Gestire i provider di pool di identità per la forza lavoro

Questa guida descrive come eseguire operazioni comuni con la federazione delle identità della forza lavoro. Per configurare la federazione delle identità per la forza lavoro, consulta le seguenti guide:

Prima di iniziare

  1. Devi aver configurato un'organizzazione Google Cloud .

  2. After installing the Google Cloud CLI, initialize it by running the following command: 

    gcloud init

    If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

Gestisci i pool

Questa sezione mostra come gestire i pool di identità della forza lavoro.

Creare un pool

Per creare un pool di forza lavoro, esegui questo comando:

gcloud

Per creare il pool di identità della forza lavoro, esegui questo comando:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Sostituisci quanto segue:

  • WORKFORCE_POOL_ID: un ID che scegli per rappresentare il tuo pool di forza lavoro Google Cloud . Per informazioni sulla formattazione dell'ID, consulta la sezione Parametri di query nella documentazione dell'API.
  • ORGANIZATION_ID: l'ID numerico dell'organizzazione della tua Google Cloud organizzazione per il pool di identità forza lavoro. I pool di identità della forza lavoro sono disponibili in tutti i progetti e le cartelle dell'organizzazione.
  • DISPLAY_NAME: (Facoltativo). Un nome visualizzato per il tuo pool di identità della forza lavoro.
  • DESCRIPTION: (Facoltativo). Una descrizione del pool di identità della forza lavoro.
  • SESSION_DURATION: (Facoltativo). La durata della sessione determina per quanto tempo sono validi i token di accesso Google Cloud , le sessioni di accesso alla console (federata) e le sessioni di accesso a gcloud CLI da questo pool di forza lavoro. Per impostazione predefinita, la durata della sessione è di un'ora (3600 secondi). Il valore della durata della sessione deve essere compreso tra 15 minuti (900 secondi) e 12 ore (43.200 secondi).

Console

Per creare il pool di identità della forza lavoro:

  1. Nella console Google Cloud , vai alla pagina Pool di identità della forza lavoro:

    Vai a Pool di identità della forza lavoro

  2. Seleziona l'organizzazione per il tuo pool di identità della forza lavoro. I pool di identità del personale sono disponibili in tutti i progetti e le cartelle di un'organizzazione.

  3. Fai clic su Crea pool e segui questi passaggi:

    1. Nel campo Nome, inserisci il nome visualizzato del pool. L'ID pool viene derivato automaticamente dal nome durante la digitazione e viene visualizzato sotto il campo Nome. Puoi aggiornare l'ID pool facendo clic su Modifica accanto all'ID pool.

    2. (Facoltativo) In Descrizione, inserisci una descrizione del pool.

    3. Per creare il pool di identità della forza lavoro, fai clic su Avanti.

La durata della sessione del pool di identità della forza lavoro è impostata su un'ora (3600 secondi) per impostazione predefinita. La durata della sessione determina per quanto tempo sono validi i Google Cloud token di accesso, console (federata) e le sessioni di accesso gcloud CLI da questo pool di forza lavoro. Dopo aver creato il pool, puoi aggiornarlo per impostare una durata della sessione personalizzata. La durata della sessione deve essere compresa tra 15 minuti (900 secondi) e 12 ore (43.200 secondi).

Descrivere un pool

gcloud

Per descrivere un pool di forza lavoro specifico utilizzando gcloud CLI, esegui il seguente comando:

gcloud iam workforce-pools describe WORKFORCE_POOL_ID \
    --location=global

Sostituisci WORKFORCE_POOL_ID con l'ID del pool di forza lavoro che hai scelto quando hai creato il pool.

Console

Per descrivere un pool di forza lavoro specifico utilizzando la console Google Cloud , procedi nel seguente modo:

  1. Vai alla pagina Pool di identità della forza lavoro:

    Vai a Pool di identità della forza lavoro

  2. In Pool di forza lavoro, seleziona il pool

Elenco pool

gcloud

Per elencare i pool di forza lavoro nell'organizzazione, esegui questo comando:

gcloud iam workforce-pools list \
    --organization=ORGANIZATION_ID \
    --location=global

Sostituisci ORGANIZATION_ID con l'ID organizzazione.

Console

Per elencare i pool di forza lavoro utilizzando la console Google Cloud , segui questi passaggi:

  1. Vai alla pagina Pool di identità della forza lavoro:

    Vai a Pool di identità della forza lavoro

  2. Nella tabella, visualizza l'elenco dei pool.

Aggiorna un pool

gcloud

Per aggiornare un pool di forza lavoro specifico, esegui questo comando:

gcloud iam workforce-pools update WORKFORCE_POOL_ID \
    --description=DESCRIPTION \
    --location=global

Sostituisci quanto segue:

  • WORKFORCE_POOL_ID: l'ID pool di forza lavoro
  • DESCRIPTION: la descrizione del pool

Console

Per aggiornare un pool di forza lavoro specifico utilizzando la console Google Cloud , segui questi passaggi:

  1. Vai alla pagina Pool di identità della forza lavoro:

    Vai a Pool di identità della forza lavoro

  2. Nella tabella, seleziona il pool.

  3. Aggiorna i parametri del pool.

  4. Fai clic su Salva pool.

Eliminare un pool

gcloud

Per eliminare un pool di identità della forza lavoro, esegui questo comando:

gcloud iam workforce-pools delete WORKFORCE_POOL_ID \
    --location=global

Sostituisci WORKFORCE_POOL_ID con l'ID del pool di forza lavoro.

Console

Per eliminare un pool di forza lavoro specifico utilizzando la console Google Cloud , procedi nel seguente modo:

  1. Vai alla pagina Pool di identità della forza lavoro:

    Vai a Pool di identità della forza lavoro

  2. In Pool di forza lavoro, fai clic su Elimina nel pool che vuoi eliminare.

  3. Segui le istruzioni aggiuntive.

Annullare l'eliminazione di un pool

Puoi annullare l'eliminazione di un pool di identità per la forza lavoro eliminato negli ultimi 30 giorni.

Per ripristinare un pool, esegui questo comando:

gcloud iam workforce-pools undelete WORKFORCE_POOL_ID \
    --location=global

Sostituisci WORKFORCE_POOL_ID con l'ID del pool di forza lavoro.

Configura un provider all'interno del pool di forza lavoro

Questa sezione spiega come utilizzare i comandi gcloud per configurare i provider di identità del pool di forza lavoro:

Crea un provider OIDC

Questa sezione descrive come creare un provider del pool di identità della forza lavoro per un IdP OIDC.

gcloud

Flusso codice

Per creare un provider OIDC che utilizza il flusso del codice di autorizzazione per l'accesso web, esegui il comando seguente:

gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
    --client-secret-value="OIDC_CLIENT_SECRET" \
    --web-sso-response-type="code" \
    --web-sso-assertion-claims-behavior="merge-user-info-over-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --detailed-audit-logging \
    --location=global

Sostituisci quanto segue:

  • WORKFORCE_PROVIDER_ID: un ID univoco del provider del pool di identità della forza lavoro. Il prefisso gcp- è riservato e non può essere utilizzato in un ID pool di identità per la forza lavoro o provider di pool di identità per la forza lavoro.
  • WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro a cui connettere il tuo IdP.
  • DISPLAY_NAME: un nome visualizzato facoltativo e intuitivo per il fornitore, ad esempio idp-eu-employees.
  • DESCRIPTION: una descrizione facoltativa del fornitore di personale, ad esempio IdP for Partner Example Organization employees.
  • ISSUER_URI: l'URI dell'emittente OIDC, in un formato URI valido, che inizia con https; ad esempio, https://example.com/oidc. Nota: per motivi di sicurezza, ISSUER_URI deve utilizzare lo schema HTTPS.
  • OIDC_CLIENT_ID: l'ID client OIDC registrato con il tuo IdP OIDC; l'ID deve corrispondere all'attestazione aud del JWT emesso dal tuo IdP.
  • OIDC_CLIENT_SECRET: il client secret OIDC.
  • WEB_SSO_ADDITIONAL_SCOPES: ambiti aggiuntivi facoltativi da inviare all'IdP OIDC per l'accesso basato sul browser alla console (federata) o all'interfaccia a riga di comando gcloud CLI.
  • ATTRIBUTE_MAPPING: una mappatura degli attributi. Di seguito è riportato un esempio di mapping degli attributi: 
    google.subject=assertion.sub,
google.groups=assertion.group1,
attribute.costcenter=assertion.costcenter
     Questo esempio mappa gli attributi IdP subject, group1 e costcenter nell'asserzione OIDC agli attributi google.subject, google.groups e attribute.costcenter, rispettivamente.
  • ATTRIBUTE_CONDITION: una condizione dell'attributo; ad esempio, assertion.role == 'gcp-users'. Questa condizione di esempio garantisce che solo gli utenti con il ruolo gcp-users possano accedere utilizzando questo provider.
  • JWK_JSON_PATH: un percorso facoltativo a un JWK OIDC caricato localmente. Se questo parametro non viene fornito, Google Cloud utilizza invece il percorso /.well-known/openid-configuration del tuo IdP per recuperare i JWK contenenti le chiavi pubbliche. Per ulteriori informazioni sui JWK OIDC caricati localmente, consulta Gestire i JWK OIDC.

  • La federazione delle identità per la forza lavoro audit logging dettagliato registra le informazioni ricevute dal tuo IdP in Logging. L'audit logging dettagliato può aiutarti a risolvere i problemi di configurazione del provider del pool di identità della forza lavoro. Per scoprire come risolvere i problemi relativi agli errori di mappatura degli attributi con la registrazione dettagliata degli audit log, consulta Errori generali di mappatura degli attributi. Per informazioni sui prezzi di Logging, consulta la pagina Prezzi di Google Cloud Observability.

    Per disattivare la registrazione di controllo dettagliata per un provider di pool di identità per la forza lavoro, ometti il flag --detailed-audit-logging quando esegui gcloud iam workforce-pools providers create. Per disattivare il logging di controllo dettagliato, puoi anche aggiornare il fornitore.

Nella risposta al comando, POOL_RESOURCE_NAME è il nome del pool; ad esempio, locations/global/workforcePools/enterprise-example-organization-employees.

Flusso implicito

Per creare un provider di identità del pool di identità della forza lavoro OIDC che utilizza il flusso implicito per l'accesso web, esegui questo comando:

gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
    --web-sso-response-type="id-token" \
    --web-sso-assertion-claims-behavior="only-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --detailed-audit-logging \
    --location=global

Sostituisci quanto segue:

  • WORKFORCE_PROVIDER_ID: un ID univoco del provider del pool di identità della forza lavoro. Il prefisso gcp- è riservato e non può essere utilizzato in un ID pool di identità per la forza lavoro o provider di pool di identità per la forza lavoro.
  • WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro a cui connettere il tuo IdP.
  • DISPLAY_NAME: un nome visualizzato facoltativo e intuitivo per il fornitore, ad esempio idp-eu-employees.
  • DESCRIPTION: una descrizione facoltativa del fornitore di personale, ad esempio IdP for Partner Example Organization employees.
  • ISSUER_URI: l'URI dell'emittente OIDC, in un formato URI valido, che inizia con https; ad esempio, https://example.com/oidc. Nota: per motivi di sicurezza, ISSUER_URI deve utilizzare lo schema HTTPS.
  • OIDC_CLIENT_ID: l'ID client OIDC registrato con il tuo IdP OIDC; l'ID deve corrispondere all'attestazione aud del JWT emesso dal tuo IdP.
  • WEB_SSO_ADDITIONAL_SCOPES: ambiti aggiuntivi facoltativi da inviare all'IdP OIDC per l'accesso basato sul browser alla console (federata) o all'interfaccia a riga di comando gcloud CLI.
  • ATTRIBUTE_MAPPING: una mappatura degli attributi. Di seguito è riportato un esempio di mapping degli attributi: 
    google.subject=assertion.sub,
google.groups=assertion.group1,
attribute.costcenter=assertion.costcenter
     Questo esempio mappa gli attributi IdP subject, group1 e costcenter nell'asserzione OIDC agli attributi google.subject, google.groups e attribute.costcenter, rispettivamente.
  • ATTRIBUTE_CONDITION: una condizione dell'attributo; ad esempio, assertion.role == 'gcp-users'. Questa condizione di esempio garantisce che solo gli utenti con il ruolo gcp-users possano accedere utilizzando questo provider.
  • JWK_JSON_PATH: un percorso facoltativo a un JWK OIDC caricato localmente. Se questo parametro non viene fornito, Google Cloud utilizza invece il percorso /.well-known/openid-configuration del tuo IdP per recuperare i JWK contenenti le chiavi pubbliche. Per ulteriori informazioni sui JWK OIDC caricati localmente, consulta Gestire i JWK OIDC.

  • La federazione delle identità per la forza lavoro audit logging dettagliato registra le informazioni ricevute dal tuo IdP in Logging. L'audit logging dettagliato può aiutarti a risolvere i problemi di configurazione del provider del pool di identità della forza lavoro. Per scoprire come risolvere i problemi relativi agli errori di mappatura degli attributi con la registrazione dettagliata degli audit log, consulta Errori generali di mappatura degli attributi. Per informazioni sui prezzi di Logging, consulta la pagina Prezzi di Google Cloud Observability.

    Per disattivare la registrazione di controllo dettagliata per un provider di pool di identità per la forza lavoro, ometti il flag --detailed-audit-logging quando esegui gcloud iam workforce-pools providers create. Per disattivare il logging di controllo dettagliato, puoi anche aggiornare il fornitore.

Nella risposta al comando, POOL_RESOURCE_NAME è il nome del pool; ad esempio, locations/global/workforcePools/enterprise-example-organization-employees.

Console

Flusso codice

  1. Nella console Google Cloud , vai alla pagina Pool di identità della forza lavoro:

    Vai a Pool di identità della forza lavoro

  2. Nella tabella Pool di identità della forza lavoro, seleziona il pool per cui vuoi creare il provider.

  3. Nella tabella Provider, fai clic su Aggiungi provider.

  4. In Seleziona un protocollo, seleziona OpenID Connect (OIDC).

  5. In Crea un provider di pool:

    1. In Nome, inserisci il nome del provider.
    2. In Emittente (URL), inserisci l'URI dell'emittente. L'URI dell'emittente OIDC deve essere in un formato URI valido e iniziare con https; ad esempio, https://example.com/oidc.
    3. Inserisci l'ID client, l'ID client OIDC registrato con il tuo IdP OIDC; l'ID deve corrispondere all'attestazione aud del JWT emesso dal tuo IdP.
    4. Per creare un provider abilitato, assicurati che l'opzione Provider abilitato sia attivata.
    5. Fai clic su Continua.

  6. In Tipo di flusso, procedi nel seguente modo. Il tipo di flusso viene utilizzato solo per un flusso Single Sign-On basato sul web.

    1. In Tipo di flusso, seleziona Codice.
    2. In Client secret, inserisci il client secret del tuo IdP.

    3. In Comportamento delle rivendicazioni di asserzione, seleziona una delle seguenti opzioni:

      • Informazioni utente e token ID
      • Solo token ID

    4. Fai clic su Continua.

  7. In Configura provider, puoi configurare una mappatura degli attributi e una condizione degli attributi. Per creare una mappatura degli attributi, segui questi passaggi. Puoi fornire il nome del campo IdP o un'espressione formattata in CEL che restituisce una stringa.

    1. Obbligatorio: in OIDC 1, inserisci l'oggetto dell'IdP, ad esempio assertion.sub.

    2. (Facoltativo) Per aggiungere altre mappature degli attributi:

      1. Fai clic su Aggiungi mappatura.
      2. In Google n, dove n è un numero, inserisci uno dei tasti supportati daGoogle Cloud.
      3. Nel campo OIDC n corrispondente, inserisci il nome del campo specifico dell'IdP da mappare, in formato CEL.

    3. Per creare una condizione dell'attributo:

      1. Fai clic su Aggiungi condizione.
      2. In Condizioni degli attributi, inserisci una condizione in formato CEL; ad esempio, assertion.role == 'gcp-users'. Questa condizione di esempio garantisce che solo gli utenti con il ruolo gcp-users possano accedere utilizzando questo provider.

    4. Per attivare il logging di audit dettagliato, in Logging dettagliato, fai clic sul pulsante di attivazione/disattivazione Abilita il logging dettagliato dei valori degli attributi.

      La federazione delle identità per la forza lavoro audit logging dettagliato registra le informazioni ricevute dal tuo IdP in Logging. L'audit logging dettagliato può aiutarti a risolvere i problemi di configurazione del provider del pool di identità della forza lavoro. Per scoprire come risolvere i problemi relativi agli errori di mappatura degli attributi con la registrazione dettagliata degli audit log, consulta Errori generali di mappatura degli attributi. Per informazioni sui prezzi di Logging, consulta la pagina Prezzi di Google Cloud Observability.

      Per disattivare la registrazione di controllo dettagliata per un provider di pool di identità per la forza lavoro, ometti il flag --detailed-audit-logging quando esegui gcloud iam workforce-pools providers create. Per disattivare il logging di controllo dettagliato, puoi anche aggiornare il fornitore.

  8. Per creare il fornitore, fai clic su Invia.

Flusso implicito

  1. Nella console Google Cloud , vai alla pagina Pool di identità della forza lavoro:

    Vai a Pool di identità della forza lavoro

  2. Nella tabella Pool di identità della forza lavoro, seleziona il pool per cui vuoi creare il provider.

  3. Nella tabella Provider, fai clic su Aggiungi provider.

  4. In Seleziona un protocollo, seleziona OpenID Connect (OIDC).

  5. In Crea un provider di pool:

    1. In Nome, inserisci un nome per il provider.
    2. In Emittente (URL), inserisci l'URI dell'emittente. L'URI dell'emittente OIDC deve essere in un formato URI valido e iniziare con https; ad esempio, https://example.com/oidc.
    3. Inserisci l'ID client, l'ID client OIDC registrato con il tuo IdP OIDC; l'ID deve corrispondere all'attestazione aud del JWT emesso dal tuo IdP.
    4. Per creare un provider abilitato, assicurati che l'opzione Provider abilitato sia attivata.
    5. Fai clic su Continua.

  6. In Tipo di flusso, procedi nel seguente modo. Il tipo di flusso viene utilizzato solo per un flusso Single Sign-On basato sul web.

    1. In Tipo di flusso, seleziona Token ID.
    2. Fai clic su Continua.

  7. In Configura provider, puoi configurare una mappatura degli attributi e una condizione degli attributi. Per creare una mappatura degli attributi, segui questi passaggi. Puoi fornire il nome del campo IdP o un'espressione formattata in CEL che restituisce una stringa.

    1. Obbligatorio: in OIDC 1, inserisci l'oggetto dell'IdP, ad esempio assertion.sub.

    2. (Facoltativo) Per aggiungere altre mappature degli attributi:

      1. Fai clic su Aggiungi mappatura.
      2. In Google n, dove n è un numero, inserisci uno dei tasti supportati daGoogle Cloud.
      3. Nel campo OIDC n corrispondente, inserisci il nome del campo specifico dell'IdP da mappare, in formato CEL.

    3. Per creare una condizione dell'attributo:

      1. Fai clic su Aggiungi condizione.

      2. In Condizioni degli attributi, inserisci una condizione in formato CEL; ad esempio, assertion.role == 'gcp-users'. Questa condizione di esempio garantisce che solo gli utenti con il ruolo gcp-users possano accedere utilizzando questo provider.

    4. Per attivare il logging di audit dettagliato, in Logging dettagliato, fai clic sul pulsante di attivazione/disattivazione Abilita il logging dettagliato dei valori degli attributi.

      La federazione delle identità per la forza lavoro audit logging dettagliato registra le informazioni ricevute dal tuo IdP in Logging. L'audit logging dettagliato può aiutarti a risolvere i problemi di configurazione del provider del pool di identità della forza lavoro. Per scoprire come risolvere i problemi relativi agli errori di mappatura degli attributi con la registrazione di controllo dettagliata, vedi Errori generali di mappatura degli attributi. Per informazioni sui prezzi di Logging, consulta la pagina Prezzi di Google Cloud Observability.

      Per disattivare la registrazione di controllo dettagliata per un provider di pool di identità per la forza lavoro, ometti il flag --detailed-audit-logging quando esegui gcloud iam workforce-pools providers create. Per disattivare il logging di controllo dettagliato, puoi anche aggiornare il fornitore.

  8. Per creare il fornitore, fai clic su Invia.

Crea un provider SAML

Questa sezione descrive come creare un provider di pool di identità della forza lavoro per un IdP SAML.

gcloud

Per creare il provider, esegui questo comando:

gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
    --workforce-pool="WORKFORCE_POOL_ID" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --idp-metadata-path="XML_METADATA_PATH" \
    --detailed-audit-logging \
    --location="global"

Sostituisci quanto segue:

  • WORKFORCE_PROVIDER_ID: l'ID del fornitore di forza lavoro
  • WORKFORCE_POOL_ID: l'ID pool di forza lavoro

  • ATTRIBUTE_MAPPING: una mappatura degli attributi; ad esempio, per mappare un oggetto, la mappatura degli attributi è la seguente:

    
google.subject=assertion.subject,
google.groups=assertion.attributes['https://example.com/aliases'],
attribute.department=assertion.attributes.department[0]

  • ATTRIBUTE_CONDITION: una condizione dell'attributo facoltativa; ad esempio, assertion.subject.endsWith("@example.com")

  • XML_METADATA_PATH: il percorso del file di metadati in formato XML del tuo IdP

Il prefisso gcp- è riservato e non può essere utilizzato in un ID pool di identità per la forza lavoro o provider di pool di identità per la forza lavoro.

Questo comando assegna l'oggetto e il reparto nell'asserzione SAML agli attributi google.subject e attribute.department, rispettivamente. Inoltre, la condizione dell'attributo garantisce che solo gli utenti con un oggetto che termina con @example.com possano accedere utilizzando questo provider di forza lavoro.

La federazione delle identità per la forza lavoro audit logging dettagliato registra le informazioni ricevute dal tuo IdP in Logging. L'audit logging dettagliato può aiutarti a risolvere i problemi di configurazione del provider del pool di identità della forza lavoro. Per scoprire come risolvere i problemi relativi agli errori di mappatura degli attributi con la registrazione di controllo dettagliata, vedi Errori generali di mappatura degli attributi. Per informazioni sui prezzi di Logging, consulta la pagina Prezzi di Google Cloud Observability.

Per disattivare la registrazione di controllo dettagliata per un provider di pool di identità per la forza lavoro, ometti il flag --detailed-audit-logging quando esegui gcloud iam workforce-pools providers create. Per disattivare il logging di controllo dettagliato, puoi anche aggiornare il fornitore.

Console

Per configurare il provider SAML utilizzando la console Google Cloud , procedi nel seguente modo:

  1. Nella console Google Cloud , vai alla pagina Pool di identità della forza lavoro:

    Vai a Pool di identità della forza lavoro

  2. Nella tabella Pool di identità della forza lavoro, seleziona il pool per cui vuoi creare il provider.

  3. Nella tabella Provider, fai clic su Aggiungi provider.

  4. In Seleziona un protocollo, seleziona SAML.

  5. In Crea un provider di pool, segui questi passaggi:

    1. In Nome, inserisci un nome per il provider.

    2. (Facoltativo) In Descrizione, inserisci una descrizione del fornitore.

    3. In IDP metadata file (XML) (File di metadati IDP (XML)), seleziona il file XML di metadati che hai generato in precedenza in questa guida.

    4. Assicurati che l'opzione Provider abilitato sia attivata.

    5. Fai clic su Continua.

  6. In Configura provider:

    1. In Mappatura degli attributi, inserisci un'espressione CEL per google.subject.

    2. (Facoltativo) Per inserire altre mappature, fai clic su Aggiungi mappatura e inserisci altre mappature, ad esempio:

      google.subject=assertion.subject,
google.groups=assertion.attributes['https://example.com/aliases'],
attribute.costcenter=assertion.attributes.costcenter[0]
       Questo esempio mappa gli attributi IdP assertion.subject, assertion.attributes['https://example.com/aliases'] e assertion.attributes.costcenter[0] agli attributi Google Cloud google.subject, google.groups e google.costcenter, rispettivamente.

    3. (Facoltativo) Per aggiungere una condizione per attributo, fai clic su Aggiungi condizione e inserisci un'espressione CEL che rappresenti una condizione per attributo. Ad esempio, per limitare l'attributo ipaddr a un determinato intervallo IP, puoi impostare la condizione assertion.attributes.ipaddr.startsWith('98.11.12.'). Questa condizione di esempio garantisce che solo gli utenti con un indirizzo IP che inizia con 98.11.12. possano accedere utilizzando questo provider di forza lavoro.

    4. Fai clic su Continua.

    5. Per attivare il logging di audit dettagliato, in Logging dettagliato, fai clic sul pulsante di attivazione/disattivazione Abilita il logging dettagliato dei valori degli attributi.

      La federazione delle identità per la forza lavoro audit logging dettagliato registra le informazioni ricevute dal tuo IdP in Logging. L'audit logging dettagliato può aiutarti a risolvere i problemi di configurazione del provider del pool di identità della forza lavoro. Per scoprire come risolvere i problemi relativi agli errori di mappatura degli attributi con la registrazione dettagliata degli audit log, consulta Errori generali di mappatura degli attributi. Per informazioni sui prezzi di Logging, consulta la pagina Prezzi di Google Cloud Observability.

      Per disattivare la registrazione di controllo dettagliata per un provider di pool di identità per la forza lavoro, ometti il flag --detailed-audit-logging quando esegui gcloud iam workforce-pools providers create. Per disattivare il logging di controllo dettagliato, puoi anche aggiornare il fornitore.

  7. Per creare il fornitore, fai clic su Invia.

Descrivere un fornitore

gcloud

Per descrivere un provider, esegui questo comando:

gcloud iam workforce-pools providers describe PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Sostituisci quanto segue:

  • PROVIDER_ID: l'ID fornitore
  • WORKFORCE_POOL_ID: l'ID pool di forza lavoro

Console

Per visualizzare un fornitore:

  1. Vai alla pagina Pool di identità della forza lavoro:

Vai a Pool di identità della forza lavoro

  1. Nella tabella, seleziona il pool per cui vuoi visualizzare il fornitore.

  2. Nella tabella Fornitori, seleziona il fornitore.

Elenca provider

gcloud

Per elencare i provider, esegui questo comando:

gcloud iam workforce-pools providers list \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Sostituisci WORKFORCE_POOL_ID con l'ID del pool di forza lavoro.

Console

Per visualizzare un fornitore:

  1. Vai alla pagina Pool di identità della forza lavoro:

Vai a Pool di identità della forza lavoro

  1. Nella tabella, seleziona il pool per cui vuoi elencare i fornitori.

  2. Nella tabella Fornitori puoi visualizzare un elenco dei fornitori.

Aggiornare un fornitore

gcloud

Per aggiornare un provider OIDC dopo la creazione, esegui questo comando:

gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --description="DESCRIPTION" \
    --detailed-audit-logging \
    --location=global

Sostituisci quanto segue:

  • PROVIDER_ID: l'ID fornitore
  • WORKFORCE_POOL_ID: l'ID pool di forza lavoro
  • DESCRIPTION: la descrizione
  • Per attivare il logging di controllo dettagliato, aggiungi il flag --detailed-audit-logging a gcloud iam workforce-pools providers update. Per disattivare la registrazione dettagliata dei log di controllo, aggiungi il flag --no-detailed-audit-logging al comando di aggiornamento.

Console

Per visualizzare un fornitore:

  1. Vai alla pagina Pool di identità della forza lavoro:

Vai a Pool di identità della forza lavoro

  1. Nella tabella, seleziona il pool per cui vuoi visualizzare il fornitore.

  2. Nella tabella Provider, fai clic su Modifica.

  3. Aggiorna il fornitore.

  4. Per salvare il fornitore aggiornato, fai clic su Salva.

Eliminare un fornitore

Per eliminare un fornitore, esegui questo comando:

gcloud iam workforce-pools providers delete PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Sostituisci quanto segue:

  • PROVIDER_ID: l'ID fornitore
  • WORKFORCE_POOL_ID: l'ID pool di forza lavoro

Recuperare un fornitore

Per annullare l'eliminazione di un fornitore eliminato negli ultimi 30 giorni, esegui questo comando:

gcloud iam workforce-pools providers undelete PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Sostituisci quanto segue:

  • PROVIDER_ID: l'ID fornitore
  • WORKFORCE_POOL_ID: l'ID pool di forza lavoro

Gestisci i JWK OIDC

Questa sezione mostra come gestire i JWK OIDC nei provider di pool di forza lavoro.

Crea un provider e carica i JWK OIDC

Per creare JWK OIDC, consulta Implementazioni di JWT, JWS, JWE, JWK e JWA.

Per caricare un file JWK OIDC quando crei un provider di pool di forza lavoro, esegui il comando gcloud iam workforce-pools providers create-oidc con --jwk-json-path="JWK_JSON_PATH". Sostituisci JWK_JSON_PATH con il percorso del file JSON JWK.

Questa operazione carica le chiavi dal file.

Aggiorna JWK OIDC

Per aggiornare le JWK OIDC, esegui il comando gcloud iam workforce-pools providers update-oidc con --jwk-json-path="JWK_JSON_PATH". Sostituisci JWK_JSON_PATH con il percorso del file JSON JWK.

Questa operazione sostituisce le chiavi caricate esistenti con quelle nel file.

Elimina tutte le JWK OIDC caricate

Per eliminare tutti i JWK OIDC caricati e utilizzare invece l'URI dell'emittente per recuperare le chiavi, esegui il comando gcloud iam workforce-pools providers update-oidc con --jwk-json-path="JWK_JSON_PATH". Sostituisci JWK_JSON_PATH con il percorso di un file vuoto. Utilizza il flag --issuer-uri per impostare l'URI dell'emittente.

Questa operazione elimina tutte le chiavi caricate esistenti.

Passaggi successivi