Se usó la API de Cloud Translation para traducir esta página.

Configura la federación de identidades de personal con Microsoft Entra ID y una gran cantidad de grupos

En este documento, se muestra cómo configurar la federación de identidades de personal con el proveedor de identidad (IdP) de Microsoft Entra ID y cómo asignar hasta 400 grupos de Microsoft Entra ID a Google Cloud con Microsoft Graph. Luego, el documento te muestra cómo otorgar roles de IAM a esos grupos y cómo acceder aGoogle Cloudcon los usuarios de Microsoft Entra ID que son miembros de los grupos. Luego, los usuarios pueden acceder a los Google Cloud productos a los que se les otorgó acceso con IAM y que admiten la federación de identidades de personal.

Para asignar menos de 150 grupos de Microsoft Entra ID a Google Cloud, consulta Configura la federación de identidades de personal con Microsoft Entra ID y permite el acceso de usuarios.

Puedes usar el método descrito en este documento con los siguientes protocolos:

OIDC con flujo implícito
OIDC con flujo de código
Protocolo SAML 2.0

La cantidad de direcciones de correo electrónico de grupo que una aplicación de Microsoft Entra ID puede emitir en un token se limita a 150 para SAML y a 200 para JWT. Para obtener más información sobre este límite, consulta Configura reclamaciones de grupos para aplicaciones con Microsoft Entra ID. Para recuperar más grupos, la federación de identidades de personal usa el flujo de credenciales de cliente de OAuth 2.0 de Microsoft Identity para obtener credenciales que permitan a la federación de identidades de personal consultar la API de Microsoft Graph y recuperar los grupos de un usuario.

Para usar este método, en un nivel general, debes hacer lo siguiente:

Crea una aplicación nueva de Microsoft Entra ID o actualiza la existente para obtener las membresías de grupo de los usuarios desde la API de Microsoft Graph. Para obtener más información sobre cómo Microsoft Graph recupera una gran cantidad de grupos de Microsoft Entra ID, consulta Exceso de grupos.
Cuando creas el proveedor de grupo de identidades de personal, usas marcas de extra-attributes para configurar la federación de identidades de personal de modo que recupere las direcciones de correo electrónico de los grupos de usuarios desde la API de Microsoft Graph.

La federación de identidades de personal puede recuperar un máximo de 999 grupos de la API de Microsoft Graph. Si la API de Microsoft Graph devuelve más de 999 grupos, se produce un error de acceso.

Para reducir la cantidad de grupos que devuelve la API de Microsoft Graph, puedes refinar la consulta de la federación de identidades para cargas de trabajo con la marca --extra-attributes-filter cuando crees el proveedor de grupos de identidades de personal.

Después de que la federación de Workforce Identity recupera los grupos de la API de Microsoft Graph, genera el token de acceso. La federación de identidades para la fuerza laboral puede agregar un máximo de 400 grupos al token de acceso, por lo que, para filtrar aún más la cantidad de grupos a 400 o menos, puedes especificar una asignación de atributos que contenga expresiones comunes del lenguaje de expresiones (CEL) cuando crees el proveedor de grupo de identidades para la fuerza laboral.

Antes de comenzar

Asegúrate de tener una organización Google Cloud configurada.
After installing the Google Cloud CLI, initialize it by running the following command:
```
gcloud init
```
If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.
En Microsoft Entra ID, asegúrate de que los tokens de ID estén habilitados para el flujo implícito. Para obtener más información, consulta Habilita el otorgamiento implícito del token de ID.
Para el acceso, tu IdP debe proporcionar información de autenticación firmada: los IdP de OIDC deben proporcionar un JWT y las respuestas del IdP de SAML deben estar firmadas.
Para recibir información importante sobre los cambios en tu organización o en losGoogle Cloud productos, debes proporcionar Essential Contacts. Para obtener más información, consulta la descripción general de la federación de identidades de personal.
Todos los grupos que desees asignar deben estar marcados como grupos de seguridad en Microsoft Entra ID.
Importante: Se puede recuperar un máximo de 999 grupos.

Costos

La federación de identidades de personal está disponible como una función sin costo. Sin embargo, el registro de auditoría detallado de la federación de Workforce Identity usa Cloud Logging. Para obtener información sobre los precios de Logging, consulta los precios de Google Cloud Observability.

Roles obligatorios

A fin de obtener los permisos que necesitas para configurar la federación de identidades de personal, pídele a tu administrador que te otorgue el rol de IAM Administrador de grupos de trabajadores de IAM (roles/iam.workforcePoolAdmin) en la organización. Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

También puedes obtener los permisos necesarios mediante roles personalizados o cualquier otro rol predefinido.

Si configuras permisos en un entorno de desarrollo o de prueba, pero no en un entorno de producción, puedes otorgar el rol básico de propietario de IAM (roles/owner), que también incluye permisos para la federación de identidades de personal.

Crea una aplicación de Microsoft Entra ID

En esta sección, se muestra cómo crear una aplicación de Microsoft Entra ID con el portal de administración de Microsoft Entra. Como alternativa, puedes actualizar tu aplicación existente. Para obtener más detalles, consulta Establece aplicaciones en el ecosistema de Microsoft Entra ID.

Los grupos de identidades de personal admiten la federación mediante el uso de protocolos OIDC y SAML.

OIDC

Para crear un registro de aplicación de Microsoft Entra ID que use el protocolo OIDC, haz lo siguiente:

Accede al portal de administración de Microsoft Entra.
Ve a Identidad > Aplicaciones > Registros de apps.
Para comenzar a configurar el registro de la aplicación, haz lo siguiente:
1. Haz clic en Registro nuevo.
2. Ingresa un nombre para tu aplicación.
3. En Tipos de cuentas compatibles, selecciona una opción.
4. En la sección URI de redireccionamiento, en la lista desplegable Seleccionar una plataforma, selecciona Web.
5. En el campo de texto, ingresa una URL de redireccionamiento. Se redirecciona a tus usuarios a esta URL después de que acceden de forma correcta. Si configuras el acceso a la consola (federada), usa el siguiente formato de URL:
```
https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
```
  Reemplaza lo siguiente:
  - WORKFORCE_POOL_ID: Es un ID del grupo de identidades de personal que usarás cuando crees el grupo de identidades de personal más adelante en este documento; por ejemplo: entra-id-oidc-pool
  - WORKFORCE_PROVIDER_ID: Un ID de proveedor de grupo de identidades de personal que usarás cuando crees el proveedor de grupo de identidades de personal más adelante en este documento; por ejemplo, entra-id-oidc-pool-provider
    
    Para obtener información sobre el formato del ID, consulta la sección Parámetros de consulta en la documentación de la API.
6. Para crear el registro de la aplicación, haz clic en Registrar.
7. Para usar la asignación de atributos de ejemplo que se proporciona más adelante en este documento, debes crear un atributo department personalizado.

SAML

Para crear un registro de aplicación de Microsoft Entra ID que use el protocolo SAML, haz lo siguiente:

Accede al portal de administración de Microsoft Entra.
Ve a Identidad > Aplicaciones > Registros de apps.
Para comenzar a configurar la aplicación empresarial, haz lo siguiente:
1. Haz clic en Nueva aplicación > Crear tu propia aplicación.
2. Ingresa un nombre para tu aplicación.
3. Haz clic en Crear.
4. Ve a Inicio de sesión único > SAML.
5. Actualiza la Configuración básica del SAML de la siguiente manera:
  1. En el campo Identificador (ID de entidad), ingresa el siguiente valor:
```
https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
```
    Reemplaza lo siguiente:
    - WORKFORCE_POOL_ID: un ID de grupo de identidades de personal que usarás cuando crees el grupo de identidades de personal más adelante en este documento; por ejemplo: entra-id-saml-pool
    - WORKFORCE_PROVIDER_ID: Un ID de proveedor de grupo de identidades de personal que usarás cuando crees el proveedor de grupo de identidades de personal más adelante en este documento, por ejemplo: entra-id-saml-pool-provider
      
      Para obtener información sobre el formato del ID, consulta la sección Parámetros de consulta en la documentación de la API.
  2. En el campo URL de respuesta (URL del servicio de confirmación de consumidores), ingresa una URL de redireccionamiento. Se redirecciona a tus usuarios a esta URL después de que acceden de forma correcta. Si configuras el acceso a la consola (federada), usa el siguiente formato de URL:
```
https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
```
    Reemplaza lo siguiente:
    - WORKFORCE_POOL_ID: El ID del grupo de identidades de personal
    - WORKFORCE_PROVIDER_ID: El ID del proveedor de identidad de personal
  3. Para habilitar el inicio de sesión iniciado por IdP, establece el campo Estado de retransmisión en el siguiente valor:
```
https://console.cloud.google/
```
  4. Para guardar la configuración de la aplicación de SAML, haz clic en Guardar.
6. Para usar la asignación de atributos de ejemplo que se proporciona más adelante en este documento, debes crear un atributo department personalizado.

Configura una gran cantidad de grupos con Microsoft Entra ID

En esta sección, se describe cómo asignar hasta 400 grupos de Microsoft Entra ID a la federación de identidades de personal con los protocolos OIDC y SAML.

Configura una gran cantidad de grupos con Microsoft Entra ID con el flujo implícito de OIDC

En esta sección, se describe cómo asignar hasta 400 grupos de Microsoft Entra ID a la federación de identidades de personal con el protocolo OpenID Connect (OIDC) con flujo implícito.

Configura tu aplicación de Microsoft Entra ID

Puedes configurar una aplicación existente de Microsoft Entra ID o crear una nueva. Para configurar tu aplicación, haz lo siguiente:

En el portal de Microsoft Entra ID, haz lo siguiente:
- Para registrar una aplicación nueva, sigue las instrucciones en Registra una aplicación nueva.
- Para actualizar una aplicación existente, haz lo siguiente:
  - Ve a Identidad > Aplicaciones > Aplicaciones empresariales.
  - Selecciona la aplicación que quieres actualizar.
Crea un nuevo secreto del cliente en la aplicación siguiendo las instrucciones en Certificados y secretos. Asegúrate de registrar el valor del secreto del cliente, ya que solo se muestra una vez.
Toma nota de los siguientes valores de la aplicación que creaste o actualizaste. Proporcionarás los valores cuando configures el proveedor de grupos de identidades de personal más adelante en este documento.
- Client ID
- Issuer URI
- Client Secret
- Tenant ID
Para recuperar los grupos de Microsoft Entra ID, agrega el permiso de la API para permitir que la federación de identidades de personal acceda a la información de los usuarios desde Microsoft Entra ID con la API de Microsoft Graph y otorga el consentimiento del administrador. En Microsoft Entra ID, haz lo siguiente:
1. Ve a Permisos de la API.
2. Haz clic en Agregar un permiso.
3. Selecciona Microsoft API.
4. Selecciona Permisos de aplicación.
5. En el campo de búsqueda, escribe User.ReadBasic.All.
6. Haz clic en Agregar permisos.
Puedes recuperar los grupos de Microsoft Entra ID como identificadores de objetos de grupo (ID) o como direcciones de correo electrónico de grupo para los grupos habilitados para correo electrónico.

Si eliges recuperar los grupos como direcciones de correo electrónico de grupo, el siguiente paso es obligatorio.
Para recuperar los grupos de Microsoft Entra ID como direcciones de correo electrónico de grupo, haz lo siguiente. Si recuperas grupos como identificadores de objetos de grupo, omite este paso.
1. En el campo de búsqueda, ingresa GroupMember.Read.All.
2. Haz clic en Agregar permisos.
3. Haz clic en Grant admin consent para tu nombre de dominio.
4. En el cuadro de diálogo que aparece, haz clic en Sí.
5. Ve a la página Descripción general de la aplicación de Microsoft Entra ID que creaste o actualizaste antes.
6. Haz clic en Extremos.
El URI de la entidad emisora es el URI del documento de metadatos de OIDC, sin incluir la ruta de acceso /.well-known/openid-configuration.

Por ejemplo, si el documento de metadatos de OIDC es https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.well-known/openid-configuration, el URI del emisor es https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.

Crea un grupo de Workforce Identity

gcloud

Para crear el grupo de identidades de personal, ejecuta el siguiente comando:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Reemplaza lo siguiente:

WORKFORCE_POOL_ID: Es un ID que elijas para representar tu Google Cloud grupo de personal. Para obtener información sobre el formato del ID, consulta la sección Parámetros de consulta en la documentación de la API.
ORGANIZATION_ID: Es el ID numérico de tu organización Google Cloud para el grupo de identidades de personal. Los grupos de identidad del personal están disponibles en todos los proyectos y carpetas de la organización.
DISPLAY_NAME: Opcional Un nombre visible para tu grupo de identidad del personal.
DESCRIPTION: Opcional Una descripción del grupo de identidad del personal.
SESSION_DURATION: Opcional La duración de la sesión determina el tiempo de acceso a los tokens de acceso de Google Cloud , las sesiones de acceso de la consola (federada) y las sesiones de acceso de gcloud CLI de este grupo de personal son válidas. La duración predeterminada de la sesión es de una hora (3,600 s). El valor de duración de la sesión debe estar entre 15 minutos (900 s) y 12 horas (43,200 s).

Console

Para crear el grupo de identidades de personal, haz lo siguiente:

En la consola de Google Cloud , ve a la página Grupos de identidades de personal:

Ir a Grupos de identidades de personal
Selecciona la organización para tu grupo de identidades del personal. Los grupos de identidades para la fuerza laboral están disponibles en todos los proyectos y carpetas de una organización.
Haz clic en Crear grupo y haz lo siguiente:
1. En el campo Nombre, ingresa el nombre visible del grupo. El ID del grupo se deriva automáticamente del nombre a medida que escribes y se muestra en el campo Nombre. Para actualizar el ID del grupo, haz clic en Editar junto a él.
2. Opcional: En Descripción, ingresa una descripción del grupo.
3. Para crear el grupo de identidades de personal, haz clic en Siguiente.

La duración de la sesión del grupo de identidades del personal se establece de forma predeterminada en una hora (3,600 s). La duración de la sesión determina el tiempo de validez de los tokens de acceso Google Cloud , la consola (federada) y las sesiones de acceso de gcloud CLI de este grupo de personal. Después de crear el grupo, puedes actualizarlo para establecer una duración de sesión personalizada. La duración de la sesión debe ser de 15 minutos (900 s) a 12 horas (43,200 s).

Configura el proveedor de grupos de identidades de personal con flujo implícito de OIDC

Para crear el proveedor de grupos de identidades de personal de OIDC, ejecuta el siguiente comando:

gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global \
    --display-name=DISPLAY_NAME \
    --issuer-uri=ISSUER_URI \
    --client-id=CLIENT_ID \
    --attribute-mapping=ATTRIBUTE_MAPPING \
    --web-sso-response-type=id-token \
    --web-sso-assertion-claims-behavior=only-id-token-claims \
    --extra-attributes-issuer-uri=EXTRA_ATTRIBUTES_ISSUER_URI \
    --extra-attributes-client-id=EXTRA_ATTRIBUTES_CLIENT_ID \
    --extra-attributes-client-secret-value=EXTRA_ATTRIBUTES_CLIENT_SECRET \
    --extra-attributes-type=EXTRA_ATTRIBUTES_TYPE  \
    –-extra-attributes-filter=EXTRA_ATTRIBUTES_FILTER \
    --detailed-audit-logging

Reemplaza lo siguiente:

PROVIDER_ID: un ID de proveedor único. El prefijo gcp- está reservado y no se puede usar en un ID de grupo ni de proveedor.
WORKFORCE_POOL_ID: Es el ID del grupo de personal.
DISPLAY_NAME: Es el nombre visible del proveedor.
ISSUER_URI: Es el URI de la entidad emisora de la aplicación de Microsoft Entra ID que creaste anteriormente en este documento.
CLIENT_ID: Es el ID de cliente de tu aplicación de Microsoft Entra ID.
ATTRIBUTE_MAPPING: Es la asignación de atributos de Microsoft Entra ID a Google Cloud. Por ejemplo, para asignar groups y subject desde Microsoft Entra ID, usa la siguiente asignación de atributos:
```
--attribute-mapping=”google.groups=assertion.groups, google.subject=assertion.sub"
```
Para obtener más información, consulta Asignación de atributos.
EXTRA_ATTRIBUTES_ISSUER_URI: Es el URI de la entidad emisora de tu aplicación de Microsoft Entra ID.
EXTRA_ATTRIBUTES_CLIENT_ID: Es el ID de cliente de tu aplicación de Microsoft Entra ID.
EXTRA_ATTRIBUTES_CLIENT_SECRET: Es el secreto del cliente adicional de tu aplicación de Microsoft Entra ID.
EXTRA_ATTRIBUTES_TYPE: Usa azure-ad-groups-mail para recuperar las direcciones de correo electrónico de los grupos. Usa azure-ad-groups-id para recuperar los IDs de los grupos.
EXTRA_ATTRIBUTES_FILTER: Opcional Es una expresión de filtro que se usa cuando se consulta la API de Microsoft Graph para obtener grupos. Puedes usar este parámetro para asegurarte de que la cantidad de grupos recuperados del IdP permanezca por debajo del límite de 999 grupos.
En el siguiente ejemplo, se recuperan los grupos que tienen el prefijo sales en su ID de correo electrónico:
```
--extra-attributes-filter='"mail:sales"'
```
La siguiente expresión recupera grupos con un nombre visible que contiene la cadena sales.
```
--extra-attributes-filter='"displayName:sales”'
```
El registro de auditoría detallado de la federación de Workforce Identity registra la información que se recibe de tu IdP en Logging. El registro de auditoría detallado puede ayudarte a solucionar problemas relacionados con la configuración del proveedor de grupo de identidades de personal. Para obtener información sobre cómo solucionar problemas de errores de asignación de atributos con registros de auditoría detallados, consulta Errores generales de asignación de atributos. Para obtener información sobre los precios de Logging, consulta los precios de Google Cloud Observability.

Para inhabilitar el registro de auditoría detallado de un proveedor de grupos de identidades de personal, omite la marca --detailed-audit-logging cuando ejecutes gcloud iam workforce-pools providers create. Para inhabilitar el registro de auditoría detallado, también puedes actualizar el proveedor.

Configura una gran cantidad de grupos en Microsoft Entra ID con el flujo de código de OIDC

En esta sección, se describe cómo asignar hasta 400 grupos de Microsoft Entra ID a la federación de identidades de personal con el protocolo OIDC y el flujo de código.

Configura tu aplicación de Microsoft Entra ID

Puedes configurar una aplicación existente de Microsoft Entra ID o crear una nueva. Para configurar tu aplicación, haz lo siguiente:

En el portal de Microsoft Entra ID, haz lo siguiente:
- Para registrar una aplicación nueva, sigue las instrucciones en Registra una aplicación nueva.
- Para actualizar una aplicación existente, haz lo siguiente:
  - Ve a Identidad > Aplicaciones > Aplicaciones empresariales.
  - Selecciona la aplicación que quieres actualizar.
Crea un nuevo secreto del cliente en la aplicación siguiendo las instrucciones en Certificados y secretos. Asegúrate de registrar el valor del secreto del cliente, ya que solo se muestra una vez.
Toma nota de los siguientes valores de la aplicación que creaste o actualizaste. Proporcionarás los valores cuando configures el proveedor de grupos de identidades de personal más adelante en este documento.
- Client ID
- Issuer URI
- Client Secret
- Tenant ID
Para recuperar los grupos de Microsoft Entra ID, agrega el permiso de la API para permitir que la federación de identidades de personal acceda a la información de los usuarios desde Microsoft Entra ID con la API de Microsoft Graph y otorga el consentimiento del administrador. En Microsoft Entra ID, haz lo siguiente:
1. Ve a Permisos de la API.
2. Haz clic en Agregar un permiso.
3. Selecciona Microsoft API.
4. Selecciona Permisos delegados.
5. En el campo de búsqueda, escribe User.Read.
6. Haz clic en Agregar permisos.
Puedes recuperar los grupos de Microsoft Entra ID como identificadores de objetos de grupo (ID) o como direcciones de correo electrónico de grupo para los grupos habilitados para correo electrónico.

Si eliges recuperar los grupos como direcciones de correo electrónico de grupo, el siguiente paso es obligatorio.
Para recuperar los grupos de Microsoft Entra ID como direcciones de correo electrónico de grupo, haz lo siguiente. Si recuperas grupos como identificadores de objetos de grupo, omite este paso.
1. En el campo de búsqueda, ingresa GroupMember.Read.All.
2. Haz clic en Agregar permisos.
3. Haz clic en Grant admin consent para tu nombre de dominio.
4. En el cuadro de diálogo que aparece, haz clic en Sí.
5. Ve a la página Descripción general de la aplicación de Microsoft Entra ID que creaste o actualizaste antes.
6. Haz clic en Extremos.
El URI de la entidad emisora es el URI del documento de metadatos de OIDC, sin incluir la ruta de acceso /.well-known/openid-configuration.

Por ejemplo, si el documento de metadatos de OIDC es https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.well-known/openid-configuration, el URI del emisor es https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.

Crea un grupo de Workforce Identity

gcloud

Para crear el grupo de identidades de personal, ejecuta el siguiente comando:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Reemplaza lo siguiente:

WORKFORCE_POOL_ID: Es un ID que elijas para representar tu Google Cloud grupo de personal. Para obtener información sobre el formato del ID, consulta la sección Parámetros de consulta en la documentación de la API.
ORGANIZATION_ID: Es el ID numérico de tu organización Google Cloud para el grupo de identidades de personal. Los grupos de identidad del personal están disponibles en todos los proyectos y carpetas de la organización.
DISPLAY_NAME: Opcional Un nombre visible para tu grupo de identidad del personal.
DESCRIPTION: Opcional Una descripción del grupo de identidad del personal.
SESSION_DURATION: Opcional La duración de la sesión determina el tiempo de acceso a los tokens de acceso de Google Cloud , las sesiones de acceso de la consola (federada) y las sesiones de acceso de gcloud CLI de este grupo de personal son válidas. La duración predeterminada de la sesión es de una hora (3,600 s). El valor de duración de la sesión debe estar entre 15 minutos (900 s) y 12 horas (43,200 s).

Console

Para crear el grupo de identidades de personal, haz lo siguiente:

En la consola de Google Cloud , ve a la página Grupos de identidades de personal:

Ir a Grupos de identidades de personal
Selecciona la organización para tu grupo de identidades del personal. Los grupos de identidades para la fuerza laboral están disponibles en todos los proyectos y carpetas de una organización.
Haz clic en Crear grupo y haz lo siguiente:
1. En el campo Nombre, ingresa el nombre visible del grupo. El ID del grupo se deriva automáticamente del nombre a medida que escribes y se muestra en el campo Nombre. Para actualizar el ID del grupo, haz clic en Editar junto a él.
2. Opcional: En Descripción, ingresa una descripción del grupo.
3. Para crear el grupo de identidades de personal, haz clic en Siguiente.

Configura el proveedor de grupos de identidades de personal del flujo de código de OIDC

Para crear el proveedor de grupos de identidades de personal de OIDC, ejecuta el siguiente comando:

gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global \
    --display-name=DISPLAY_NAME \
    --issuer-uri=ISSUER_URI \
    --client-id=CLIENT_ID \
    --attribute-mapping=ATTRIBUTE_MAPPING \
    --web-sso-response-type=code \
    --web-sso-assertion-claims-behavior=merge-user-info-over-id-token-claims \
    --extra-attributes-issuer-uri=EXTRA_ATTRIBUTES_ISSUER_URI \
    --extra-attributes-client-id=EXTRA_ATTRIBUTES_CLIENT_ID \
    --extra-attributes-client-secret-value=EXTRA_ATTRIBUTES_CLIENT_SECRET \
    --extra-attributes-type=EXTRA_ATTRIBUTES_TYPE  \
    –-extra-attributes-filter=EXTRA_ATTRIBUTES_FILTER \
    --detailed-audit-logging

Reemplaza lo siguiente:

PROVIDER_ID: un ID de proveedor único. El prefijo gcp- está reservado y no se puede usar en un ID de grupo ni de proveedor.
WORKFORCE_POOL_ID: Es el ID del grupo de personal.
DISPLAY_NAME: Es el nombre visible del proveedor.
ISSUER_URI: Es el URI de la entidad emisora de la aplicación de Microsoft Entra ID que creaste anteriormente en este documento.
CLIENT_ID: Es el ID de cliente de tu aplicación de Microsoft Entra ID.
ATTRIBUTE_MAPPING: Es la asignación de atributos de Microsoft Entra ID a Google Cloud. Por ejemplo, para asignar groups y subject desde Microsoft Entra ID, usa la siguiente asignación de atributos:
```
--attribute-mapping=”google.groups=assertion.groups, google.subject=assertion.sub"
```
Para obtener más información, consulta Asignación de atributos.
EXTRA_ATTRIBUTES_ISSUER_URI: Es el URI de la entidad emisora de tu aplicación de Microsoft Entra ID.
EXTRA_ATTRIBUTES_CLIENT_ID: Es el ID de cliente de tu aplicación de Microsoft Entra ID.
EXTRA_ATTRIBUTES_CLIENT_SECRET: Es el secreto del cliente adicional de tu aplicación de Microsoft Entra ID.
EXTRA_ATTRIBUTES_TYPE: Usa azure-ad-groups-mail para recuperar las direcciones de correo electrónico de los grupos. Usa azure-ad-groups-id para recuperar los IDs de los grupos.
EXTRA_ATTRIBUTES_FILTER: Opcional Es una expresión de filtro que se usa cuando se consulta la API de Microsoft Graph para obtener grupos. Puedes usar este parámetro para asegurarte de que la cantidad de grupos recuperados del IdP permanezca por debajo del límite de 999 grupos.
En el siguiente ejemplo, se recuperan los grupos que tienen el prefijo sales en su ID de correo electrónico:
```
--extra-attributes-filter='"mail:sales"'
```
La siguiente expresión recupera grupos con un nombre visible que contiene la cadena sales.
```
--extra-attributes-filter='"displayName:sales”'
```
El registro de auditoría detallado de la federación de Workforce Identity registra la información que se recibe de tu IdP en Logging. El registro de auditoría detallado puede ayudarte a solucionar problemas relacionados con la configuración del proveedor de grupo de identidades de personal. Para obtener información sobre cómo solucionar problemas de errores de asignación de atributos con registros de auditoría detallados, consulta Errores generales de asignación de atributos. Para obtener información sobre los precios de Logging, consulta los precios de Google Cloud Observability.

Para inhabilitar el registro de auditoría detallado de un proveedor de grupos de identidades de personal, omite la marca --detailed-audit-logging cuando ejecutes gcloud iam workforce-pools providers create. Para inhabilitar el registro de auditoría detallado, también puedes actualizar el proveedor.

Configura una gran cantidad de grupos en Microsoft Entra ID con SAML 2.0

En esta sección, se describe cómo asignar hasta 400 grupos de Microsoft Entra ID a la federación de identidades de personal con el protocolo SAML 2.0.

Configura tu aplicación de Microsoft Entra ID

Para configurar tu aplicación, haz lo siguiente:

En el portal de Microsoft Entra ID, haz lo siguiente:
- Para registrar una aplicación nueva, sigue las instrucciones en Registra una aplicación nueva.
- Para actualizar una aplicación existente, haz lo siguiente:
  - Ve a Identidad > Aplicaciones > Aplicaciones empresariales.
  - Selecciona la aplicación que quieres actualizar.
Crea un nuevo secreto del cliente en la aplicación siguiendo las instrucciones en Certificados y secretos. Asegúrate de registrar el valor del secreto del cliente, ya que solo se muestra una vez.
Toma nota de los siguientes valores de la aplicación que creaste o actualizaste. Proporcionarás los valores cuando configures el proveedor de grupos de identidades de personal más adelante en este documento.
- Client ID
- Issuer URI
- Client Secret
- Tenant ID
Para recuperar los grupos de Microsoft Entra ID, agrega el permiso de la API para permitir que la federación de identidades de personal acceda a la información de los usuarios desde Microsoft Entra ID con la API de Microsoft Graph y otorga el consentimiento del administrador. En Microsoft Entra ID, haz lo siguiente:
1. Ve a Permisos de la API.
2. Haz clic en Agregar un permiso.
3. Selecciona Microsoft API.
4. Selecciona Permisos de aplicación.
5. En el campo de búsqueda, escribe User.ReadBasic.All.
6. Haz clic en Agregar permisos.
Puedes recuperar los grupos de Microsoft Entra ID como identificadores de objetos de grupo (ID) o como direcciones de correo electrónico de grupo para los grupos habilitados para correo electrónico.

Si eliges recuperar los grupos como direcciones de correo electrónico de grupo, el siguiente paso es obligatorio.
Para recuperar los grupos de Microsoft Entra ID como direcciones de correo electrónico de grupo, haz lo siguiente. Si recuperas grupos como identificadores de objetos de grupo, omite este paso.
1. En el campo de búsqueda, ingresa GroupMember.Read.All.
2. Haz clic en Agregar permisos.
3. Haz clic en Grant admin consent para tu nombre de dominio.
4. En el cuadro de diálogo que aparece, haz clic en Sí.
5. Ve a la página Descripción general de la aplicación de Microsoft Entra ID que creaste o actualizaste antes.
6. Haz clic en Extremos.
El URI de la entidad emisora es el URI del documento de metadatos de OIDC, sin incluir la ruta de acceso /.well-known/openid-configuration.

Por ejemplo, si el documento de metadatos de OIDC es https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.well-known/openid-configuration, el URI del emisor es https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.

Crea un grupo de Workforce Identity

gcloud

Para crear el grupo de identidades de personal, ejecuta el siguiente comando:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Reemplaza lo siguiente:

WORKFORCE_POOL_ID: Es un ID que elijas para representar tu Google Cloud grupo de personal. Para obtener información sobre el formato del ID, consulta la sección Parámetros de consulta en la documentación de la API.
ORGANIZATION_ID: Es el ID numérico de tu organización Google Cloud para el grupo de identidades de personal. Los grupos de identidad del personal están disponibles en todos los proyectos y carpetas de la organización.
DISPLAY_NAME: Opcional Un nombre visible para tu grupo de identidad del personal.
DESCRIPTION: Opcional Una descripción del grupo de identidad del personal.
SESSION_DURATION: Opcional La duración de la sesión determina el tiempo de acceso a los tokens de acceso de Google Cloud , las sesiones de acceso de la consola (federada) y las sesiones de acceso de gcloud CLI de este grupo de personal son válidas. La duración predeterminada de la sesión es de una hora (3,600 s). El valor de duración de la sesión debe estar entre 15 minutos (900 s) y 12 horas (43,200 s).

Console

Para crear el grupo de identidades de personal, haz lo siguiente:

En la consola de Google Cloud , ve a la página Grupos de identidades de personal:

Ir a Grupos de identidades de personal
Selecciona la organización para tu grupo de identidades del personal. Los grupos de identidades para la fuerza laboral están disponibles en todos los proyectos y carpetas de una organización.
Haz clic en Crear grupo y haz lo siguiente:
1. En el campo Nombre, ingresa el nombre visible del grupo. El ID del grupo se deriva automáticamente del nombre a medida que escribes y se muestra en el campo Nombre. Para actualizar el ID del grupo, haz clic en Editar junto a él.
2. Opcional: En Descripción, ingresa una descripción del grupo.
3. Para crear el grupo de identidades de personal, haz clic en Siguiente.

Configura el proveedor de grupos de identidades para cargas de trabajo de SAML 2.0

Para crear el proveedor de grupos de identidades de personal de SAML, ejecuta el siguiente comando:

gcloud iam workforce-pools providers create-saml PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global \
    --display-name=DISPLAY_NAME \
    --idp-metadata-path=XML_METADATA_PATH \
    --attribute-mapping=ATTRIBUTE_MAPPING \
    --extra-attributes-issuer-uri=EXTRA_ATTRIBUTES_ISSUER_URI \
    --extra-attributes-client-id=EXTRA_ATTRIBUTES_CLIENT_ID \
    --extra-attributes-client-secret-value=EXTRA_ATTRIBUTES_CLIENT_SECRET \
    --extra-attributes-type=EXTRA_ATTRIBUTES_TYPE  \
    –-extra-attributes-filter=EXTRA_ATTRIBUTES_FILTER \
    --detailed-audit-logging

Reemplaza lo siguiente:

PROVIDER_ID: un ID de proveedor único. El prefijo gcp- está reservado y no se puede usar en un ID de grupo ni de proveedor.
WORKFORCE_POOL_ID: Es el ID del grupo de personal.
DISPLAY_NAME: Es el nombre visible del proveedor.
XML_METADATA_PATH: Es la ruta de acceso al archivo de metadatos XML de SAML 2.0.
ATTRIBUTE_MAPPING: Es la asignación de atributos de Microsoft Entra ID a Google Cloud. Por ejemplo, para asignar groups y subject desde Microsoft Entra ID, usa la siguiente asignación de atributos:
```
--attribute-mapping=”google.groups=assertion.groups, google.subject=assertion.sub"
```
Para obtener más información, consulta Asignación de atributos.
EXTRA_ATTRIBUTES_ISSUER_URI: Es el URI de la entidad emisora de tu aplicación de Microsoft Entra ID.
EXTRA_ATTRIBUTES_CLIENT_ID: Es el ID de cliente de tu aplicación de Microsoft Entra ID.
EXTRA_ATTRIBUTES_CLIENT_SECRET: Es el secreto del cliente adicional de tu aplicación de Microsoft Entra ID.
EXTRA_ATTRIBUTES_TYPE: Usa azure-ad-groups-mail para recuperar las direcciones de correo electrónico de los grupos. Usa azure-ad-groups-id para recuperar los IDs de los grupos.
EXTRA_ATTRIBUTES_FILTER: Opcional Es una expresión de filtro que se usa cuando se consulta la API de Microsoft Graph para obtener grupos. Puedes usar este parámetro para asegurarte de que la cantidad de grupos recuperados del IdP permanezca por debajo del límite de 999 grupos.
En el siguiente ejemplo, se recuperan los grupos que tienen el prefijo sales en su ID de correo electrónico:
```
--extra-attributes-filter='"mail:sales"'
```
La siguiente expresión recupera grupos con un nombre visible que contiene la cadena sales.
```
--extra-attributes-filter='"displayName:sales”'
```
El registro de auditoría detallado de la federación de Workforce Identity registra la información que se recibe de tu IdP en Logging. El registro de auditoría detallado puede ayudarte a solucionar problemas relacionados con la configuración del proveedor de grupo de identidades de personal. Para obtener información sobre cómo solucionar problemas de errores de asignación de atributos con registros de auditoría detallados, consulta Errores generales de asignación de atributos. Para obtener información sobre los precios de Logging, consulta los precios de Google Cloud Observability.

Para inhabilitar el registro de auditoría detallado de un proveedor de grupos de identidades de personal, omite la marca --detailed-audit-logging cuando ejecutes gcloud iam workforce-pools providers create. Para inhabilitar el registro de auditoría detallado, también puedes actualizar el proveedor.

Otorga roles de IAM a los grupos

En esta sección, otorgarás roles a los grupos en los recursos de Google Cloud . Para obtener más información sobre los identificadores principales de la federación de identidades de personal, consulta Representa a los usuarios del grupo de personal en políticas de IAM.

En el siguiente ejemplo, se otorga el rol de administrador de almacenamiento (roles/storage.admin) a los usuarios de un grupo de Microsoft Entra ID.

gcloud projects add-iam-policy-binding PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

Reemplaza lo siguiente:

PROJECT_ID: El ID del proyecto
WORKFORCE_POOL_ID: El ID del grupo de Workforce Identity
GROUP_ID: Es el identificador del grupo, que depende del valor de --extra-attributes-type que se usó para crear el proveedor de grupos de identidades de personal, de la siguiente manera:
- azure-ad-groups-mail: El identificador del grupo es una dirección de correo electrónico, por ejemplo, admin-group@altostrat.com.
- azure-ad-groups-id: El identificador del grupo es un UUID, por ejemplo: abcdefgh-0123-0123-abcdef

En esta sección, accederás como un usuario de grupo de Workforce Identity y probarás que tienes acceso a los recursos de Google Cloud .

En esta sección, se muestra cómo acceder como un usuario federado y acceder a los recursos deGoogle Cloud .

Para acceder a la consola de Google Cloud Workforce Identity Federation, también conocida como consola (federada), haz lo siguiente:

Ve a la página de acceso de la consola (federada).

Ir a la consola (federada)

Ingresa el nombre del proveedor, que tiene el siguiente formato:

locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

Si se te solicita, ingresa las credenciales de usuario en Microsoft Entra ID.

Si inicias un acceso iniciado por IdP, usa la siguiente URL de retransmisión: https://console.cloud.google/.

Para acceder a la gcloud CLI con un flujo de acceso basado en el navegador, haz lo siguiente:

Crea un archivo de configuración

Para crear el archivo de configuración de acceso, ejecuta el siguiente comando. De manera opcional, puedes activar el archivo como predeterminado para gcloud CLI agregando la marca --activate. Luego, puedes ejecutar gcloud auth login sin especificar la ruta de acceso al archivo de configuración cada vez.

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/PROVIDER_ID \
    --output-file=LOGIN_CONFIG_FILE_PATH

Reemplaza lo siguiente:

WORKFORCE_POOL_ID: el ID del grupo de personal
PROVIDER_ID: el ID del proveedor
LOGIN_CONFIG_FILE_PATH: la ruta de acceso a un archivo de configuración que especifiques, por ejemplo, login.json

El archivo contiene los extremos que usa la gcloud CLI para habilitar el flujo de autenticación basado en el navegador y establecer el público en el IdP que se configuró en el proveedor del grupo de identidades de personal. El archivo no contiene información confidencial.

El resultado es similar al siguiente:

{
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.google/authorize",
  "token_url": "https://sts.googleapis.com/v1/oauthtoken",
  "token_info_url": "https://googleapis.com/v1/introspect",
}

Para evitar que gcloud auth login use este archivo de configuración automáticamente, puedes anularlo con gcloud config unset auth/login_config_file.

Accede con autenticación basada en el navegador

Para autenticar con la autenticación de acceso basada en el navegador, puedes usar uno de los siguientes métodos:

Si usaste la marca --activate cuando creaste el archivo de configuración o si activaste el archivo de configuración con gcloud config set auth/login_config_file, gcloud CLI usa el archivo de configuración de forma automática:
```
gcloud auth login
```
Para acceder mediante la especificación de la ubicación del archivo de configuración, ejecuta el siguiente comando:
```
gcloud auth login --login-config=LOGIN_CONFIG_FILE_PATH
```
Para usar una variable de entorno a fin de especificar la ubicación del archivo de configuración, establece CLOUDSDK_AUTH_LOGIN_CONFIG_FILE en la ruta de configuración.

Inhabilita el acceso basado en el navegador

Para dejar de usar el archivo de configuración de acceso, haz lo siguiente:

Si usaste la marca --activate cuando creaste el archivo de configuración o si activaste el archivo de configuración con gcloud config set auth/login_config_file, debes ejecutar el siguiente comando para anularlo:
```
gcloud config unset auth/login_config_file
```
Borra la variable de entorno CLOUDSDK_AUTH_LOGIN_CONFIG_FILE, si está configurada.

Para acceder a Microsoft Entra ID con la gcloud CLI, haz lo siguiente:

OIDC

Sigue los pasos de la página Envía la solicitud de acceso. Permite que el usuario acceda a tu aplicación con Microsoft Entra ID a través de OIDC.
Copia el token de ID del parámetro id_token de la URL de redireccionamiento y guárdalo en un archivo en una ubicación segura de tu máquina local. En el paso posterior, debes configurar PATH_TO_OIDC_ID_TOKEN en la ruta de acceso a este archivo.

Genera un archivo de configuración similar al del ejemplo que se muestra más adelante en este paso ejecutando el siguiente comando:

gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --subject-token-type=urn:ietf:params:oauth:token-type:id_token \
    --credential-source-file=PATH_TO_OIDC_ID_TOKEN \
    --workforce-pool-user-project=WORKFORCE_POOL_USER_PROJECT \
    --output-file=config.json

Reemplaza lo siguiente:

WORKFORCE_POOL_ID: El ID del grupo de la identidad de personal.
WORKFORCE_PROVIDER_ID: El ID del proveedor de grupos de identidades para la fuerza laboral.
PATH_TO_OIDC_ID_TOKEN: la ruta a la ubicación del archivo en la que se almacena el token de IdP.
WORKFORCE_POOL_USER_PROJECT: El número o ID del proyecto que se usa para la cuota y la facturación. La principal debe tener el permiso serviceusage.services.use en este proyecto.

Cuando se completa el comando, Microsoft Entra ID crea el siguiente archivo de configuración:

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "subject_token_type": "urn:ietf:params:oauth:token-type:id_token",
  "token_url": "https://sts.googleapis.com/v1/token",
  "workforce_pool_user_project": "WORKFORCE_POOL_USER_PROJECT",
  "credential_source": {
    "file": "PATH_TO_OIDC_CREDENTIALS"
  }
}

Abre la gcloud CLI y ejecuta el siguiente comando:
```
gcloud auth login --cred-file=PATH_TO_OIDC_CREDENTIALS
```
Reemplaza PATH_TO_OIDC_CREDENTIALS por la ruta de acceso al archivo de salida de un paso anterior.

La gcloud CLI publica las credenciales con transparencia en el extremo del servicio de tokens de seguridad. En el extremo, se intercambia por tokens de acceso Google Cloud temporales.

Ahora puedes ejecutar comandos de gcloud CLI enGoogle Cloud.

SAML

Haz que un usuario acceda a tu aplicación de Microsoft Entra ID y obtén la respuesta de SAML.
Guarda la respuesta SAML que muestra Microsoft Entra ID en una ubicación segura de tu máquina local y, luego, almacena la ruta de acceso de la siguiente manera:
```
SAML_ASSERTION_PATH=SAML_ASSERTION_PATH
```

Para generar un archivo de configuración de credenciales, ejecuta el siguiente comando:

gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --subject-token-type=urn:ietf:params:oauth:token-type:saml2 \
    --credential-source-file=SAML_ASSERTION_PATH  \
    --workforce-pool-user-project=PROJECT_ID  \
    --output-file=config.json

Reemplaza lo siguiente:

WORKFORCE_PROVIDER_ID: el ID del proveedor del grupo de identidades de personal que creaste antes en esta guía
WORKFORCE_POOL_ID: el ID del grupo de identidades de personal que creaste antes en esta guía.
SAML_ASSERTION_PATH: la ruta de acceso del archivo de aserción de SAML
PROJECT_ID: El ID del proyecto

El archivo de configuración que se genera es similar al siguiente:

{
   "type": "external_account",
   "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
   "subject_token_type": "urn:ietf:params:oauth:token-type:saml2",
   "token_url": "https://sts.googleapis.com/v1/token",
   "credential_source": {
     "file": "SAML_ASSERTION_PATH"
   },
   "workforce_pool_user_project": "PROJECT_ID"
}

Para acceder a gcloud CLI con el intercambio de tokens de la federación de identidades de personal, ejecuta el siguiente comando:
```
gcloud auth login --cred-file=config.json
```
Luego, gcloud CLI intercambia de manera transparente tus credenciales de Microsoft Entra ID por tokens de acceso temporales de Google Cloud . Los tokens de acceso te permiten acceder a Google Cloud.

Verás un resultado similar al siguiente:
```
Authenticated with external account user credentials for:
[principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/USER_ID].
```
Para enumerar las cuentas con credenciales y tu cuenta activa, ejecuta el siguiente comando:
```
gcloud auth list
```

Pruebe el acceso

Ahora tienes acceso a los productos de Google Cloud que admiten la federación de identidades de personal y a los que se te otorga acceso. En una sección anterior de este documento, otorgaste el rol de administrador de almacenamiento (roles/storage.admin) a todas las identidades dentro del identificador de grupo que especificaste en gcloud projects add-iam-policy-binding para el proyecto TEST_PROJECT_ID.

Para probar que tienes acceso, enumera los buckets de Cloud Storage.

Consola (federada)

Para probar que tienes acceso con la consola (federada), haz lo siguiente:

Ve a la página de Cloud Storage

Ir a Cloud Storage
Verifica que puedas ver una lista de los buckets existentes para TEST_PROJECT_ID.

gcloud CLI

Para probar que tienes acceso con gcloud CLI, puedes enumerar los buckets y objetos de Cloud Storage del proyecto al que tienes acceso. Para hacer esto, ejecuta el siguiente comando. La principal debe tener el permiso serviceusage.services.use en el proyecto especificado.

gcloud storage ls --project="TEST_PROJECT_ID"

Borrar usuarios

La federación de identidades de personal crea metadatos y recursos de usuario para identidades de usuario federadas. Si eliges borrar usuarios en tu IdP, también debes borrar de forma explícita estos recursos en Google Cloud. Para hacerlo, consulta Borra los usuarios de la federación de identidades de personal y sus datos.

Es posible que veas que los recursos siguen asociados con un usuario que se borró. Esto se debe a que para borrar metadatos y recursos del usuario se requiere una operación de larga duración. Después de iniciar la eliminación de la identidad de un usuario, los procesos que este inició antes de la eliminación pueden seguir ejecutándose hasta que se completen o se cancelen los procesos.

¿Qué sigue?

Borra los usuarios de la federación de identidades de personal y sus datos
Obtén información sobre qué Google Cloud productos admiten la federación de identidades de personal.
Configura el acceso de usuario a la consola (federada)

Configura la federación de identidades de personal con Microsoft Entra ID y una gran cantidad de grupos Organiza tus páginas con colecciones Guarda y categoriza el contenido según tus preferencias.

Antes de comenzar

Costos

Roles obligatorios

Crea una aplicación de Microsoft Entra ID

OIDC

SAML

Configura una gran cantidad de grupos con Microsoft Entra ID

Configura una gran cantidad de grupos con Microsoft Entra ID con el flujo implícito de OIDC

Configura tu aplicación de Microsoft Entra ID

Crea un grupo de Workforce Identity

gcloud

Console

Configura el proveedor de grupos de identidades de personal con flujo implícito de OIDC

Configura una gran cantidad de grupos en Microsoft Entra ID con el flujo de código de OIDC

Configura tu aplicación de Microsoft Entra ID

Crea un grupo de Workforce Identity

gcloud

Console

Configura el proveedor de grupos de identidades de personal del flujo de código de OIDC

Configura una gran cantidad de grupos en Microsoft Entra ID con SAML 2.0

Configura tu aplicación de Microsoft Entra ID

Crea un grupo de Workforce Identity

gcloud

Console

Configura el proveedor de grupos de identidades para cargas de trabajo de SAML 2.0

Otorga roles de IAM a los grupos

Accede y prueba el acceso

Acceder

Acceso a la consola (federada)

Acceso con el navegador de la gcloud CLI

Acceso sin interfaz gráfica de la gcloud CLI

OIDC

SAML

Pruebe el acceso

Consola (federada)

gcloud CLI

Borrar usuarios

¿Qué sigue?

Configura la federación de identidades de personal con Microsoft Entra ID y una gran cantidad de grupos