Questa pagina è stata tradotta dall'API Cloud Translation.

Configurare la federazione delle identità della forza lavoro con Microsoft Entra ID e un numero elevato di gruppi

Questo documento mostra come configurare la federazione delle identità della forza lavoro con il provider di identità (IdP) Microsoft Entra ID e mappare fino a 400 gruppi da Microsoft Entra ID a Google Cloud utilizzando Microsoft Graph. Il documento mostra poi come concedere ruoli IAM a questi gruppi e come accedere aGoogle Cloudcon gli utenti Microsoft Entra ID che sono membri dei gruppi. Gli utenti possono quindi accedere ai prodotti a cui è stato concesso l'accesso IAM e che supportano la federazione delle identità della forza lavoro. Google Cloud

Per mappare meno di 150 gruppi da Microsoft Entra ID a Google Cloud, consulta Configurare la federazione delle identità per i carichi di lavoro con Microsoft Entra ID e accedere agli utenti.

Puoi utilizzare il metodo descritto in questo documento con i seguenti protocolli:

OIDC con flusso implicito
OIDC con flusso di codice
Protocollo SAML 2.0

Il numero di indirizzi email di gruppo che un'applicazione Microsoft Entra ID può emettere in un token è limitato a 150 per SAML e 200 per JWT. Per saperne di più su questo limite, consulta Configurare le attestazioni di gruppo per le applicazioni utilizzando Microsoft Entra ID. Per recuperare più gruppi, Workforce Identity Federation utilizza il flusso delle credenziali client OAuth 2.0 di Microsoft Identity per ottenere le credenziali che consentono a Workforce Identity Federation di eseguire query sull'API Microsoft Graph e recuperare i gruppi di un utente.

Per utilizzare questo metodo, a livello generale, devi:

Crea una nuova applicazione Microsoft Entra ID o aggiorna quella esistente per ottenere le appartenenze ai gruppi degli utenti dall'API Microsoft Graph. Per scoprire di più su come Microsoft Graph recupera un numero elevato di gruppi da Microsoft Entra ID, vedi Superamento del limite di gruppi.
Quando crei il provider del pool di identità della forza lavoro, utilizzi i flag extra-attributes per configurare la federazione delle identità della forza lavoro in modo da recuperare gli indirizzi email di gruppo degli utenti dall'API Microsoft Graph.

La federazione delle identità della forza lavoro può recuperare un massimo di 999 gruppi dall'API Microsoft Graph. Se l'API Microsoft Graph restituisce più di 999 gruppi, l'accesso non va a buon fine.

Per ridurre il numero di gruppi restituiti dall'API Microsoft Graph, puoi perfezionare la query di Workforce Identity Federation utilizzando il flag --extra-attributes-filter quando crei il provider del pool di identità della forza lavoro.

Dopo che la federazione delle identità della forza lavoro recupera i gruppi dall'API Microsoft Graph, genera il token di accesso. La federazione delle identità della forza lavoro può aggiungere un massimo di 400 gruppi al token di accesso, quindi, per filtrare ulteriormente il numero di gruppi fino a 400 o meno, puoi specificare una mappatura degli attributi che contiene espressioni CEL (Common Expression Language), quando crei il provider di identità del pool di identità della forza lavoro.

Prima di iniziare

Assicurati di aver configurato un'organizzazione Google Cloud .
After installing the Google Cloud CLI, initialize it by running the following command:
```
gcloud init
```
If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.
In Microsoft Entra ID, assicurati che i token ID siano abilitati per il flusso implicito. Per maggiori informazioni, vedi Abilitare la concessione implicita del token ID.
Per l'accesso, l'IdP deve fornire informazioni di autenticazione firmate: gli IdP OIDC devono fornire un JWT e le risposte degli IdP SAML devono essere firmate.
Per ricevere informazioni importanti sulle modifiche apportate alla tua organizzazione o ai tuoi Google Cloud prodotti, devi fornire i contatti essenziali. Per ulteriori informazioni, consulta la panoramica della federazione delle identità della forza lavoro.
Tutti i gruppi che intendi mappare devono essere contrassegnati come gruppi di sicurezza in Microsoft Entra ID.
Importante: è possibile recuperare un massimo di 999 gruppi.

Costi

La federazione delle identità per la forza lavoro è disponibile come funzionalità senza costi. Tuttavia, l'audit logging dettagliato di Federazione delle identità della forza lavoro utilizza Cloud Logging. Per informazioni sui prezzi di Logging, consulta Prezzi di Google Cloud Observability.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per configurare la federazione delle identità della forza lavoro, chiedi all'amministratore di concederti il ruolo IAM Amministratore pool di identità della forza lavoro IAM (roles/iam.workforcePoolAdmin) nell'organizzazione. Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Se stai configurando le autorizzazioni in un ambiente di sviluppo o di test, ma non in un ambiente di produzione, puoi concedere il ruolo di base Proprietario IAM (roles/owner), che include anche le autorizzazioni per la federazione delle identità della forza lavoro.

Crea un'applicazione Microsoft Entra ID

Questa sezione mostra come creare un'applicazione Microsoft Entra ID utilizzando il portale di amministrazione Microsoft Entra. In alternativa, puoi aggiornare la tua richiesta esistente. Per ulteriori dettagli, vedi Stabilire applicazioni nell'ecosistema Microsoft Entra ID.

I pool di identità della forza lavoro supportano la federazione utilizzando i protocolli OIDC e SAML.

OIDC

Per creare una registrazione dell'applicazione Microsoft Entra ID che utilizza il protocollo OIDC, svolgi i seguenti passaggi:

Accedi al portale di amministrazione di Microsoft Entra.
Vai a Identità > Applicazioni > Registrazioni app.
Per iniziare a configurare la registrazione dell'applicazione:
1. Fai clic su Nuova registrazione.
2. Inserisci un nome per l'applicazione.
3. In Tipi di account supportati, seleziona un'opzione.
4. Nella sezione URI di reindirizzamento, nell'elenco a discesa Seleziona una piattaforma, seleziona Web.
5. Nel campo di testo, inserisci un URL di reindirizzamento. I tuoi utenti vengono reindirizzati a questo URL dopo aver eseguito l'accesso. Se stai configurando l'accesso alla console (federata), utilizza il seguente formato URL:
```
https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
```
  Sostituisci quanto segue:
  - WORKFORCE_POOL_ID: un ID pool di identità forza lavoro che utilizzerai quando creerai il pool di identità forza lavoro più avanti in questo documento, ad esempio: entra-id-oidc-pool
  - WORKFORCE_PROVIDER_ID: un ID provider del pool di identità della forza lavoro che utilizzerai quando crei il provider del pool di identità della forza lavoro più avanti in questo documento, ad esempio entra-id-oidc-pool-provider
    
    Per informazioni sulla formattazione dell'ID, consulta la sezione Parametri di query nella documentazione dell'API.
6. Per creare la registrazione dell'applicazione, fai clic su Registra.
7. Per utilizzare la mappatura degli attributi di esempio fornita più avanti in questo documento, devi creare un attributo department personalizzato.

SAML

Per creare una registrazione dell'applicazione Microsoft Entra ID che utilizza il protocollo SAML:

Accedi al portale di amministrazione di Microsoft Entra.
Vai a Identità > Applicazioni > Registrazioni app.
Per iniziare a configurare l'applicazione aziendale:
1. Fai clic su Nuova applicazione > Crea la tua applicazione.
2. Inserisci un nome per l'applicazione.
3. Fai clic su Crea.
4. Vai a Single Sign-On > SAML.
5. Aggiorna la Basic SAML Configuration (Configurazione SAML di base) nel seguente modo:
  1. Nel campo Identifier (Entity ID) (Identificatore (ID entità)), inserisci il seguente valore:
```
https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
```
    Sostituisci quanto segue:
    - WORKFORCE_POOL_ID: un ID pool di identità della forza lavoro che utilizzerai quando creerai il pool di identità della forza lavoro più avanti in questo documento, ad esempio: entra-id-saml-pool
    - WORKFORCE_PROVIDER_ID: un ID provider del pool di identità della forza lavoro che utilizzerai quando crei il provider del pool di identità della forza lavoro più avanti in questo documento, ad esempio: entra-id-saml-pool-provider
      
      Per informazioni sulla formattazione dell'ID, consulta la sezione Parametri di query nella documentazione dell'API.
  2. Nel campo URL di risposta (URL Assertion Consumer Service), inserisci un URL di reindirizzamento. I tuoi utenti vengono reindirizzati a questo URL dopo aver eseguito l'accesso. Se stai configurando l'accesso alla console (federata), utilizza il seguente formato URL:
```
https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
```
    Sostituisci quanto segue:
    - WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro
    - WORKFORCE_PROVIDER_ID: l'ID del provider di identità della forza lavoro
  3. Per attivare l'accesso avviato da IdP, imposta il campo Relay State sul seguente valore:
```
https://console.cloud.google/
```
  4. Per salvare la configurazione dell'applicazione SAML, fai clic su Salva.
6. Per utilizzare la mappatura degli attributi di esempio fornita più avanti in questo documento, devi creare un attributo department personalizzato.

Configurare un numero elevato di gruppi con Microsoft Entra ID

Questa sezione descrive come mappare fino a 400 gruppi da Microsoft Entra ID alla federazione delle identità della forza lavoro utilizzando i protocolli OIDC e SAML.

Configurare un numero elevato di gruppi con Microsoft Entra ID con il flusso implicito OIDC

Questa sezione descrive come mappare fino a 400 gruppi da Microsoft Entra ID alla federazione delle identità della forza lavoro utilizzando il protocollo OpenID Connect (OIDC) con flusso implicito.

Configurare l'applicazione Microsoft Entra ID

Puoi configurare un'applicazione Microsoft Entra ID esistente o crearne una nuova. Per configurare l'applicazione:

Nel portale Microsoft Entra ID:
- Per registrare una nuova applicazione, segui le istruzioni riportate in Registrare una nuova applicazione.
- Per aggiornare un'applicazione esistente, procedi nel seguente modo:
  - Vai a Identità > Applicazioni > Applicazioni aziendali.
  - Seleziona l'applicazione che vuoi aggiornare.
Crea un nuovo client secret nell'applicazione seguendo le istruzioni in Certificati e secret. Assicurati di registrare il valore del client secret perché viene visualizzato una sola volta.
Prendi nota dei seguenti valori dell'applicazione che hai creato o aggiornato. Fornisci i valori quando configuri il provider di pool di identità per la forza lavoro più avanti in questo documento.
- Client ID
- Issuer URI
- Client Secret
- Tenant ID
Per recuperare i gruppi Microsoft Entra ID, aggiungi l'autorizzazione API per consentire alla federazione delle identità per la forza lavoro di accedere alle informazioni degli utenti da Microsoft Entra ID utilizzando l'API Microsoft Graph e concedi il consenso amministratore. In Microsoft Entra ID:
1. Vai ad Autorizzazioni API.
2. Fai clic su Aggiungi un'autorizzazione.
3. Seleziona API Microsoft.
4. Seleziona Autorizzazioni applicazione.
5. Nel campo di ricerca, digita User.ReadBasic.All.
6. Fai clic su Aggiungi autorizzazioni.
Puoi recuperare i gruppi Microsoft Entra ID come identificatori di oggetti gruppo (ID) o come indirizzo email del gruppo per i gruppi abilitati alla posta.

Se scegli di recuperare i gruppi come indirizzi email di gruppo, è necessario il passaggio successivo.
Per recuperare i gruppi Microsoft Entra ID come indirizzi email di gruppo: Se recuperi i gruppi come identificatori di oggetti gruppo, salta questo passaggio.
1. Nel campo di ricerca, inserisci GroupMember.Read.All.
2. Fai clic su Aggiungi autorizzazioni.
3. Fai clic su Concedi il consenso amministratore per il tuo nome di dominio.
4. Nella finestra di dialogo visualizzata, fai clic su Sì.
5. Vai alla pagina Panoramica dell'applicazione Microsoft Entra ID che hai creato o aggiornato in precedenza.
6. Fai clic su Endpoint.
L'URI dell'emittente è l'URI del documento dei metadati OIDC, senza il percorso /.well-known/openid-configuration.

Ad esempio, se il documento dei metadati OIDC è https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.well-known/openid-configuration, l'URI dell'emittente è https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.

Crea un pool di identità della forza lavoro

gcloud

Per creare il pool di identità della forza lavoro, esegui questo comando:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Sostituisci quanto segue:

WORKFORCE_POOL_ID: un ID che scegli per rappresentare il tuo pool di forza lavoro Google Cloud . Per informazioni sulla formattazione dell'ID, consulta la sezione Parametri di query nella documentazione dell'API.
ORGANIZATION_ID: l'ID numerico dell'organizzazione della tua Google Cloud organizzazione per il pool di identità forza lavoro. I pool di identità della forza lavoro sono disponibili in tutti i progetti e le cartelle dell'organizzazione.
DISPLAY_NAME: (Facoltativo). Un nome visualizzato per il tuo pool di identità della forza lavoro.
DESCRIPTION: (Facoltativo). Una descrizione del pool di identità della forza lavoro.
SESSION_DURATION: (Facoltativo). La durata della sessione determina per quanto tempo sono validi i token di accesso Google Cloud , le sessioni di accesso alla console (federata) e le sessioni di accesso a gcloud CLI da questo pool di forza lavoro. Per impostazione predefinita, la durata della sessione è di un'ora (3600 secondi). Il valore della durata della sessione deve essere compreso tra 15 minuti (900 secondi) e 12 ore (43.200 secondi).

Console

Per creare il pool di identità della forza lavoro:

Nella console Google Cloud , vai alla pagina Pool di identità della forza lavoro:

Vai a Pool di identità della forza lavoro
Seleziona l'organizzazione per il tuo pool di identità della forza lavoro. I pool di identità del personale sono disponibili in tutti i progetti e le cartelle di un'organizzazione.
Fai clic su Crea pool e segui questi passaggi:
1. Nel campo Nome, inserisci il nome visualizzato del pool. L'ID pool viene derivato automaticamente dal nome durante la digitazione e viene visualizzato sotto il campo Nome. Puoi aggiornare l'ID pool facendo clic su Modifica accanto all'ID pool.
2. (Facoltativo) In Descrizione, inserisci una descrizione del pool.
3. Per creare il pool di identità della forza lavoro, fai clic su Avanti.

La durata della sessione del pool di identità della forza lavoro è impostata su un'ora (3600 secondi) per impostazione predefinita. La durata della sessione determina per quanto tempo sono validi i Google Cloud token di accesso, console (federata) e le sessioni di accesso gcloud CLI da questo pool di forza lavoro. Dopo aver creato il pool, puoi aggiornarlo per impostare una durata della sessione personalizzata. La durata della sessione deve essere compresa tra 15 minuti (900 secondi) e 12 ore (43.200 secondi).

Configura il provider di pool di identità per la forza lavoro con flusso implicito OIDC

Per creare il fornitore del pool di identità della forza lavoro OIDC, esegui questo comando:

gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global \
    --display-name=DISPLAY_NAME \
    --issuer-uri=ISSUER_URI \
    --client-id=CLIENT_ID \
    --attribute-mapping=ATTRIBUTE_MAPPING \
    --web-sso-response-type=id-token \
    --web-sso-assertion-claims-behavior=only-id-token-claims \
    --extra-attributes-issuer-uri=EXTRA_ATTRIBUTES_ISSUER_URI \
    --extra-attributes-client-id=EXTRA_ATTRIBUTES_CLIENT_ID \
    --extra-attributes-client-secret-value=EXTRA_ATTRIBUTES_CLIENT_SECRET \
    --extra-attributes-type=EXTRA_ATTRIBUTES_TYPE  \
    –-extra-attributes-filter=EXTRA_ATTRIBUTES_FILTER \
    --detailed-audit-logging

Sostituisci quanto segue:

PROVIDER_ID: un ID fornitore univoco. Il prefisso gcp- è riservato e non può essere utilizzato in un pool o in un ID provider.
WORKFORCE_POOL_ID: l'ID del pool di forza lavoro.
DISPLAY_NAME: Un nome visualizzato per il fornitore.
ISSUER_URI: l'URI dell'emittente dell'applicazione Microsoft Entra ID che hai creato in precedenza in questo documento.
CLIENT_ID: l'ID client della tua applicazione Microsoft Entra ID.
ATTRIBUTE_MAPPING: il mapping degli attributi da Microsoft Entra ID a Google Cloud. Ad esempio, per mappare groups e subject da Microsoft Entra ID, utilizza la seguente mappatura degli attributi:
```
--attribute-mapping=”google.groups=assertion.groups, google.subject=assertion.sub"
```
Per ulteriori informazioni, vedi Mappatura degli attributi.
EXTRA_ATTRIBUTES_ISSUER_URI: l'URI dell'emittente della tua applicazione Microsoft Entra ID.
EXTRA_ATTRIBUTES_CLIENT_ID: l'ID client della tua applicazione Microsoft Entra ID.
EXTRA_ATTRIBUTES_CLIENT_SECRET: il segreto client aggiuntivo dell'applicazione Microsoft Entra ID.
EXTRA_ATTRIBUTES_TYPE: utilizza azure-ad-groups-mail per recuperare gli indirizzi email dei gruppi. Utilizza azure-ad-groups-id per recuperare gli ID dei gruppi.
EXTRA_ATTRIBUTES_FILTER: (Facoltativo). Un'espressione di filtro utilizzata per eseguire query sull'API Microsoft Graph per i gruppi. Puoi utilizzare questo parametro per assicurarti che il numero di gruppi recuperati dal provider di identità rimanga al di sotto del limite di 999 gruppi.
L'esempio seguente recupera i gruppi che hanno il prefisso sales nel loro ID email:
```
--extra-attributes-filter='"mail:sales"'
```
La seguente espressione recupera i gruppi con un nome visualizzato che contiene la stringa sales.
```
--extra-attributes-filter='"displayName:sales”'
```
La federazione delle identità per la forza lavoro audit logging dettagliato registra le informazioni ricevute dal tuo IdP in Logging. L'audit logging dettagliato può aiutarti a risolvere i problemi di configurazione del provider del pool di identità della forza lavoro. Per scoprire come risolvere i problemi relativi agli errori di mappatura degli attributi con la registrazione dettagliata degli audit log, consulta Errori generali di mappatura degli attributi. Per informazioni sui prezzi di Logging, consulta la pagina Prezzi di Google Cloud Observability.

Per disattivare la registrazione di controllo dettagliata per un provider di pool di identità per la forza lavoro, ometti il flag --detailed-audit-logging quando esegui gcloud iam workforce-pools providers create. Per disattivare il logging di controllo dettagliato, puoi anche aggiornare il fornitore.

Configurare un numero elevato di gruppi in Microsoft Entra ID con il flusso di codice OIDC

Questa sezione descrive come mappare fino a 400 gruppi da Microsoft Entra ID alla federazione delle identità per la forza lavoro utilizzando il protocollo OIDC con flusso di codice.

Configurare l'applicazione Microsoft Entra ID

Puoi configurare un'applicazione Microsoft Entra ID esistente o crearne una nuova. Per configurare l'applicazione:

Nel portale Microsoft Entra ID:
- Per registrare una nuova applicazione, segui le istruzioni riportate in Registrare una nuova applicazione.
- Per aggiornare un'applicazione esistente, procedi nel seguente modo:
  - Vai a Identità > Applicazioni > Applicazioni aziendali.
  - Seleziona l'applicazione che vuoi aggiornare.
Crea un nuovo client secret nell'applicazione seguendo le istruzioni in Certificati e secret. Assicurati di registrare il valore del client secret perché viene visualizzato una sola volta.
Prendi nota dei seguenti valori dell'applicazione che hai creato o aggiornato. Fornisci i valori quando configuri il provider di pool di identità per la forza lavoro più avanti in questo documento.
- Client ID
- Issuer URI
- Client Secret
- Tenant ID
Per recuperare i gruppi Microsoft Entra ID, aggiungi l'autorizzazione API per consentire alla federazione delle identità per la forza lavoro di accedere alle informazioni degli utenti da Microsoft Entra ID utilizzando l'API Microsoft Graph e concedi il consenso amministratore. In Microsoft Entra ID:
1. Vai ad Autorizzazioni API.
2. Fai clic su Aggiungi un'autorizzazione.
3. Seleziona API Microsoft.
4. Seleziona Autorizzazioni delegate.
5. Nel campo di ricerca, digita User.Read.
6. Fai clic su Aggiungi autorizzazioni.
Puoi recuperare i gruppi Microsoft Entra ID come identificatori di oggetti gruppo (ID) o come indirizzo email del gruppo per i gruppi abilitati alla posta.

Se scegli di recuperare i gruppi come indirizzi email di gruppo, è necessario il passaggio successivo.
Per recuperare i gruppi Microsoft Entra ID come indirizzi email di gruppo: Se recuperi i gruppi come identificatori di oggetti gruppo, salta questo passaggio.
1. Nel campo di ricerca, inserisci GroupMember.Read.All.
2. Fai clic su Aggiungi autorizzazioni.
3. Fai clic su Concedi il consenso amministratore per il tuo nome di dominio.
4. Nella finestra di dialogo visualizzata, fai clic su Sì.
5. Vai alla pagina Panoramica dell'applicazione Microsoft Entra ID che hai creato o aggiornato in precedenza.
6. Fai clic su Endpoint.
L'URI dell'emittente è l'URI del documento dei metadati OIDC, senza il percorso /.well-known/openid-configuration.

Ad esempio, se il documento dei metadati OIDC è https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.well-known/openid-configuration, l'URI dell'emittente è https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.

Crea un pool di identità della forza lavoro

gcloud

Per creare il pool di identità della forza lavoro, esegui questo comando:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Sostituisci quanto segue:

WORKFORCE_POOL_ID: un ID che scegli per rappresentare il tuo pool di forza lavoro Google Cloud . Per informazioni sulla formattazione dell'ID, consulta la sezione Parametri di query nella documentazione dell'API.
ORGANIZATION_ID: l'ID numerico dell'organizzazione della tua Google Cloud organizzazione per il pool di identità forza lavoro. I pool di identità della forza lavoro sono disponibili in tutti i progetti e le cartelle dell'organizzazione.
DISPLAY_NAME: (Facoltativo). Un nome visualizzato per il tuo pool di identità della forza lavoro.
DESCRIPTION: (Facoltativo). Una descrizione del pool di identità della forza lavoro.
SESSION_DURATION: (Facoltativo). La durata della sessione determina per quanto tempo sono validi i token di accesso Google Cloud , le sessioni di accesso alla console (federata) e le sessioni di accesso a gcloud CLI da questo pool di forza lavoro. Per impostazione predefinita, la durata della sessione è di un'ora (3600 secondi). Il valore della durata della sessione deve essere compreso tra 15 minuti (900 secondi) e 12 ore (43.200 secondi).

Console

Per creare il pool di identità della forza lavoro:

Nella console Google Cloud , vai alla pagina Pool di identità della forza lavoro:

Vai a Pool di identità della forza lavoro
Seleziona l'organizzazione per il tuo pool di identità della forza lavoro. I pool di identità del personale sono disponibili in tutti i progetti e le cartelle di un'organizzazione.
Fai clic su Crea pool e segui questi passaggi:
1. Nel campo Nome, inserisci il nome visualizzato del pool. L'ID pool viene derivato automaticamente dal nome durante la digitazione e viene visualizzato sotto il campo Nome. Puoi aggiornare l'ID pool facendo clic su Modifica accanto all'ID pool.
2. (Facoltativo) In Descrizione, inserisci una descrizione del pool.
3. Per creare il pool di identità della forza lavoro, fai clic su Avanti.

Configura il provider di pool di identità per la forza lavoro del flusso di codice OIDC

Per creare il fornitore del pool di identità della forza lavoro OIDC, esegui questo comando:

gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global \
    --display-name=DISPLAY_NAME \
    --issuer-uri=ISSUER_URI \
    --client-id=CLIENT_ID \
    --attribute-mapping=ATTRIBUTE_MAPPING \
    --web-sso-response-type=code \
    --web-sso-assertion-claims-behavior=merge-user-info-over-id-token-claims \
    --extra-attributes-issuer-uri=EXTRA_ATTRIBUTES_ISSUER_URI \
    --extra-attributes-client-id=EXTRA_ATTRIBUTES_CLIENT_ID \
    --extra-attributes-client-secret-value=EXTRA_ATTRIBUTES_CLIENT_SECRET \
    --extra-attributes-type=EXTRA_ATTRIBUTES_TYPE  \
    –-extra-attributes-filter=EXTRA_ATTRIBUTES_FILTER \
    --detailed-audit-logging

Sostituisci quanto segue:

PROVIDER_ID: un ID fornitore univoco. Il prefisso gcp- è riservato e non può essere utilizzato in un pool o in un ID provider.
WORKFORCE_POOL_ID: l'ID del pool di forza lavoro.
DISPLAY_NAME: Un nome visualizzato per il fornitore.
ISSUER_URI: l'URI dell'emittente dell'applicazione Microsoft Entra ID che hai creato in precedenza in questo documento.
CLIENT_ID: l'ID client della tua applicazione Microsoft Entra ID.
ATTRIBUTE_MAPPING: il mapping degli attributi da Microsoft Entra ID a Google Cloud. Ad esempio, per mappare groups e subject da Microsoft Entra ID, utilizza la seguente mappatura degli attributi:
```
--attribute-mapping=”google.groups=assertion.groups, google.subject=assertion.sub"
```
Per ulteriori informazioni, vedi Mappatura degli attributi.
EXTRA_ATTRIBUTES_ISSUER_URI: l'URI dell'emittente della tua applicazione Microsoft Entra ID.
EXTRA_ATTRIBUTES_CLIENT_ID: l'ID client della tua applicazione Microsoft Entra ID.
EXTRA_ATTRIBUTES_CLIENT_SECRET: il segreto client aggiuntivo dell'applicazione Microsoft Entra ID.
EXTRA_ATTRIBUTES_TYPE: utilizza azure-ad-groups-mail per recuperare gli indirizzi email dei gruppi. Utilizza azure-ad-groups-id per recuperare gli ID dei gruppi.
EXTRA_ATTRIBUTES_FILTER: (Facoltativo). Un'espressione di filtro utilizzata per eseguire query sull'API Microsoft Graph per i gruppi. Puoi utilizzare questo parametro per assicurarti che il numero di gruppi recuperati dal provider di identità rimanga al di sotto del limite di 999 gruppi.
L'esempio seguente recupera i gruppi che hanno il prefisso sales nel loro ID email:
```
--extra-attributes-filter='"mail:sales"'
```
La seguente espressione recupera i gruppi con un nome visualizzato che contiene la stringa sales.
```
--extra-attributes-filter='"displayName:sales”'
```
La federazione delle identità per la forza lavoro audit logging dettagliato registra le informazioni ricevute dal tuo IdP in Logging. L'audit logging dettagliato può aiutarti a risolvere i problemi di configurazione del provider del pool di identità della forza lavoro. Per scoprire come risolvere i problemi relativi agli errori di mappatura degli attributi con la registrazione dettagliata degli audit log, consulta Errori generali di mappatura degli attributi. Per informazioni sui prezzi di Logging, consulta la pagina Prezzi di Google Cloud Observability.

Per disattivare la registrazione di controllo dettagliata per un provider di pool di identità per la forza lavoro, ometti il flag --detailed-audit-logging quando esegui gcloud iam workforce-pools providers create. Per disattivare il logging di controllo dettagliato, puoi anche aggiornare il fornitore.

Configurare un numero elevato di gruppi in Microsoft Entra ID con SAML 2.0

Questa sezione descrive come mappare fino a 400 gruppi da Microsoft Entra ID alla federazione delle identità della forza lavoro utilizzando il protocollo SAML 2.0.

Configurare l'applicazione Microsoft Entra ID

Per configurare l'applicazione:

Nel portale Microsoft Entra ID:
- Per registrare una nuova applicazione, segui le istruzioni riportate in Registrare una nuova applicazione.
- Per aggiornare un'applicazione esistente, procedi nel seguente modo:
  - Vai a Identità > Applicazioni > Applicazioni aziendali.
  - Seleziona l'applicazione che vuoi aggiornare.
Crea un nuovo client secret nell'applicazione seguendo le istruzioni in Certificati e secret. Assicurati di registrare il valore del client secret perché viene visualizzato una sola volta.
Prendi nota dei seguenti valori dell'applicazione che hai creato o aggiornato. Fornisci i valori quando configuri il provider di pool di identità per la forza lavoro più avanti in questo documento.
- Client ID
- Issuer URI
- Client Secret
- Tenant ID
Per recuperare i gruppi Microsoft Entra ID, aggiungi l'autorizzazione API per consentire alla federazione delle identità per la forza lavoro di accedere alle informazioni degli utenti da Microsoft Entra ID utilizzando l'API Microsoft Graph e concedi il consenso amministratore. In Microsoft Entra ID:
1. Vai ad Autorizzazioni API.
2. Fai clic su Aggiungi un'autorizzazione.
3. Seleziona API Microsoft.
4. Seleziona Autorizzazioni applicazione.
5. Nel campo di ricerca, digita User.ReadBasic.All.
6. Fai clic su Aggiungi autorizzazioni.
Puoi recuperare i gruppi Microsoft Entra ID come identificatori di oggetti gruppo (ID) o come indirizzo email del gruppo per i gruppi abilitati alla posta.

Se scegli di recuperare i gruppi come indirizzi email di gruppo, è necessario il passaggio successivo.
Per recuperare i gruppi Microsoft Entra ID come indirizzi email di gruppo: Se recuperi i gruppi come identificatori di oggetti gruppo, salta questo passaggio.
1. Nel campo di ricerca, inserisci GroupMember.Read.All.
2. Fai clic su Aggiungi autorizzazioni.
3. Fai clic su Concedi il consenso amministratore per il tuo nome di dominio.
4. Nella finestra di dialogo visualizzata, fai clic su Sì.
5. Vai alla pagina Panoramica dell'applicazione Microsoft Entra ID che hai creato o aggiornato in precedenza.
6. Fai clic su Endpoint.
L'URI dell'emittente è l'URI del documento dei metadati OIDC, senza il percorso /.well-known/openid-configuration.

Ad esempio, se il documento dei metadati OIDC è https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.well-known/openid-configuration, l'URI dell'emittente è https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.

Crea un pool di identità della forza lavoro

gcloud

Per creare il pool di identità della forza lavoro, esegui questo comando:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Sostituisci quanto segue:

WORKFORCE_POOL_ID: un ID che scegli per rappresentare il tuo pool di forza lavoro Google Cloud . Per informazioni sulla formattazione dell'ID, consulta la sezione Parametri di query nella documentazione dell'API.
ORGANIZATION_ID: l'ID numerico dell'organizzazione della tua Google Cloud organizzazione per il pool di identità forza lavoro. I pool di identità della forza lavoro sono disponibili in tutti i progetti e le cartelle dell'organizzazione.
DISPLAY_NAME: (Facoltativo). Un nome visualizzato per il tuo pool di identità della forza lavoro.
DESCRIPTION: (Facoltativo). Una descrizione del pool di identità della forza lavoro.
SESSION_DURATION: (Facoltativo). La durata della sessione determina per quanto tempo sono validi i token di accesso Google Cloud , le sessioni di accesso alla console (federata) e le sessioni di accesso a gcloud CLI da questo pool di forza lavoro. Per impostazione predefinita, la durata della sessione è di un'ora (3600 secondi). Il valore della durata della sessione deve essere compreso tra 15 minuti (900 secondi) e 12 ore (43.200 secondi).

Console

Per creare il pool di identità della forza lavoro:

Nella console Google Cloud , vai alla pagina Pool di identità della forza lavoro:

Vai a Pool di identità della forza lavoro
Seleziona l'organizzazione per il tuo pool di identità della forza lavoro. I pool di identità del personale sono disponibili in tutti i progetti e le cartelle di un'organizzazione.
Fai clic su Crea pool e segui questi passaggi:
1. Nel campo Nome, inserisci il nome visualizzato del pool. L'ID pool viene derivato automaticamente dal nome durante la digitazione e viene visualizzato sotto il campo Nome. Puoi aggiornare l'ID pool facendo clic su Modifica accanto all'ID pool.
2. (Facoltativo) In Descrizione, inserisci una descrizione del pool.
3. Per creare il pool di identità della forza lavoro, fai clic su Avanti.

Configura il fornitore del pool di identità della forza lavoro SAML 2.0

Per creare il fornitore del pool di identità della forza lavoro SAML, esegui questo comando:

gcloud iam workforce-pools providers create-saml PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global \
    --display-name=DISPLAY_NAME \
    --idp-metadata-path=XML_METADATA_PATH \
    --attribute-mapping=ATTRIBUTE_MAPPING \
    --extra-attributes-issuer-uri=EXTRA_ATTRIBUTES_ISSUER_URI \
    --extra-attributes-client-id=EXTRA_ATTRIBUTES_CLIENT_ID \
    --extra-attributes-client-secret-value=EXTRA_ATTRIBUTES_CLIENT_SECRET \
    --extra-attributes-type=EXTRA_ATTRIBUTES_TYPE  \
    –-extra-attributes-filter=EXTRA_ATTRIBUTES_FILTER \
    --detailed-audit-logging

Sostituisci quanto segue:

PROVIDER_ID: un ID fornitore univoco. Il prefisso gcp- è riservato e non può essere utilizzato in un pool o in un ID provider.
WORKFORCE_POOL_ID: l'ID del pool di forza lavoro.
DISPLAY_NAME: Un nome visualizzato per il fornitore.
XML_METADATA_PATH: il percorso del file XML di metadati SAML 2.0.
ATTRIBUTE_MAPPING: il mapping degli attributi da Microsoft Entra ID a Google Cloud. Ad esempio, per mappare groups e subject da Microsoft Entra ID, utilizza la seguente mappatura degli attributi:
```
--attribute-mapping=”google.groups=assertion.groups, google.subject=assertion.sub"
```
Per ulteriori informazioni, vedi Mappatura degli attributi.
EXTRA_ATTRIBUTES_ISSUER_URI: l'URI dell'emittente della tua applicazione Microsoft Entra ID.
EXTRA_ATTRIBUTES_CLIENT_ID: l'ID client della tua applicazione Microsoft Entra ID.
EXTRA_ATTRIBUTES_CLIENT_SECRET: il segreto client aggiuntivo dell'applicazione Microsoft Entra ID.
EXTRA_ATTRIBUTES_TYPE: utilizza azure-ad-groups-mail per recuperare gli indirizzi email dei gruppi. Utilizza azure-ad-groups-id per recuperare gli ID dei gruppi.
EXTRA_ATTRIBUTES_FILTER: (Facoltativo). Un'espressione di filtro utilizzata per eseguire query sull'API Microsoft Graph per i gruppi. Puoi utilizzare questo parametro per assicurarti che il numero di gruppi recuperati dal provider di identità rimanga al di sotto del limite di 999 gruppi.
L'esempio seguente recupera i gruppi che hanno il prefisso sales nel loro ID email:
```
--extra-attributes-filter='"mail:sales"'
```
La seguente espressione recupera i gruppi con un nome visualizzato che contiene la stringa sales.
```
--extra-attributes-filter='"displayName:sales”'
```
La federazione delle identità per la forza lavoro audit logging dettagliato registra le informazioni ricevute dal tuo IdP in Logging. L'audit logging dettagliato può aiutarti a risolvere i problemi di configurazione del provider del pool di identità della forza lavoro. Per scoprire come risolvere i problemi relativi agli errori di mappatura degli attributi con la registrazione dettagliata degli audit log, consulta Errori generali di mappatura degli attributi. Per informazioni sui prezzi di Logging, consulta la pagina Prezzi di Google Cloud Observability.

Per disattivare la registrazione di controllo dettagliata per un provider di pool di identità per la forza lavoro, ometti il flag --detailed-audit-logging quando esegui gcloud iam workforce-pools providers create. Per disattivare il logging di controllo dettagliato, puoi anche aggiornare il fornitore.

Concedi ruoli IAM ai gruppi

In questa sezione concedi ruoli ai gruppi sulle risorse Google Cloud . Per scoprire di più sugli identificatori dei principal della federazione delle identità della forza lavoro, consulta Rappresentare gli utenti del pool di forza lavoro nei criteri IAM.

Il seguente esempio concede il ruolo Amministratore spazio di archiviazione (roles/storage.admin) agli utenti di un gruppo Microsoft Entra ID.

gcloud projects add-iam-policy-binding PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

Sostituisci quanto segue:

PROJECT_ID: l'ID progetto
WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro
GROUP_ID: l'identificatore del gruppo, che dipende dal valore di --extra-attributes-type utilizzato per creare il provider del pool di identità forza lavoro, come segue:
- azure-ad-groups-mail: l'identificatore del gruppo è un indirizzo email, ad esempio: admin-group@altostrat.com
- azure-ad-groups-id: l'identificatore del gruppo è un UUID per il gruppo, ad esempio: abcdefgh-0123-0123-abcdef

In questa sezione, accedi come utente del pool di identità per la forza lavoro e verifica di avere accesso alle risorse Google Cloud .

Questa sezione mostra come accedere come utente federato e accedere Google Cloud alle risorse.

Per accedere alla console Google Cloud federata delle identità della forza lavoro, procedi nel seguente modo:

Vai alla pagina di accesso (federato) della console.

Vai alla console (federata)

Inserisci il nome del fornitore, formattato come segue:

locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

Se richiesto, inserisci le credenziali utente in Microsoft Entra ID.

Se avvii un accesso avviato dall'IdP, utilizza il seguente URL di reindirizzamento: https://console.cloud.google/.

Per accedere a gcloud CLI utilizzando un flusso di accesso basato sul browser, segui questi passaggi:

Creare un file di configurazione

Per creare il file di configurazione di accesso, esegui questo comando. Se vuoi, puoi attivare il file come predefinito per gcloud CLI aggiungendo il flag --activate. Puoi quindi eseguire gcloud auth login senza specificare il percorso del file di configurazione ogni volta.

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/PROVIDER_ID \
    --output-file=LOGIN_CONFIG_FILE_PATH

Sostituisci quanto segue:

WORKFORCE_POOL_ID: l'ID pool di forza lavoro
PROVIDER_ID: l'ID fornitore
LOGIN_CONFIG_FILE_PATH: il percorso di un file di configurazione specificato, ad esempio login.json

Il file contiene gli endpoint utilizzati da gcloud CLI per attivare il flusso di autenticazione basato sul browser e impostare il pubblico sul provider del pool di identità della forza lavoro configurato. Il file non contiene informazioni riservate.

L'output è simile al seguente:

{
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.google/authorize",
  "token_url": "https://sts.googleapis.com/v1/oauthtoken",
  "token_info_url": "https://googleapis.com/v1/introspect",
}

Per impedire a gcloud auth login di utilizzare automaticamente questo file di configurazione, puoi annullarne l'impostazione eseguendo gcloud config unset auth/login_config_file.

Accedere utilizzando l'autenticazione basata sul browser

Per eseguire l'autenticazione utilizzando l'autenticazione basata sull'accesso al browser, puoi utilizzare uno dei seguenti metodi:

Se hai utilizzato il flag --activate quando hai creato il file di configurazione o se hai attivato il file di configurazione con gcloud config set auth/login_config_file, gcloud CLI utilizza automaticamente il file di configurazione:
```
gcloud auth login
```
Per accedere specificando la posizione del file di configurazione, esegui il seguente comando:
```
gcloud auth login --login-config=LOGIN_CONFIG_FILE_PATH
```
Per utilizzare una variabile di ambiente per specificare la posizione del file di configurazione, imposta CLOUDSDK_AUTH_LOGIN_CONFIG_FILE sul percorso di configurazione.

Disattivare l'accesso basato sul browser

Per interrompere l'utilizzo del file di configurazione dell'accesso:

Se hai utilizzato il flag --activate quando hai creato il file di configurazione o se hai attivato il file di configurazione con gcloud config set auth/login_config_file, devi eseguire il seguente comando per annullarne l'impostazione:
```
gcloud config unset auth/login_config_file
```
Cancella la variabile di ambiente CLOUDSDK_AUTH_LOGIN_CONFIG_FILE, se è impostata.

Per accedere a Microsoft Entra ID con gcloud CLI, procedi nel seguente modo:

OIDC

Segui i passaggi descritti in Inviare la richiesta di accesso. Accedi all'applicazione con Microsoft Entra ID utilizzando OIDC.
Copia il token ID dal parametro id_token dell'URL di reindirizzamento e salvalo in un file in una posizione sicura sulla macchina locale. In un passaggio successivo, imposterai PATH_TO_OIDC_ID_TOKEN sul percorso di questo file.

Genera un file di configurazione simile all'esempio riportato più avanti in questo passaggio eseguendo il seguente comando:

gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --subject-token-type=urn:ietf:params:oauth:token-type:id_token \
    --credential-source-file=PATH_TO_OIDC_ID_TOKEN \
    --workforce-pool-user-project=WORKFORCE_POOL_USER_PROJECT \
    --output-file=config.json

Sostituisci quanto segue:

WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro.
WORKFORCE_PROVIDER_ID: l'ID del provider del pool di identità forza lavoro.
PATH_TO_OIDC_ID_TOKEN: il percorso della posizione del file in cui è archiviato il token IdP.
WORKFORCE_POOL_USER_PROJECT: il numero o l'ID progetto utilizzato per la quota e la fatturazione. Il principal deve disporre dell'autorizzazione serviceusage.services.use per questo progetto.

Al termine del comando, Microsoft Entra ID crea il seguente file di configurazione:

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "subject_token_type": "urn:ietf:params:oauth:token-type:id_token",
  "token_url": "https://sts.googleapis.com/v1/token",
  "workforce_pool_user_project": "WORKFORCE_POOL_USER_PROJECT",
  "credential_source": {
    "file": "PATH_TO_OIDC_CREDENTIALS"
  }
}

Apri gcloud CLI ed esegui questo comando:
```
gcloud auth login --cred-file=PATH_TO_OIDC_CREDENTIALS
```
Sostituisci PATH_TO_OIDC_CREDENTIALS con il percorso del file di output di un passaggio precedente.

La gcloud CLI pubblica in modo trasparente le tue credenziali nell'endpoint del servizio token di sicurezza. Nell'endpoint, viene scambiato con token di accesso Google Cloud temporanei.

Ora puoi eseguire i comandi gcloud CLI per Google Cloud.

SAML

Accedi a un utente alla tua applicazione Microsoft Entra ID e ottieni la risposta SAML.
Salva la risposta SAML restituita da Microsoft Entra ID in una posizione sicura sul tuo computer locale, quindi memorizza il percorso nel seguente modo:
```
SAML_ASSERTION_PATH=SAML_ASSERTION_PATH
```

Per generare un file di configurazione delle credenziali, esegui questo comando:

gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --subject-token-type=urn:ietf:params:oauth:token-type:saml2 \
    --credential-source-file=SAML_ASSERTION_PATH  \
    --workforce-pool-user-project=PROJECT_ID  \
    --output-file=config.json

Sostituisci quanto segue:

WORKFORCE_PROVIDER_ID: l'ID del provider del pool di identità forza lavoro che hai creato in precedenza in questa guida
WORKFORCE_POOL_ID: l'ID del pool di identità forza lavoro che hai creato in precedenza in questa guida
SAML_ASSERTION_PATH: il percorso del file di asserzione SAML
PROJECT_ID: l'ID progetto

Il file di configurazione generato è simile al seguente:

{
   "type": "external_account",
   "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
   "subject_token_type": "urn:ietf:params:oauth:token-type:saml2",
   "token_url": "https://sts.googleapis.com/v1/token",
   "credential_source": {
     "file": "SAML_ASSERTION_PATH"
   },
   "workforce_pool_user_project": "PROJECT_ID"
}

Per accedere a gcloud CLI utilizzando lo scambio di token della federazione delle identità per la forza lavoro, esegui questo comando:
```
gcloud auth login --cred-file=config.json
```
Gcloud CLI scambia in modo trasparente le tue credenziali Microsoft Entra ID con token di accesso temporanei Google Cloud . I token di accesso ti consentono di accedere a Google Cloud.

Vedi un output simile al seguente:
```
Authenticated with external account user credentials for:
[principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/USER_ID].
```
Per elencare gli account con credenziali e il tuo account attivo, esegui questo comando:
```
gcloud auth list
```

Testa l'accesso

Ora hai accesso ai prodotti Google Cloud che supportano la federazione delle identità della forza lavoro e a cui ti è stato concesso l'accesso. In precedenza in questo documento, hai concesso il ruolo Amministratore Storage (roles/storage.admin) a tutte le identità all'interno dell'identificatore di gruppo che hai specificato in gcloud projects add-iam-policy-binding per il progetto TEST_PROJECT_ID.

Ora puoi verificare di avere accesso elencando i bucket Cloud Storage.

Console (federata)

Per verificare di avere accesso utilizzando la console (federata), segui questi passaggi:

Vai alla pagina Cloud Storage.

Vai a Cloud Storage
Verifica di poter visualizzare un elenco di bucket esistenti per TEST_PROJECT_ID.

Interfaccia a riga di comando gcloud

Per verificare di avere accesso utilizzando gcloud CLI, puoi elencare i bucket e gli oggetti Cloud Storage per il progetto a cui hai accesso. Per farlo, esegui questo comando. L'entità deve disporre dell'autorizzazione serviceusage.services.use per il progetto specificato.

gcloud storage ls --project="TEST_PROJECT_ID"

Eliminare utenti

La federazione delle identità della forza lavoro crea metadati e risorse utente per le identità utente federate. Se scegli di eliminare gli utenti nel tuo IdP, devi eliminare esplicitamente anche queste risorse in Google Cloud. Per farlo, consulta Eliminare gli utenti della federazione delle identità del personale e i relativi dati.

Potresti notare che le risorse continuano a essere associate a un utente eliminato. Questo perché l'eliminazione dei metadati e delle risorse utente richiede un'operazione a esecuzione prolungata. Dopo aver avviato l'eliminazione dell'identità di un utente, i processi che l'utente ha avviato prima dell'eliminazione possono continuare a essere eseguiti fino al completamento o all'annullamento.

Passaggi successivi

Eliminare gli utenti di Workforce Identity Federation e i relativi dati
Scopri quali Google Cloud prodotti supportano la federazione delle identità della forza lavoro
Configurare l'accesso degli utenti alla console (federato)

Configurare la federazione delle identità della forza lavoro con Microsoft Entra ID e un numero elevato di gruppi Mantieni tutto organizzato con le raccolte Salva e classifica i contenuti in base alle tue preferenze.

Prima di iniziare

Costi

Ruoli obbligatori

Crea un'applicazione Microsoft Entra ID

OIDC

SAML

Configurare un numero elevato di gruppi con Microsoft Entra ID

Configurare un numero elevato di gruppi con Microsoft Entra ID con il flusso implicito OIDC

Configurare l'applicazione Microsoft Entra ID

Crea un pool di identità della forza lavoro

gcloud

Console

Configura il provider di pool di identità per la forza lavoro con flusso implicito OIDC

Configurare un numero elevato di gruppi in Microsoft Entra ID con il flusso di codice OIDC

Configurare l'applicazione Microsoft Entra ID

Crea un pool di identità della forza lavoro

gcloud

Console

Configura il provider di pool di identità per la forza lavoro del flusso di codice OIDC

Configurare un numero elevato di gruppi in Microsoft Entra ID con SAML 2.0

Configurare l'applicazione Microsoft Entra ID

Crea un pool di identità della forza lavoro

gcloud

Console

Configura il fornitore del pool di identità della forza lavoro SAML 2.0

Concedi ruoli IAM ai gruppi

Accedi e verifica l'accesso

Accedi

Accesso alla console (federata)

Accesso basato sul browser gcloud CLI

Accesso headless gcloud CLI

OIDC

SAML

Testa l'accesso

Console (federata)

Interfaccia a riga di comando gcloud

Eliminare utenti

Passaggi successivi

Configurare la federazione delle identità della forza lavoro con Microsoft Entra ID e un numero elevato di gruppi