Gestione dei provider e dei pool di identità per i carichi di lavoro

Questa pagina spiega come gestire i pool di identità per i carichi di lavoro esistenti e i relativi provider di identità.

Puoi gestire i pool e i provider utilizzando la console Google Cloud , Google Cloud CLI o l'API REST.

Prima di iniziare

Crea un pool di identità del workload. Per scoprire come fare, consulta una delle seguenti pagine:

• Accedere alle risorse da AWS
• Accesso alle risorse da Microsoft Azure
• Accesso alle risorse da un provider di identità OIDC
• Accedere alle risorse da un provider di identità SAML 2.0

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per gestire i provider e i pool di identità del workload, chiedi all'amministratore di concederti i seguenti ruoli IAM nel progetto:

• Per visualizzare i pool e i provider: Visualizzatore pool Workload Identity IAM (roles/iam.workloadIdentityPoolViewer)
• Per visualizzare, creare, aggiornare ed eliminare pool e fornitori: IAM Workload Identity Pool Admin (roles/iam.workloadIdentityPoolAdmin)

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Questi ruoli predefiniti contengono le autorizzazioni necessarie per gestire i provider e i pool di identità per i carichi di lavoro. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Gestisci i pool di identità del workload

Questa sezione mostra come gestire i pool di identità per i carichi di lavoro.

Creare pool

Per creare pool di identità del workload in un progetto:

Elenco pool

Per elencare tutti i pool di identità del workload in un progetto:

Recuperare un pool

Per visualizzare i dettagli di un pool di identità del workload specifico:

Aggiorna un pool

Puoi attivare o disattivare un pool di identità per i carichi di lavoro. Puoi anche modificare il nome visualizzato o la descrizione.

Per aggiornare un pool di identità del workload esistente:

Eliminare un pool

Quando elimini un pool Workload Identity, vengono eliminati anche i relativi provider pool Workload Identity. Di conseguenza, le identità nel pool perdono l'accesso alle risorseGoogle Cloud .

Puoi annullare l'eliminazione di un pool fino a 30 giorni dopo l'eliminazione. Dopo 30 giorni, l'eliminazione è definitiva. Finché un pool non viene eliminato definitivamente, non puoi riutilizzarne il nome quando crei un nuovo pool di identità del workload.

Per eliminare un pool di identità del workload e i relativi provider di identità:

Annullare l'eliminazione di un pool

Puoi recuperare un pool di identità del workload eliminato fino a 30 giorni dopo l'eliminazione.

Per ripristinare un pool:

Gestire i provider di pool di identità del workload

Questa sezione mostra come gestire i provider di pool di identità per i carichi di lavoro.

Creare un fornitore

Per creare un fornitore del pool di identità del workload in un pool di identità del workload esistente, procedi nel seguente modo:

Elenca provider

Per elencare i provider del pool di identità del workload in un progetto:

Ottenere un fornitore

Per ottenere i dettagli di un provider pool Workload Identity specifico:

Aggiornare un fornitore

Puoi attivare o disattivare un provider di pool di identità del workload. Puoi anche aggiornare le informazioni dell'account e il mapping degli attributi, nonché il nome visualizzato e la descrizione.

Per aggiornare un provider di pool di identità del workload esistente:

Eliminare un fornitore

Quando elimini un provider di pool di identità del workload, le identità del provider perdono l'accesso alle risorse Google Cloud .

Puoi annullare l'eliminazione di un fornitore fino a 30 giorni dopo l'eliminazione. Dopo 30 giorni, l'eliminazione è definitiva. Finché un fornitore non viene eliminato definitivamente, non puoi riutilizzarne il nome quando crei un nuovo fornitore.

Per eliminare un fornitore del pool di identità del workload:

Recuperare un fornitore

Puoi recuperare un provider di pool di identità del workload eliminato fino a 30 giorni dopo l'eliminazione. Per ripristinare un fornitore:

Gestire i vincoli per la federazione delle identità per i carichi di lavoro

Puoi utilizzare i vincoli dei criteri dell'organizzazione per limitare l'utilizzo delle risorse nella tua organizzazione Google Cloud .

Questa sezione descrive i vincoli consigliati quando utilizzi la federazione delle identità per i carichi di lavoro.

Limitare la configurazione del provider di identità

In qualità di amministratore dell'organizzazione, puoi decidere con quali provider di identità la tua organizzazione può eseguire la federazione.

Per gestire i provider di identità consentiti, attiva il vincolo constraints/iam.workloadIdentityPoolProviders nell'ambito dei criteri dell'organizzazione. Questo vincolo specifica gli URI dei provider consentiti. Puoi utilizzare la Google Cloud console o Google Cloud CLI per abilitare questo vincolo.

Per consentire la federazione solo da AWS, crea un singolo vincolo con l'URI https://sts.amazonaws.com. Il seguente esempio mostra come creare questo vincolo utilizzando gcloud CLI:

gcloud resource-manager org-policies allow constraints/iam.workloadIdentityPoolProviders \
     https://sts.amazonaws.com --organization=ORGANIZATION_NUMBER

Puoi anche specificare gli ID account AWS che hanno accesso alle tue risorseGoogle Cloud . Per specificare gli ID account, utilizza il vincolo di elenco constraints/iam.workloadIdentityPoolAwsAccounts:

gcloud resource-manager org-policies allow constraints/iam.workloadIdentityPoolAwsAccounts \
    ACCOUNT_ID --organization=ORGANIZATION_NUMBER

Per consentire la federazione da un solo provider OIDC, crea un singolo vincolo con il issuer_uri del provider consentito. Ad esempio, quanto segue consente solo la federazione da un tenant Azure specifico:

gcloud resource-manager org-policies allow constraints/iam.workloadIdentityPoolProviders \
     https://sts.windows.net/AZURE_TENANT_ID --organization=ORGANIZATION_NUMBER

La federazione da un provider di identità SAML è un caso speciale perché le chiavi pubbliche utilizzate per convalidare l'asserzione vengono fornite al momento della configurazione anziché recuperate direttamente dal provider di identità. È quindi plausibile che un utente malintenzionato possa tentare di caricare un documento di metadati SAML con l'ID entità del provider di identità della tua organizzazione, ma una chiave pubblica per la quale ha accesso alla chiave privata. La limitazione della federazione in base all'ID entità in questo scenario offre solo un'illusione di sicurezza. Per questo motivo, ti consigliamo vivamente di consentire la creazione di un pool di identità del workload che consenta la federazione SAML solo in un progetto Google Cloud gestito centralmente dalla tua organizzazione. Puoi quindi concedere alle identità esterne in quel pool Workload Identity l'accesso alle risorse della tua organizzazione.

Per consentire la federazione dai provider di identità SAML, crea un vincolo che consenta la parola chiave speciale KEY_UPLOAD.

gcloud resource-manager org-policies allow constraints/iam.workloadIdentityPoolProviders \
     KEY_UPLOAD --organization=ORGANIZATION_NUMBER

Puoi ripetere questi comandi per consentire la federazione da altri provider.

Per bloccare la federazione da tutti i provider:

1. Crea un file YAML contenente quanto segue:

   constraint: constraints/iam.workloadIdentityPoolProviders
   listPolicy:
     allValues: DENY

2. Passa il file al comando gcloud resource-manager org-policies set-policy:

   gcloud resource-manager org-policies set-policy FILE_NAME.yaml \
       --organization=ORGANIZATION_NUMBER

Limita la creazione di chiavi del account di servizio

La federazione delle identità per i carichi di lavoro consente di accedere alle risorse Google Cloud da Google Cloud senza utilizzare una chiave dell'account di servizio. Se non utilizzi mai le chiavi del account di servizio per l'autenticazione, puoi contribuire a ridurre il rischio disattivando la creazione di chiavi.

Per disattivare la creazione di chiavi del account di servizio, applica il vincolo booleano iam.disableServiceAccountKeyCreation nei criteri dell'organizzazione per la tua organizzazione. Puoi anche applicare il vincolo booleano iam.disableServiceAccountKeyUpload, che disattiva il caricamento delle chiavi pubbliche per i service account.

Puoi utilizzare la consoleGoogle Cloud o gcloud CLI per attivare questi vincoli. Ad esempio, i seguenti comandi gcloud CLI attivano entrambi i vincoli:

gcloud resource-manager org-policies enable-enforce \
    constraints/iam.disableServiceAccountKeyCreation \
    --organization=ORGANIZATION_NUMBER
gcloud resource-manager org-policies enable-enforce \
    constraints/iam.disableServiceAccountKeyUpload \
    --organization=ORGANIZATION_NUMBER

Monitorare la federazione delle identità per i workload

Puoi utilizzare le metriche di Cloud Monitoring per monitorare gli eventi di autenticazione per i pool e i provider di identità del carico di lavoro. Per un elenco delle metriche disponibili, consulta Metriche IAM.

Passaggi successivi

Scopri di più sulla federazione delle identità per i workload.