Gestione dei provider e dei pool di identità per i carichi di lavoro

In questa pagina viene spiegato come gestire i pool di identità per i carichi di lavoro esistenti e i relativi provider di identità.

Puoi gestire pool e provider utilizzando la console Google Cloud, Google Cloud CLI o l'API REST.

Prima di iniziare

Crea un pool di identità del workload. Per scoprire come, consulta una delle seguenti pagine:

• Accedere alle risorse da AWS
• Accedere alle risorse da Microsoft Azure
• Accedere alle risorse da un provider di identità OIDC
• Accedere alle risorse da un provider di identità SAML 2.0

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per gestire i provider e i pool di identità per i carichi di lavoro, chiedi all'amministratore di concederti i seguenti ruoli IAM nel progetto:

• Per visualizzare i pool e i provider: Visualizzatore pool Workload Identity IAM (roles/iam.workloadIdentityPoolViewer)
• Per visualizzare, creare, aggiornare ed eliminare pool e provider: Amministratore pool Workload Identity IAM (roles/iam.workloadIdentityPoolAdmin)

Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso a progetti, cartelle e organizzazioni.

Questi ruoli predefiniti contengono le autorizzazioni necessarie per gestire i provider e i pool di identità per i carichi di lavoro. Per visualizzare le autorizzazioni esatte richieste, espandi la sezione Autorizzazioni richieste:

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Gestire i pool di identità per i carichi di lavoro

Questa sezione mostra come gestire i pool di identità per i carichi di lavoro.

Crea pool

Per creare pool di identità del workload in un progetto:

Elenca pool

Per elencare tutti i pool di Workload Identity in un progetto, segui questi passaggi:

Ottenere un pool

Per visualizzare i dettagli di un pool Workload Identity specifico:

Aggiornare un pool

Puoi attivare o disattivare un pool di identità per i carichi di lavoro. Puoi anche modificare il nome visualizzato o la descrizione.

Per aggiornare un pool di identità del workload esistente:

Eliminare un pool

Quando elimini un pool di identità di carico di lavoro, vengono eliminati anche i relativi provider. Di conseguenza, le identità nel pool perdono l'accesso alle risorse Google Cloud.

Puoi annullare l'eliminazione di un pool fino a 30 giorni dopo l'eliminazione. Dopo 30 giorni, l'eliminazione è definitiva. Finché un pool non viene eliminato definitivamente, non puoi riutilizzarne il nome durante la creazione di un nuovo pool di identità di carico di lavoro.

Per eliminare un pool di identità del workload e i relativi provider di identità, segui questi passaggi:

Annulla eliminazione di un pool

Puoi recuperare un pool di identità di workload eliminato per un massimo di 30 giorni dopo l'eliminazione.

Per annullare l'eliminazione di un pool:

Gestire i provider di pool di identità per i carichi di lavoro

Questa sezione mostra come gestire i provider di pool di identità per i carichi di lavoro.

Crea un provider

Per creare un provider del pool di identità del workload in un pool di identità del workload esistente, procedi nel seguente modo:

Elenca provider

Per elencare i provider di pool di identità del workload in un progetto, segui questi passaggi:

Trovare un fornitore

Per ottenere i dettagli di un provider pool Workload Identity specifico:

Aggiornare un fornitore

Puoi attivare o disattivare un provider di pool di identità del workload. Puoi anche aggiornarne i dati dell'account e la mappatura degli attributi, nonché il nome visualizzato e la descrizione.

Per aggiornare un provider del pool di identità del workload esistente:

Eliminare un fornitore

Quando elimini un provider del pool di identità del carico di lavoro, le identità del provider perdono l'accesso alle risorse Google Cloud.

Puoi annullare l'eliminazione di un fornitore fino a 30 giorni dopo l'eliminazione. Dopo 30 giorni, l'eliminazione è definitiva. Finché un fornitore non viene eliminato definitivamente, non puoi riutilizzarne il nome quando crei un nuovo fornitore.

Per eliminare un provider del pool di identità del workload:

Annullare l'eliminazione di un fornitore

Puoi recuperare un provider pool Workload Identity eliminato per un massimo di 30 giorni dopo l'eliminazione. Per annullare l'eliminazione di un fornitore:

Gestire le limitazioni per la federazione delle identità per i carichi di lavoro

Puoi utilizzare i vincoli dei criteri dell'organizzazione per limitare il modo in cui le risorse della tua organizzazione Google Cloud possono essere utilizzate.

Questa sezione descrive i vincoli consigliati quando utilizzi la federazione delle identità di lavoro.

Limitare la configurazione del provider di identità

In qualità di amministratore dell'organizzazione, puoi decidere con quali provider di identità la tua organizzazione può eseguire la federazione.

Per gestire i provider di identità consentiti, attiva il vincolo dell'elenco constraints/iam.workloadIdentityPoolProviders nel criterio dell'organizzazione. Questo vincolo specifica gli URI di emittente dei fornitori consentiti. Puoi utilizzare la console Google Cloud o Google Cloud CLI per attivare questa limitazione.

Per consentire la federazione solo da AWS, crea una singola limitazione con l'URIhttps://sts.amazonaws.com. L'esempio seguente mostra come creare questa vincolo utilizzando gcloud CLI:

gcloud resource-manager org-policies allow constraints/iam.workloadIdentityPoolProviders \
     https://sts.amazonaws.com --organization=ORGANIZATION_NUMBER

Puoi anche specificare quali ID account AWS hanno accesso alle tue risorse Google Cloud. Per specificare gli ID account, utilizza il vincolo di elenco constraints/iam.workloadIdentityPoolAwsAccounts:

gcloud resource-manager org-policies allow constraints/iam.workloadIdentityPoolAwsAccounts \
    ACCOUNT_ID --organization=ORGANIZATION_NUMBER

Per consentire la federazione solo da un provider OIDC, crea un'unica limitazione con il issuer_uri del provider consentito. Ad esempio, quanto segue consente la federazione solo da un tenant Azure specifico:

gcloud resource-manager org-policies allow constraints/iam.workloadIdentityPoolProviders \
     https://sts.windows.net/AZURE_TENANT_ID --organization=ORGANIZATION_NUMBER

La federazione da un provider di identità SAML è un caso speciale perché le chiavi pubbliche utilizzate per convalidare l'affermazione vengono fornite al momento della configurazione anziché essere recuperate direttamente dal provider di identità. È quindi possibile che un utente malintenzionato possa tentare di caricare un documento di metadati SAML con l'ID entità del provider di servizi di identità della tua organizzazione, ma una chiave pubblica per la quale ha accesso alla chiave privata. Limitare la federazione in base all'ID entità in questo scenario offre solo un'illusione di sicurezza. Per questo motivo, ti consigliamo vivamente di consentire solo la creazione di un pool Workload Identity che consenta la federazione SAML in un progetto Google Cloud gestito centralmente dalla tua organizzazione. Puoi quindi concedere alle identità esterne nel pool Workload Identity l'accesso alle risorse di tutta l'organizzazione.

Per consentire la federazione da provider di identità SAML, crea un vincolo che consenta la parola chiave speciale KEY_UPLOAD.

gcloud resource-manager org-policies allow constraints/iam.workloadIdentityPoolProviders \
     KEY_UPLOAD --organization=ORGANIZATION_NUMBER

Puoi ripetere questi comandi per consentire la federazione da altri provider.

Per bloccare la federazione da tutti i provider:

1. Crea un file YAML contenente quanto segue:

   constraint: constraints/iam.workloadIdentityPoolProviders
   listPolicy:
     allValues: DENY

2. Passa il file al comando gcloud resource-manager org-policies set-policy:

   gcloud resource-manager org-policies set-policy FILE_NAME.yaml \
       --organization=ORGANIZATION_NUMBER

Limitare la creazione di chiavi dell'account di servizio

La federazione delle identità del carico di lavoro ti consente di accedere alle risorse Google Cloud dall'esterno di Google Cloud senza utilizzare una chiave dell'account di servizio. Se non utilizzi mai le chiavi dell'account di servizio per l'autenticazione, puoi contribuire a ridurre il rischio disattivando la creazione delle chiavi.

Per disattivare la creazione di chiavi del account di servizio, applica il vincolo booleano iam.disableServiceAccountKeyCreation nel criterio dell'organizzazione. Puoi anche applicare il vincolo booleano iam.disableServiceAccountKeyUpload, che disattiva il caricamento delle chiavi pubbliche per gli account di servizio.

Puoi utilizzare la console Google Cloud o la CLI gcloud per attivare questi limiti. Ad esempio, i seguenti comandi gcloud CLI attivano entrambi i vincoli:

gcloud resource-manager org-policies enable-enforce \
    constraints/iam.disableServiceAccountKeyCreation \
    --organization=ORGANIZATION_NUMBER
gcloud resource-manager org-policies enable-enforce \
    constraints/iam.disableServiceAccountKeyUpload \
    --organization=ORGANIZATION_NUMBER

Monitorare la federazione delle identità per i workload

Puoi utilizzare le metriche di Cloud Monitoring per monitorare gli eventi di autenticazione per i pool di identità e i provider dei tuoi carichi di lavoro. Per un elenco delle metriche disponibili, consulta Metriche IAM.

Passaggi successivi

Scopri di più sulla federazione di Workload Identity.