et saisissez d'autres mappages. Par exemple :

      google.subject=assertion.subject,
google.groups=assertion.attributes['https://example.com/aliases'],
attribute.costcenter=assertion.attributes.costcenter[0]
       Cet exemple mappe les attributs IdP assertion.subject, assertion.attributes['https://example.com/aliases'] et assertion.attributes.costcenter[0] sur les attributs Google Cloud google.subject, google.groups et google.costcenter, respectivement.

    3. Facultatif : pour ajouter une condition d'attribut, cliquez sur Ajouter une condition, puis saisissez une expression CEL représentant une condition d'attribut. Par exemple, pour limiter l'attribut ipaddr à une certaine plage d'adresses IP, vous pouvez définir la condition assertion.attributes.ipaddr.startsWith('98.11.12.'). Cet exemple de condition garantit que seuls les utilisateurs dont l'adresse IP commence par 98.11.12. peuvent se connecter en utilisant ce fournisseur de personnel.

    4. Cliquez sur Continuer.

    5. Pour activer la journalisation d'audit détaillée, dans Journalisation détaillée, cliquez sur le bouton Activer la journalisation détaillée des valeurs d'attributs.

      La journalisation d'audit détaillée de la fédération des identités des employés enregistre les informations reçues de votre fournisseur d'identité dans Logging. La journalisation d'audit détaillée peut vous aider à résoudre les problèmes liés à la configuration de votre fournisseur de pools d'identités des employés. Pour savoir comment résoudre les erreurs de mappage d'attributs à l'aide de journaux d'audit détaillés, consultez Erreurs générales de mappage d'attributs. Pour en savoir plus sur les tarifs de Logging, consultez la page Tarifs de Google Cloud Observability.

      Pour désactiver la journalisation d'audit détaillée pour un fournisseur de pool d'identités de personnel, omettez l'indicateur --detailed-audit-logging lorsque vous exécutez gcloud iam workforce-pools providers create. Pour désactiver la journalisation d'audit détaillée, vous pouvez également mettre à jour le fournisseur.

  7. Pour créer le fournisseur, cliquez sur Envoyer.

Décrire un fournisseur

gcloud

Pour décrire un fournisseur, exécutez la commande suivante:

gcloud iam workforce-pools providers describe PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Remplacez les éléments suivants :

  • PROVIDER_ID : ID du fournisseur
  • WORKFORCE_POOL_ID : ID du pool de personnel

Console

Pour afficher un fournisseur, procédez comme suit:

  1. Accédez à la page Pools d'identités de personnel:

Accéder aux pools d'identités de personnel

  1. Dans le tableau, sélectionnez le pool pour lequel vous souhaitez afficher le fournisseur.

  2. Dans le tableau Fournisseurs, sélectionnez le fournisseur.

Répertorier les fournisseurs

gcloud

Pour répertorier les fournisseurs, exécutez la commande suivante :

gcloud iam workforce-pools providers list \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Remplacez WORKFORCE_POOL_ID par l'ID du pool de personnel.

Console

Pour afficher un fournisseur, procédez comme suit:

  1. Accédez à la page Pools d'identités de personnel:

Accéder aux pools d'identités de personnel

  1. Dans le tableau, sélectionnez le pool pour lequel vous souhaitez répertorier les fournisseurs.

  2. La table Fournisseurs affiche une liste de fournisseurs.

Mettre à jour un fournisseur

gcloud

Pour mettre à jour un fournisseur OIDC après sa création, exécutez la commande suivante :

gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --description="DESCRIPTION" \
    --detailed-audit-logging \
    --location=global

Remplacez les éléments suivants :

  • PROVIDER_ID : ID du fournisseur
  • WORKFORCE_POOL_ID : ID du pool de personnel
  • DESCRIPTION : description
  • Pour activer la journalisation d'audit détaillée, ajoutez l'option --detailed-audit-logging à gcloud iam workforce-pools providers update. Pour désactiver la journalisation d'audit détaillée, ajoutez l'indicateur --no-detailed-audit-logging à la commande de mise à jour.

Console

Pour afficher un fournisseur, procédez comme suit:

  1. Accédez à la page Pools d'identités de personnel:

Accéder aux pools d'identités de personnel

  1. Dans le tableau, sélectionnez le pool pour lequel vous souhaitez afficher le fournisseur.

  2. Dans le tableau Fournisseurs, cliquez sur Modifier.

  3. Mettez à jour le fournisseur.

  4. Pour enregistrer le fournisseur mis à jour, cliquez sur Enregistrer.

Supprimer un fournisseur

Pour supprimer un fournisseur, exécutez la commande suivante :

gcloud iam workforce-pools providers delete PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Remplacez les éléments suivants :

  • PROVIDER_ID : ID du fournisseur
  • WORKFORCE_POOL_ID : ID du pool de personnel

Annuler la suppression d'un fournisseur

Pour annuler la suppression d'un fournisseur au cours des 30 derniers jours, exécutez la commande suivante :

gcloud iam workforce-pools providers undelete PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Remplacez les éléments suivants :

  • PROVIDER_ID : ID du fournisseur
  • WORKFORCE_POOL_ID : ID du pool de personnel

Gérer les JWK OIDC

Cette section explique comment gérer les JWK OIDC dans les fournisseurs de pools d'employés.

Créer un fournisseur et importer des JWK OIDC

Pour créer des JWK OIDC, consultez la page Implémentations JWT, JWS, JWE, JWK et JWA.

Pour importer un fichier JWK OIDC lorsque vous créez un fournisseur de pools d'employés, exécutez la commande gcloud iam workforce-pools providers create-oidc avec l'option --jwk-json-path="JWK_JSON_PATH". Remplacez JWK_JSON_PATH par le chemin d'accès au fichier JSON des JWK.

Cette opération importe les clés à partir du fichier.

Mettre à jour les JWK OIDC

Pour mettre à jour les JWK OIDC, exécutez la commande gcloud iam workforce-pools providers update-oidc avec l'option --jwk-json-path="JWK_JSON_PATH". Remplacez JWK_JSON_PATH par le chemin d'accès au fichier JSON des JWK.

Cette opération remplace les clés importées existantes par celles du fichier.

Supprimer toutes les JWK OIDC importées

Pour supprimer toutes les JWK OIDC importées et utiliser à la place l'URI de l'émetteur pour extraire les clés, exécutez la commande gcloud iam worker-pools providers update-oidc avec l'option --jwk-json-path="JWK_JSON_PATH". Remplacez JWK_JSON_PATH par le chemin d'accès à un fichier vide. Utilisez l'option --issuer-uri pour définir l'URI de l'émetteur.

Cette opération supprime toutes les clés importées existantes.

Étape suivante