Gestire i provider di pool di identità per la forza lavoro

Console

Per creare il pool di identità della forza lavoro, segui questi passaggi:

1. Nella console Google Cloud, vai alla pagina Pool di identità del personale:

   Vai a Pool di identità della forza lavoro

2. Fai clic su Crea pool e segui questi passaggi:

   1. Nel campo Nome, inserisci il nome visualizzato del pool. L'ID pool viene ricavato automaticamente dal nome durante la digitazione e visualizzato nel campo Nome. Puoi aggiornare l'ID pool facendo clic su Modifica accanto all'ID pool.

   2. (Facoltativo) In Descrizione, inserisci una descrizione del pool.

   3. L'opzione Durata sessione è impostata per impostazione predefinita. Per inserire una durata personalizzata della sessione, fai clic su Modifica. La durata della sessione determina la durata di validità dei token di accesso di Google Cloud, delle sessioni di accesso alla console (federata) e delle sessioni di accesso a gcloud CLI di questo pool di personale. La durata deve essere superiore a 15 minuti (900 secondi) e inferiore a 12 ore (43200 secondi). Se la durata della sessione non è impostata, viene applicata per impostazione predefinita una durata di un'ora (3600 secondi).

   4. Per creare il pool nello stato abilitato, assicurati che Pool abilitato sia attivo.

   5. Per creare il pool di identità del personale, fai clic su Avanti.

gcloud

Per creare il pool di identità del personale, esegui il seguente comando:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Sostituisci quanto segue:

• WORKFORCE_POOL_ID: un ID che scegli per rappresentare la tua forza lavoro Google Cloud. Per informazioni sulla formattazione dell'ID, consulta la sezione Parametri di query nella documentazione dell'API.
• ORGANIZATION_ID: l'ID numerico della tua organizzazione Google Cloud.
• DISPLAY_NAME: facoltativo. Un nome visualizzato per il pool di identità della forza lavoro.
• DESCRIPTION: facoltativo. Una descrizione del pool di identità della forza lavoro.
• SESSION_DURATION: facoltativo. La durata della sessione, che determina per quanto tempo sono validi i token di accesso di Google Cloud, le sessioni di accesso della console (federata) e le sessioni di accesso con gcloud CLI da questo pool di forza lavoro. La durata deve essere superiore a 15 minuti (900 secondi) e inferiore a 12 ore (43200 secondi). Se la durata della sessione non è impostata, viene applicata per impostazione predefinita una durata di un'ora (3600 secondi).

Console

Per descrivere un pool di risorse specifiche utilizzando la console Google Cloud, segui questi passaggi:

1. Vai alla pagina Pool di identità della forza lavoro:

   Vai a Pool di identità della forza lavoro

2. In Pool della forza lavoro, seleziona il pool

gcloud

Per descrivere un pool di risorse specifiche utilizzando gcloud CLI, esegui il seguente comando:

gcloud iam workforce-pools describe WORKFORCE_POOL_ID \
    --location=global

Sostituisci WORKFORCE_POOL_ID con l'ID del pool di forza lavoro scelto quando hai creato il pool.

Console

Per elencare i pool di personale utilizzando la console Google Cloud, segui questi passaggi:

1. Vai alla pagina Pool di identità della forza lavoro:

   Vai a Pool di identità della forza lavoro

2. Nella tabella, visualizza l'elenco dei pool.

gcloud

Per elencare i pool di risorse umane dell'organizzazione, esegui il seguente comando:

gcloud iam workforce-pools list \
    --organization=ORGANIZATION_ID \
    --location=global

Sostituisci ORGANIZATION_ID con l'ID della tua organizzazione.

Console

Per aggiornare un pool di personale specifico utilizzando la console Google Cloud, segui questi passaggi:

1. Vai alla pagina Pool di identità della forza lavoro:

   Vai a Pool di identità della forza lavoro

2. Nella tabella, seleziona il pool.

3. Aggiorna i parametri del pool.

4. Fai clic su Salva pool.

gcloud

Per aggiornare un pool di risorse specifiche, esegui il seguente comando:

gcloud iam workforce-pools update WORKFORCE_POOL_ID \
    --description=DESCRIPTION \
    --location=global

Sostituisci quanto segue:

• WORKFORCE_POOL_ID: l'ID del pool di forza lavoro
• DESCRIPTION: la descrizione del pool

Console

Per eliminare un pool di risorse specifiche utilizzando la console Google Cloud, procedi nel seguente modo:

1. Vai alla pagina Pool di identità della forza lavoro:

   Vai a Pool di identità della forza lavoro

2. In Pool di risorse umane, fai clic su more_vert Elimina sul pool da eliminare.

3. Segui le istruzioni aggiuntive.

gcloud

Per eliminare un pool di identità del personale, esegui il seguente comando:

gcloud iam workforce-pools delete WORKFORCE_POOL_ID \
    --location=global

Sostituisci WORKFORCE_POOL_ID con l'ID del pool di personale.

Console

1. Nella console Google Cloud, vai alla pagina Pool di identità del personale:

   Vai a Pool di identità della forza lavoro

2. Nella tabella Pool di identità della forza lavoro, seleziona il pool per cui vuoi creare il provider.

3. Nella tabella Fornitori, fai clic su Aggiungi fornitore.

4. In Seleziona un protocollo, seleziona OpenID Connect (OIDC).

5. In Crea un provider di pool, segui questi passaggi:

   1. In Nome, inserisci un nome per il provider.
   2. In Emittente (URL), inserisci l'URI dell'emittente. L'URI dell'emittente OIDC deve essere in un formato URI valido e iniziare con https; ad esempio, https://example.com/oidc.
   3. Inserisci l'ID client, l'ID client OIDC registrato con il tuo IdP OIDC. L'ID deve corrispondere al claim aud del JWT emesso dal tuo IdP.
   4. Per creare un provider abilitato, assicurati che l'opzione Provider abilitato sia attivata.
   5. Fai clic su Continua.

6. In Tipo di risposta, segui questi passaggi: Il tipo di risposta viene utilizzato solo per un flusso di Single Sign-On basato sul web.

   1. In Tipo di risposta, seleziona Codice.
   2. In Client secret, inserisci il client secret della tua IdP.

   3. In Comportamento delle rivendicazioni per affermazioni, seleziona una delle seguenti opzioni:

      • Informazioni utente e token ID
      • Solo token ID

   4. Fai clic su Continua.

7. In Configura provider, puoi configurare una mappatura degli attributi e una condizione dell'attributo. Per creare una mappatura degli attributi: Puoi fornire il nome del campo dell'IDP o un'espressione in formato CEL che restituisce una stringa.

   1. Obbligatorio: in OIDC 1, inserisci il soggetto dell'IdP, ad esempio assertion.sub.

   2. (Facoltativo) Per aggiungere altre mappature degli attributi, procedi nel seguente modo:

      1. Fai clic su Aggiungi mappatura.
      2. In Google n, dove n è un numero, inserisci una delle chiavi supportate da Google Cloud.
      3. Nel campo OIDC n corrispondente, inserisci il nome del campo specifico dell'IDP da mappare, in formato CEL.

   3. Per creare una condizione dell'attributo:

      1. Fai clic su Aggiungi condizione.
      2. In Condizioni attributi, inserisci una condizione in formato CEL, ad esempio assertion.role == 'gcp-users'. Questa condizione di esempio garantisce che solo gli utenti con il ruolo gcp-users possano accedere utilizzando questo provider.

8. Per creare il provider, fai clic su Invia.

   Flusso implicito

   1. Nella console Google Cloud, vai alla pagina Pool di identità del personale:

      Vai a Pool di identità della forza lavoro

   2. Nella tabella Pool di identità della forza lavoro, seleziona il pool per cui vuoi creare il provider.

   3. Nella tabella Fornitori, fai clic su Aggiungi fornitore.

   4. In Seleziona un protocollo, seleziona OpenID Connect (OIDC).

   5. In Crea un provider di pool, segui questi passaggi:

      1. In Nome, inserisci un nome per il provider.
      2. In Emittente (URL), inserisci l'URI dell'emittente. L'URI dell'emittente OIDC deve essere in un formato URI valido e iniziare con https; ad esempio, https://example.com/oidc.
      3. Inserisci l'ID client, l'ID client OIDC registrato con il tuo IdP OIDC. L'ID deve corrispondere al claim aud del JWT emesso dal tuo IdP.
      4. Per creare un provider abilitato, assicurati che l'opzione Provider abilitato sia attivata.
      5. Fai clic su Continua.

   6. In Tipo di risposta, segui questi passaggi: Il tipo di risposta viene utilizzato solo per un flusso di Single Sign-On basato sul web.

      1. In Tipo di risposta, seleziona Token ID.
      2. Fai clic su Continua.

   7. In Configura provider, puoi configurare una mappatura degli attributi e una condizione dell'attributo. Per creare una mappatura degli attributi: Puoi fornire il nome del campo dell'IDP o un'espressione in formato CEL che restituisce una stringa.

      1. Obbligatorio: in OIDC 1, inserisci il soggetto dell'IdP, ad esempio assertion.sub.

      2. (Facoltativo) Per aggiungere altre mappature degli attributi, procedi nel seguente modo:

         1. Fai clic su Aggiungi mappatura.
         2. In Google n, dove n è un numero, inserisci una delle chiavi supportate da Google Cloud.
         3. Nel campo OIDC n corrispondente, inserisci il nome del campo specifico dell'IDP da mappare, in formato CEL.

      3. Per creare una condizione dell'attributo:

         1. Fai clic su Aggiungi condizione.

         2. In Condizioni attributi, inserisci una condizione in formato CEL, ad esempio assertion.role == 'gcp-users'. Questa condizione di esempio garantisce che solo gli utenti con il ruolo gcp-users possano accedere utilizzando questo provider.

   8. Per creare il provider, fai clic su Invia.

gcloud

gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
    --client-secret-value="OIDC_CLIENT_SECRET" \
    --web-sso-response-type="code" \
    --web-sso-assertion-claims-behavior="merge-user-info-over-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --location=global

gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
    --web-sso-response-type="id-token" \
    --web-sso-assertion-claims-behavior="only-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --location=global

Console

Per configurare il provider SAML utilizzando la console Google Cloud, segui questi passaggi:

1. Nella console Google Cloud, vai alla pagina Pool di identità del personale:

   Vai a Pool di identità della forza lavoro

2. Nella tabella Pool di identità della forza lavoro, seleziona il pool per cui vuoi creare il provider.

3. Nella tabella Fornitori, fai clic su Aggiungi fornitore.

4. In Seleziona un protocollo, seleziona SAML.

5. In Crea un provider di pool, segui questi passaggi:

   1. In Nome, inserisci un nome per il provider.

   2. (Facoltativo) In Descrizione, inserisci una descrizione del fornitore.

   3. In File di metadati IDP (XML), seleziona il file XML dei metadati che hai generato in precedenza in questa guida.

   4. Assicurati che l'opzione Provider abilitato sia attivata.

   5. Fai clic su Continua.

6. In Configura provider:

   1. In Mappatura degli attributi, inserisci un'espressione CEL pergoogle.subject.

   2. (Facoltativo) Per inserire altre mappature, fai clic su Aggiungi mappatura e inserisci altre mappature, ad esempio:

      google.subject=assertion.subject,
      google.groups=assertion.attributes['https://example.com/aliases'],
      attribute.costcenter=assertion.attributes.costcenter[0]

      Questo esempio mappa gli attributi IdP assertion.subject, assertion.attributes['https://example.com/aliases'] e assertion.attributes.costcenter[0] agli attributi Google Cloud google.subject, google.groups e google.costcenter, rispettivamente.

   3. (Facoltativo) Per aggiungere una condizione dell'attributo, fai clic su Aggiungi condizione e inserisci un'espressione CEL che rappresenti una condizione dell'attributo. Ad esempio, per limitare l'attributo ipaddr a un determinato intervallo IP, puoi impostare la condizione assertion.attributes.ipaddr.startsWith('98.11.12.'). Questa condizione di esempio garantisce che solo gli utenti con un indirizzo IP che inizia con 98.11.12. possano accedere utilizzando questo fornitore di personale.

   4. Fai clic su Continua.

7. Per creare il provider, fai clic su Invia.

gcloud

Per creare il provider, esegui il seguente comando:

gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
    --workforce-pool="WORKFORCE_POOL_ID" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --idp-metadata-path="XML_METADATA_PATH" \
    --location="global"

Sostituisci quanto segue:

• WORKFORCE_PROVIDER_ID: l'ID del provider di forza lavoro
• WORKFORCE_POOL_ID: l'ID del pool di forza lavoro

• ATTRIBUTE_MAPPING: una mappatura degli attributi. ad esempio, per mappare un oggetto, la mappatura degli attributi è la seguente:

  
  google.subject=assertion.subject,
  google.groups=assertion.attributes['https://example.com/aliases'],
  attribute.department=assertion.attributes.department[0]
  

• ATTRIBUTE_CONDITION: una condizione dell'attributo facoltativa; ad esempio, assertion.subject.endsWith("@example.com")

• XML_METADATA_PATH: il percorso del file di metadati in formato XML del tuo IdP

Il prefisso gcp- è riservato e non può essere utilizzato in un pool di identità per la forza lavoro o nell'ID provider di pool di identità per la forza lavoro.

Questo comando assegna l'oggetto e il reparto nell'affermazione SAML agli attributi google.subject e attribute.department, rispettivamente. Inoltre, la condizione dell'attributo garantisce che solo gli utenti con un oggetto che termina con @example.com possano accedere utilizzando questo fornitore di personale.

Console

Per visualizzare un fornitore:

1. Vai alla pagina Pool di identità della forza lavoro:

Vai a Pool di identità della forza lavoro

1. Nella tabella, seleziona il pool per cui vuoi visualizzare il provider.

2. Nella tabella Fornitori, seleziona il fornitore.

gcloud

Per descrivere un provider, esegui il seguente comando:

gcloud iam workforce-pools providers describe PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Sostituisci quanto segue:

• PROVIDER_ID: l'ID provider
• WORKFORCE_POOL_ID: l'ID del pool di forza lavoro

Console

Per visualizzare un fornitore:

1. Vai alla pagina Pool di identità della forza lavoro:

Vai a Pool di identità della forza lavoro

1. Nella tabella, seleziona il pool per cui vuoi elencare i fornitori.

2. Nella tabella Fornitori puoi vedere un elenco di fornitori.

gcloud

Per elencare i provider, esegui il seguente comando:

gcloud iam workforce-pools providers list \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Sostituisci WORKFORCE_POOL_ID con l'ID del pool di personale.

Console

Per visualizzare un fornitore:

1. Vai alla pagina Pool di identità della forza lavoro:

Vai a Pool di identità della forza lavoro

1. Nella tabella, seleziona il pool per cui vuoi visualizzare il provider.

2. Nella tabella Provider, fai clic su more_vert Modifica.

3. Aggiorna il fornitore.

4. Per salvare il provider aggiornato, fai clic su Salva.

gcloud

Per aggiornare un provider OIDC dopo la creazione, esegui il seguente comando:

gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --description="DESCRIPTION" \
    --location=global

Sostituisci quanto segue:

• PROVIDER_ID: l'ID provider
• WORKFORCE_POOL_ID: l'ID del pool di forza lavoro
• DESCRIPTION: la descrizione