Microsoft Entra ID との Workforce Identity 連携を構成してユーザー ログインを行う

コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

このドキュメントでは、Microsoft Entra ID ID プロバイダ（IdP）を使用して Workforce Identity 連携を構成し、Google Cloudへのアクセスを管理する方法について説明します。連携ユーザーは、Workforce Identity 連携をサポートする Google Cloud サービスにアクセスできます。OIDC プロトコルまたは SAML 2.0 プロトコルを使用して、ID を連携できます。

始める前に

1. Google Cloud 組織が設定されていることを確認します。

2. After installing the Google Cloud CLI, configure the gcloud CLI to use your federated identity and then initialize it by running the following command:

   gcloud init

3. Microsoft Entra ID で、暗黙的フローに対して ID トークンが有効になっていることを確認します。詳細については、ID トークンの暗黙的付与を有効にするをご覧ください。
4. ログインの場合、IdP は署名付き認証情報を提供する必要があります。OIDC IdP は JWT を提供し、SAML IdP レスポンスは署名されている必要があります。
5. 組織またはGoogle Cloud プロダクトの変更に関する重要な情報を受け取るには、重要な連絡先を指定する必要があります。詳細については、Workforce Identity 連携の概要をご覧ください。

必要なロール

Workforce Identity 連携の構成に必要な権限を取得するには、組織に対する IAM Workforce プール管理者（roles/iam.workforcePoolAdmin）の IAM ロールを付与するように管理者に依頼します。ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

本番環境ではなく、開発環境またはテスト環境で権限を構成する場合は、IAM オーナー（roles/owner）の基本ロールを付与できます。このロールには、Workforce Identity 連携の権限も含まれています。

Microsoft Entra ID アプリケーションを作成する

Workforce Identity プールは、OIDC プロトコルと SAML プロトコルの両方を使用した連携をサポートしています。

Workforce Identity プールを作成する

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Microsoft Entra ID Workforce Identity プール プロバイダを作成する

このセクションでは、IdP ユーザーが Google Cloudにアクセスできるように Workforce Identity プール プロバイダを作成する方法について説明します。OIDC または SAML プロトコルを使用するようにプロバイダを構成できます。

OIDC Workforce Identity プール プロバイダを作成する

OIDC プロトコルを使用して、Microsoft Entra ID アプリケーション統合用の Workforce Identity プール プロバイダを作成するには、次の操作を行います。

1. Microsoft Entra ID アプリケーションの発行元 URI を取得するには、次の操作を行います。

   1. Microsoft Entra ID アプリケーション登録に移動します。
   2. [Endpoints] をクリックします。
   3. 新しいタブで OpenID Connect のメタデータ ドキュメントを開きます。
   4. JSON で、issuer の値をコピーします。

2. Microsoft Entra ID アプリケーションのクライアント ID を取得するには、次の操作を行います。

   1. Microsoft Entra ID アプリケーション登録に移動します。
   2. [Application (client) ID] の値をコピーします。

3. ウェブベースのログイン用の OIDC Workforce Identity プール プロバイダを作成するには、次の操作を行います。

   コンソール

   コードフロー

   ウェブベースのログインに認可コードフローを使用する OIDC プロバイダを作成するには、次の操作を行います。

   1. Microsoft Entra ID クライアント シークレットを取得するには、次の操作を行います。

      1. Microsoft Entra ID アプリの登録に移動します。

      2. [Certificates & secrets] で、[Client secrets] タブをクリックします。

      3. クライアント シークレットを追加するには、[+ New client secret] をクリックします。

      4. [Add a client secret] ダイアログで、必要に応じて情報を入力します。

      5. クライアント シークレットを作成するには、[Add] をクリックします。

      6. [Client secrets] タブで、新しいクライアント シークレットを見つけます。

      7. 新しいクライアント シークレットの [Value] 列で、[content_copyCopy] をクリックします。

   2. Google Cloud コンソールで認可コードフローを使用する OIDC プロバイダを作成するには、次の操作を行います。

      1. Google Cloud コンソールで、[Workforce Identity プール] ページに移動します。

         [Workforce Identity プール] に移動

      2. [Workforce Identity プール] テーブルで、プロバイダを作成するプールを選択します。

      3. [プロバイダ] テーブルで [プロバイダを追加] をクリックします。

      4. [プロトコルを選択] で、[Open ID Connect（OIDC）] を選択します。

      5. [プール プロバイダの作成] で、次の操作を行います。

         1. [名前] にプロバイダの名前を入力します。
         2. [発行元（URL）] に発行元 URI を入力します。OIDC 発行元 URI は有効な URI 形式で、https で始まる必要があります。（例: https://example.com/oidc）。
         3. クライアント ID（OIDC IdP に登録されている OIDC クライアント ID）を入力します。ID は、IdP によって発行された JWT の aud クレームと一致する必要があります。
         4. 有効なプロバイダを作成するには、[有効なプロバイダ] がオンになっていることを確認します。
         5. [続行] をクリックします。

      6. [フロータイプ] で、次の操作を行います。フロータイプは、ウェブベースのシングル サインオン フローでのみ使用されます。

         1. [フロータイプ] で [コード] を選択します。
         2. [クライアント シークレット] に、IdP のクライアント シークレットを入力します。

         3. [アサーション クレームの動作] で、次のいずれかを選択します。

            • ユーザー情報と ID トークン
            • ID トークンのみ

         4. [続行] をクリックします。

      7. [プロバイダの構成] で、属性のマッピングと属性条件を構成できます。属性のマッピングを作成する手順は次のとおりです。IdP フィールド名、または文字列を返す CEL 形式の式を指定できます。

         1. 必須: [OIDC 1] に、IdP からの件名を入力します（例: assertion.sub）。

            OIDC 認証を使用した Microsoft Entra ID では、次の属性マッピングをおすすめします。

            google.subject=assertion.sub,
            google.groups=assertion.groups,
            google.display_name=assertion.preferred_username
            

            この例では、IdP 属性 subject、groups、preferred_username を Google Cloud属性 google.subject、google.groups、google.display_name にそれぞれマッピングしています。

         2. 省略可: 属性のマッピングを追加する手順は次のとおりです。

            1. [マッピングを追加] をクリックします。
            2. [Google n]（n は数値）で、Google Cloudでサポートされている鍵のいずれかを入力します。
            3. 対応する [OIDC n] フィールドに、マッピングする IdP 固有のフィールドの名前を CEL 形式で入力します。

         3. 属性条件を作成するには、次の操作を行います。

            1. [条件を追加] をクリックします。
            2. [属性条件] に、CEL 形式で条件を入力します。たとえば、ipaddr 属性を特定の IP 範囲に制限するには、条件 assertion.ipaddr.startsWith('98.11.12.') を設定します。

      8. プロバイダを作成するには、[送信] をクリックします。

   暗黙的フロー

   ウェブベースのログインに暗黙的フローを使用する OIDC プロバイダを作成するには、次の操作を行います。

   1. Google Cloud コンソールで、[Workforce Identity プール] ページに移動します。

      [Workforce Identity プール] に移動

   2. [Workforce Identity プール] テーブルで、プロバイダを作成するプールを選択します。

   3. [プロバイダ] テーブルで [プロバイダを追加] をクリックします。

   4. [プロトコルを選択] で、[Open ID Connect（OIDC）] を選択します。

   5. [プール プロバイダの作成] で、次の操作を行います。

      1. [名前] にプロバイダの名前を入力します。
      2. [発行元（URL）] に発行元 URI を入力します。OIDC 発行元 URI は有効な URI 形式で、https で始まる必要があります。（例: https://example.com/oidc）。
      3. クライアント ID（OIDC IdP に登録されている OIDC クライアント ID）を入力します。ID は、IdP によって発行された JWT の aud クレームと一致する必要があります。
      4. 有効なプロバイダを作成するには、[有効なプロバイダ] がオンになっていることを確認します。
      5. [続行] をクリックします。

   6. [フロータイプ] で、次の操作を行います。フロータイプは、ウェブベースのシングル サインオン フローでのみ使用されます。

      1. [フロータイプ] で [ID トークン] を選択します。
      2. [続行] をクリックします。

   7. [プロバイダの構成] で、属性のマッピングと属性条件を構成できます。属性のマッピングを作成する手順は次のとおりです。IdP フィールド名、または文字列を返す CEL 形式の式を指定できます。

      1. 必須: [OIDC 1] に、IdP からの件名を入力します（例: assertion.sub）。

         OIDC 認証を使用した Microsoft Entra ID では、次の属性マッピングをおすすめします。

         google.subject=assertion.sub,
         google.groups=assertion.groups,
         google.display_name=assertion.preferred_username
         

         この例では、IdP 属性 subject、groups、preferred_username を Google Cloud属性 google.subject、google.groups、google.display_name にそれぞれマッピングしています。

      2. 省略可: 属性のマッピングを追加する手順は次のとおりです。

         1. [マッピングを追加] をクリックします。
         2. [Google n]（n は数値）で、Google Cloudでサポートされている鍵のいずれかを入力します。
         3. 対応する [OIDC n] フィールドに、マッピングする IdP 固有のフィールドの名前を CEL 形式で入力します。

      3. 属性条件を作成するには、次の操作を行います。

         1. [条件を追加] をクリックします。

         2. [属性条件] に、CEL 形式で条件を入力します。たとえば、ipaddr 属性を特定の IP 範囲に制限するには、条件 assertion.ipaddr.startsWith('98.11.12.') を設定します。

   8. プロバイダを作成するには、[送信] をクリックします。

   gcloud

   OIDC プロトコルをサポートするプロバイダを作成するには、次の操作を行います。

   コードフロー

   ウェブベースのログインに認可コードフローを使用する OIDC プロバイダを作成するには、次の操作を行います。

   1. Microsoft Entra ID アプリケーションでクライアント シークレットを取得するには、次の操作を行います。

      1. Microsoft Entra ID アプリの登録に移動します。

      2. [Certificates & secrets] で、[Client secrets] タブをクリックします。

      3. クライアント シークレットを追加するには、[+ New client secret] をクリックします。

      4. [Add a client secret] ダイアログで、必要に応じて情報を入力します。

      5. クライアント シークレットを作成するには、[Add] をクリックします。

      6. [Client secrets] タブで、新しいクライアント シークレットを見つけます。

      7. 新しいクライアント シークレットの [Value] 列で、[content_copyCopy] をクリックします。

   2. Google Cloud コンソールでコードフローを使用する OIDC プロバイダを作成するには、次の操作を行います。

      gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
          --workforce-pool=WORKFORCE_POOL_ID \
          --display-name="DISPLAY_NAME" \
          --description="DESCRIPTION" \
          --issuer-uri="ISSUER_URI" \
          --client-id="OIDC_CLIENT_ID" \
          --client-secret-value="OIDC_CLIENT_SECRET" \
          --web-sso-response-type="code" \
          --web-sso-assertion-claims-behavior="merge-user-info-over-id-token-claims" \
          --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
          --attribute-mapping="ATTRIBUTE_MAPPING" \
          --attribute-condition="ATTRIBUTE_CONDITION" \
          --jwk-json-path="JWK_JSON_PATH" \
          --location=global
      

      次のように置き換えます。

      • WORKFORCE_PROVIDER_ID: 一意の Workforce Identity プール プロバイダ ID。接頭辞 gcp- は予約されているため、Workforce Identity プールまたは Workforce Identity プール プロバイダ ID では使用できません。
      • WORKFORCE_POOL_ID: IdP を接続する Workforce Identity プール ID。
      • DISPLAY_NAME: プロバイダのわかりやすい表示名。省略可能です。例: idp-eu-employees
      • DESCRIPTION: Workforce プロバイダの説明。省略可能です。例: IdP for Partner Example Organization employees
      • ISSUER_URI: https で始まる有効な URI 形式の OIDC 発行者 URI。例: https://example.com/oidc注: セキュリティ上の理由により、ISSUER_URI では HTTPS スキームを使用する必要があります。
      • OIDC_CLIENT_ID: OIDC IdP に登録されている OIDC クライアント ID。ID は、IdP によって発行された JWT の aud クレームと一致する必要があります。
      • OIDC_CLIENT_SECRET: OIDC クライアント シークレット。
      • WEB_SSO_ADDITIONAL_SCOPES: コンソール（連携）または gcloud CLI ブラウザベースのログイン用に OIDC IdP に送信する任意の追加スコープ
      • ATTRIBUTE_MAPPING: 属性マッピング。OIDC 認証を使用した Microsoft Entra ID では、次の属性マッピングをおすすめします。

        google.subject=assertion.sub,
        google.groups=assertion.groups,
        google.display_name=assertion.preferred_username
        

        この例では、IdP 属性 subject、groups、preferred_username を Google Cloud属性 google.subject、google.groups、google.display_name にそれぞれマッピングしています。

      • ATTRIBUTE_CONDITION: 属性条件。たとえば、ipaddr 属性を特定の IP 範囲に制限する場合は、条件 assertion.ipaddr.startsWith('98.11.12.') を設定します。
      • JWK_JSON_PATH: ローカルにアップロードされた OIDC JWK へのパス（省略可）。このパラメータを指定しない場合、代わりに Google Cloud は IdP の /.well-known/openid-configuration パスを使用して公開鍵を含む JWK を取得します。ローカルにアップロードされた OIDC JWK の詳細については、OIDC JWK を管理するをご覧ください。
      コマンド レスポンスで、POOL_RESOURCE_NAME はプールの名前です。例: locations/global/workforcePools/enterprise-example-organization-employees

   暗黙的フロー

   ウェブログインに暗黙的フローを使用する OIDC プロバイダを作成するには、次の操作を行います。

   1. Microsoft Entra ID アプリケーションで ID トークンを有効にするには、次の操作を行います。

      1. Microsoft Entra ID アプリケーション登録に移動します。
      2. [Authentication] で、[ID token] チェックボックスをオンにします。
      3. [Save] をクリックします。

   2. プロバイダを作成するには、次のコマンドを実行します。

      gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
          --workforce-pool=WORKFORCE_POOL_ID \
          --display-name="DISPLAY_NAME" \
          --description="DESCRIPTION" \
          --issuer-uri="ISSUER_URI" \
          --client-id="OIDC_CLIENT_ID" \
          --web-sso-response-type="id-token" \
          --web-sso-assertion-claims-behavior="only-id-token-claims" \
          --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
          --attribute-mapping="ATTRIBUTE_MAPPING" \
          --attribute-condition="ATTRIBUTE_CONDITION" \
          --jwk-json-path="JWK_JSON_PATH" \
          --location=global
      

      次のように置き換えます。

      • WORKFORCE_PROVIDER_ID: 一意の Workforce Identity プール プロバイダ ID。接頭辞 gcp- は予約されているため、Workforce Identity プールまたは Workforce Identity プール プロバイダ ID では使用できません。
      • WORKFORCE_POOL_ID: IdP を接続する Workforce Identity プール ID。
      • DISPLAY_NAME: プロバイダのわかりやすい表示名。省略可能です。例: idp-eu-employees
      • DESCRIPTION: Workforce プロバイダの説明。省略可能です。例: IdP for Partner Example Organization employees
      • ISSUER_URI: https で始まる有効な URI 形式の OIDC 発行者 URI。例: https://example.com/oidc注: セキュリティ上の理由により、ISSUER_URI では HTTPS スキームを使用する必要があります。
      • OIDC_CLIENT_ID: OIDC IdP に登録されている OIDC クライアント ID。ID は、IdP によって発行された JWT の aud クレームと一致する必要があります。
      • WEB_SSO_ADDITIONAL_SCOPES: コンソール（連携）または gcloud CLI ブラウザベースのログイン用に OIDC IdP に送信する任意の追加スコープ
      • ATTRIBUTE_MAPPING: 属性マッピング。OIDC 認証を使用した Microsoft Entra ID では、次の属性マッピングをおすすめします。

        google.subject=assertion.sub,
        google.groups=assertion.groups,
        google.display_name=assertion.preferred_username
        

        この例では、IdP 属性 subject、groups、preferred_username を Google Cloud属性 google.subject、google.groups、google.display_name にそれぞれマッピングしています。

      • ATTRIBUTE_CONDITION: 属性条件。たとえば、ipaddr 属性を特定の IP 範囲に制限する場合は、条件 assertion.ipaddr.startsWith('98.11.12.') を設定します。
      • JWK_JSON_PATH: ローカルにアップロードされた OIDC JWK へのパス（省略可）。このパラメータを指定しない場合、代わりに Google Cloud は IdP の /.well-known/openid-configuration パスを使用して公開鍵を含む JWK を取得します。ローカルにアップロードされた OIDC JWK の詳細については、OIDC JWK を管理するをご覧ください。
      コマンド レスポンスで、POOL_RESOURCE_NAME はプールの名前です。例: locations/global/workforcePools/enterprise-example-organization-employees

SAML 2.0 Workforce Identity プール プロバイダを作成する

1. SAML IdP で、 Google CloudWorkforce Identity 連携用の新しいアプリケーションを登録します。

2. SAML アサーションのオーディエンスを設定します。通常、これは IdP 構成の SP Entity ID フィールドです。次の URL に設定する必要があります。

   https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

3. コンソールへのユーザー アクセスを設定する場合は、SAML IdP で、リダイレクト URL または Assertion Consumer Service（ACS）の URL フィールドを次の URL に設定します。

   https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

   次のように置き換えます。

   • WORKFORCE_POOL_ID: Workforce Identity プールの ID

   • WORKFORCE_PROVIDER_ID: このドキュメントの後半で作成する Workforce Identity プール プロバイダの ID。

   コンソール ログインの構成の詳細については、コンソールへのユーザー アクセスを設定するをご覧ください。

4. Google Cloudで、IdP の SAML メタデータ ドキュメントを使用して SAML Workforce Identity プール プロバイダを作成します。IdP から SAML メタデータ XML ドキュメントをダウンロードできます。ドキュメントには少なくとも次のものが含まれている必要があります。

   • IdP の SAML エンティティ ID。
   • IdP のシングル サインオン URL。
   • 少なくとも 1 つの署名公開鍵。署名鍵の詳細については、このガイドの後述の鍵の要件をご覧ください。

gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
    --workforce-pool="WORKFORCE_POOL_ID" \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --idp-metadata-path="XML_METADATA_PATH" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --location=global

gcloud iam workforce-pools providers keys create KEY_ID \
    --workforce-pool WORKFORCE_POOL_ID \
    --provider WORKFORCE_PROVIDER_ID \
    --location global \
    --use encryption \
    --spec KEY_SPECIFICATION

gcloud iam workforce-pools providers keys describe KEY_ID \
    --workforce-pool WORKFORCE_POOL_ID \
    --provider WORKFORCE_PROVIDER_ID \
    --location global \
    --format "value(keyData.key)" \
    > CERTIFICATE_PATH

  gcloud iam workforce-pools providers keys delete KEY_ID \
      --workforce-pool WORKFORCE_POOL_ID \
      --provider WORKFORCE_PROVIDER_ID \
      --location global

Google Cloud リソースへのアクセスを管理する

このセクションでは、例として、Workforce Identity 連携ユーザーによるGoogle Cloud リソースへのアクセスを管理する方法を説明します。

この例では、サンプル プロジェクトに対して Identity and Access Management（IAM）のロールを付与します。これにより、ユーザーはログインしてこのプロジェクトを使用し、 Google Cloud プロダクトにアクセスできます。

単一の ID、ID のグループ、プール全体で IAM ロールを管理できます。詳細については、IAM ポリシーで Workforce Identity プールユーザーを表すをご覧ください。

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/SUBJECT_VALUE"

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.department/DEPARTMENT_VALUE"

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

ログインしてアクセスをテストする

このセクションでは、Workforce Identity プールユーザーとしてログインし、 Google Cloud リソースにアクセスできることを確認します。

ログイン

このセクションでは、連携ユーザーとしてログインし、Google Cloud リソースにアクセスする方法について説明します。

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/PROVIDER_ID \
    --output-file=LOGIN_CONFIG_FILE_PATH

{
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.google/authorize",
  "token_url": "https://sts.googleapis.com/v1/oauthtoken",
  "token_info_url": "https://googleapis.com/v1/introspect",
}

テストアクセス

これで、Workforce Identity 連携をサポートし、アクセス権が付与されている Google Cloud プロダクトにアクセスできるようになりました。このドキュメントの前半で、プロジェクト TEST_PROJECT_ID の gcloud projects add-iam-policy-binding で指定したグループ ID 内のすべての ID にストレージ管理者ロール（roles/storage.admin）を付与しました。

ここでは、Cloud Storage バケットを一覧取得して、そのバケットにアクセスできるかどうかをテストします。

gcloud storage ls --project="TEST_PROJECT_ID"

ユーザーを削除する

Workforce Identity 連携は、連携ユーザー ID のユーザー メタデータとリソースを作成します。IdP でユーザーを削除する場合は、 Google Cloudでこれらのリソースも明示的に削除する必要があります。詳しくは、Workforce Identity 連携ユーザーとそのデータを削除するをご覧ください。

削除されたユーザーにリソースが引き続き関連付けられていることがあります。これは、ユーザーのメタデータとリソースの削除には長時間実行オペレーションが必要になるためです。ユーザー ID の削除を開始した後、削除前にユーザーが開始したプロセスは、プロセスが完了するかキャンセルされるまで引き続き実行されます。

次のステップ

• Workforce Identity 連携ユーザーとそのデータを削除する
• Workforce Identity 連携をサポートする Google Cloud プロダクトを確認する
• コンソール（連携）へのユーザー アクセスを設定する