Workforce Identity-Föderation mit Microsoft Entra ID konfigurieren und Nutzer anmelden

In diesem Leitfaden erfahren Sie, wie Sie die Workforce Identity Federation mit Microsoft Entra ID konfigurieren und den Zugriff auf Google Cloud verwalten. Nutzer mit einer Microsoft Entra ID-Identität können dann auf Google Cloud-Dienste zugreifen, die die Mitarbeiteridentitätsföderation unterstützen.

Hinweise

1. Sie müssen eine Google Cloud-Organisation eingerichtet haben.

2. Install the Google Cloud CLI, then initialize it by running the following command:

   gcloud init

3. Achten Sie darauf, dass in Microsoft Entra ID ID-Tokens für den impliziten Ablauf aktiviert sind. Weitere Informationen finden Sie unter Implizierten Ablauf aktivieren.

4. Für die Anmeldung muss Ihr IdP signierte Authentifizierungsinformationen bereitstellen: OIDC-IdPs müssen ein JWT bereitstellen und SAML-IdP-Antworten müssen signiert sein.

5. Wenn Sie wichtige Informationen zu Änderungen an Ihrer Organisation oder Ihren Google Cloud-Produkten erhalten möchten, müssen Sie Wichtige Kontakte angeben. Weitere Informationen finden Sie unter Workforce Identity Federation – Übersicht.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle IAM-Mitarbeiterpool-Administrator (roles/iam.workforcePoolAdmin) für die Organisation zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Konfigurieren der Mitarbeiteridentitätsföderation benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Alternativ enthält die einfache Rolle „IAM-Inhaber“ (roles/owner) auch Berechtigungen für Mitarbeiteridentitätsföderation. In einer Produktionsumgebung sollten Sie keine einfachen Rollen zuweisen, Sie können sie aber in einer Entwicklungs- oder Testumgebung gewähren.

Workforce Identity-Pool erstellen

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Microsoft Entra ID-Anwendung erstellen

In diesem Abschnitt werden die Schritte zum Erstellen einer Microsoft Entra ID-Anwendung mithilfe des Microsoft Entra-Admin-Portals beschrieben. Weitere Informationen finden Sie unter Was ist Authentifizierung.

Workforce Identity-Pools unterstützen die Föderation mit OIDC- und SAML-Protokollen.

Microsoft Entra ID-Mitarbeiteridentitätspool-Anbieter erstellen

In diesem Abschnitt wird beschrieben, wie Sie einen Anbieter von Workforce-Identitätspools erstellen, um Ihren IdP-Nutzern den Zugriff auf Google Cloud zu ermöglichen. Sie können den Anbieter so konfigurieren, dass er entweder das OIDC- oder das SAML-Protokoll verwendet.

OIDC-Workforce-Pool-Anbieter erstellen

So erstellen Sie einen Workforce Identity-Pool-Anbieter für Ihre Microsoft Entra ID-App-Einbindung mit dem OIDC-Protokoll:

1. So rufen Sie die Aussteller-URI für Ihre Microsoft Entra ID-App ab:

   1. Rufen Sie die Registrierung Ihrer Microsoft Entra ID-Anwendung auf.
   2. Klicken Sie auf Endpunkte.
   3. Öffnen Sie das OpenID Connect-Metadatendokument in einem neuen Tab.
   4. Kopieren Sie in der JSON-Datei den Wert von issuer.

2. So rufen Sie die Client-ID für Ihre Microsoft Entra ID-App ab:

   1. Rufen Sie die Registrierung Ihrer Microsoft Entra ID-Anwendung auf.
   2. Kopieren Sie den Wert unter Anwendungs- oder Client-ID.

3. So erstellen Sie einen OIDC-Anbieter von Mitarbeiteridentitätspools für die Webanmeldung:

   Console

   Codeablauf

   So erstellen Sie einen OIDC-Anbieter, der den Autorisierungscodeablauf für die webbasierte Anmeldung verwendet:

   1. So rufen Sie den Clientschlüssel für Microsoft Entra ID ab:

      1. Rufen Sie die Registrierung Ihrer Microsoft Entra ID-Anwendung auf.

      2. Klicken Sie unter Zertifikate und Secrets auf den Tab Clientschlüssel.

      3. Klicken Sie auf + Neuer Clientschlüssel, um einen Clientschlüssel hinzuzufügen.

      4. Geben Sie im Dialogfeld Clientschlüssel hinzufügen die erforderlichen Informationen ein.

      5. Klicken Sie auf Hinzufügen, um den Clientschlüssel zu erstellen.

      6. Suchen Sie auf dem Tab Clientschlüssel den neuen Clientschlüssel.

      7. Klicken Sie in der Spalte Wert des neuen Clientschlüssels auf content_copy Kopieren.

   2. So erstellen Sie in der Google Cloud Console einen OIDC-Anbieter, der den Autorisierungscode-Ablauf verwendet:

      1. Rufen Sie in der Google Cloud Console die Seite Workforce Identity-Pools auf:

         Zu Workforce Identity-Pools

      2. Wählen Sie in der Tabelle Workforce Identity-Pools den Pool aus, für den Sie den Anbieter erstellen möchten.

      3. Klicken Sie in der Tabelle Anbieter auf Anbieter hinzufügen.

      4. Wählen Sie unter Protokoll auswählen die Option Open ID Connect (OIDC) aus.

      5. Gehen Sie unter Pool-Anbieter erstellen so vor:

         1. Geben Sie unter Name einen Namen für den Anbieter ein.
         2. Geben Sie unter Aussteller (URL) den URI des Ausstellers ein. Der OIDC-Aussteller-URI muss ein gültiges URI-Format haben und mit https beginnen. Beispiel: https://example.com/oidc
         3. Geben Sie die Client-ID ein. Dies ist die OIDC-Client-ID, die bei Ihrem OIDC-IdP registriert ist. Die ID muss mit der aud-Anforderung des JWT übereinstimmen, die von Ihrem IdP ausgestellt wird.
         4. Wenn Sie einen aktivierten Anbieter erstellen möchten, muss die Option Aktivierter Anbieter aktiviert sein.
         5. Klicken Sie auf Weiter.

      6. Gehen Sie unter Antworttyp so vor: Der Antworttyp wird nur für eine webbasierte Einmalanmeldung verwendet.

         1. Wählen Sie unter Antworttyp die Option Code aus.
         2. Geben Sie unter Clientschlüssel den Clientschlüssel von Ihrem IdP ein.

         3. Wählen Sie unter Verhalten bei Assertion-Anforderungen eine der folgenden Optionen aus:

            • Nutzerinformationen und ID-Token
            • Nur ID-Token

         4. Klicken Sie auf Weiter.

      7. Unter Anbieter konfigurieren können Sie eine Attributzuordnung und eine Attributbedingung konfigurieren. So erstellen Sie eine Attributzuordnung: Sie können entweder den Namen des IdP-Felds oder einen CEL-formatierten Ausdruck angeben, der einen String zurückgibt.

         1. Erforderlich: Geben Sie in OIDC 1 den Betreff des IdP ein. Beispiel: assertion.sub

            Für Microsoft Entra ID mit OIDC-Authentifizierung empfehlen wir die folgenden Attributzuordnungen:

            google.subject=assertion.sub,
            google.groups=assertion.groups,
            google.display_name=assertion.preferred_username
            

            In diesem Beispiel werden die IdP-Attribute subject, groups und preferred_username den Google Cloud-Attributen google.subject,google.groups bzw. google.display_name zugeordnet.

         2. Optional: So fügen Sie zusätzliche Attributzuordnungen hinzu:

            1. Klicken Sie auf Zuordnung hinzufügen.
            2. Geben Sie in Google n, wobei n eine Zahl ist, einen der von Google Cloud unterstützten Schlüssel ein.
            3. Geben Sie im entsprechenden Feld OIDC n den Namen des IdP-spezifischen Felds im CEL-Format ein.

         3. So erstellen Sie eine Attributbedingung:

            1. Klicken Sie auf Bedingung hinzufügen.
            2. Geben Sie unter Attributbedingungen eine Bedingung im CEL-Format ein. Wenn Sie beispielsweise das Attribut ipaddr auf einen bestimmten IP-Bereich beschränken möchten, können Sie die Bedingung assertion.ipaddr.startsWith('98.11.12.') festlegen.

      8. Klicken Sie auf Senden, um den Anbieter zu erstellen.

   Impliziter Ablauf

   So erstellen Sie einen OIDC-Anbieter, der den impliziten Ablauf für die webbasierte Anmeldung verwendet:

   1. Rufen Sie in der Google Cloud Console die Seite Workforce Identity-Pools auf:

      Zu Workforce Identity-Pools

   2. Wählen Sie in der Tabelle Workforce Identity-Pools den Pool aus, für den Sie den Anbieter erstellen möchten.

   3. Klicken Sie in der Tabelle Anbieter auf Anbieter hinzufügen.

   4. Wählen Sie unter Protokoll auswählen die Option Open ID Connect (OIDC) aus.

   5. Gehen Sie unter Pool-Anbieter erstellen so vor:

      1. Geben Sie unter Name einen Namen für den Anbieter ein.
      2. Geben Sie unter Aussteller (URL) den URI des Ausstellers ein. Der OIDC-Aussteller-URI muss ein gültiges URI-Format haben und mit https beginnen. Beispiel: https://example.com/oidc
      3. Geben Sie die Client-ID ein. Dies ist die OIDC-Client-ID, die bei Ihrem OIDC-IdP registriert ist. Die ID muss mit der aud-Anforderung des JWT übereinstimmen, die von Ihrem IdP ausgestellt wird.
      4. Wenn Sie einen aktivierten Anbieter erstellen möchten, muss die Option Aktivierter Anbieter aktiviert sein.
      5. Klicken Sie auf Weiter.

   6. Gehen Sie unter Antworttyp so vor: Der Antworttyp wird nur für eine webbasierte Einmalanmeldung verwendet.

      1. Wählen Sie unter Antworttyp die Option ID-Token aus.
      2. Klicken Sie auf Weiter.

   7. Unter Anbieter konfigurieren können Sie eine Attributzuordnung und eine Attributbedingung konfigurieren. So erstellen Sie eine Attributzuordnung: Sie können entweder den Namen des IdP-Felds oder einen CEL-formatierten Ausdruck angeben, der einen String zurückgibt.

      1. Erforderlich: Geben Sie in OIDC 1 den Betreff des IdP ein. Beispiel: assertion.sub

         Für Microsoft Entra ID mit OIDC-Authentifizierung empfehlen wir die folgenden Attributzuordnungen:

         google.subject=assertion.sub,
         google.groups=assertion.groups,
         google.display_name=assertion.preferred_username
         

         In diesem Beispiel werden die IdP-Attribute subject, groups und preferred_username den Google Cloud-Attributen google.subject,google.groups bzw. google.display_name zugeordnet.

      2. Optional: So fügen Sie zusätzliche Attributzuordnungen hinzu:

         1. Klicken Sie auf Zuordnung hinzufügen.
         2. Geben Sie in Google n, wobei n eine Zahl ist, einen der von Google Cloud unterstützten Schlüssel ein.
         3. Geben Sie im entsprechenden Feld OIDC n den Namen des IdP-spezifischen Felds im CEL-Format ein.

      3. So erstellen Sie eine Attributbedingung:

         1. Klicken Sie auf Bedingung hinzufügen.

         2. Geben Sie unter Attributbedingungen eine Bedingung im CEL-Format ein. Wenn Sie beispielsweise das Attribut ipaddr auf einen bestimmten IP-Bereich beschränken möchten, können Sie die Bedingung assertion.ipaddr.startsWith('98.11.12.') festlegen.

   8. Klicken Sie auf Senden, um den Anbieter zu erstellen.

   gcloud

   So erstellen Sie einen Anbieter, der das OIDC-Protokoll unterstützt:

   Codeablauf

   So erstellen Sie einen OIDC-Anbieter, der den Autorisierungscodeablauf für die webbasierte Anmeldung verwendet:

   1. So rufen Sie Ihren Clientschlüssel in der Microsoft Entra ID App ab:

      1. Rufen Sie die Registrierung Ihrer Microsoft Entra ID-Anwendung auf.

      2. Klicken Sie unter Zertifikate und Secrets auf den Tab Clientschlüssel.

      3. Klicken Sie auf + Neuer Clientschlüssel, um einen Clientschlüssel hinzuzufügen.

      4. Geben Sie im Dialogfeld Clientschlüssel hinzufügen die erforderlichen Informationen ein.

      5. Klicken Sie auf Hinzufügen, um den Clientschlüssel zu erstellen.

      6. Suchen Sie auf dem Tab Clientschlüssel den neuen Clientschlüssel.

      7. Klicken Sie in der Spalte Wert des neuen Clientschlüssels auf content_copy Kopieren.

   2. So erstellen Sie in der Google Cloud Console einen OIDC-Anbieter, der Codeablauf verwendet:

      gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
          --workforce-pool=WORKFORCE_POOL_ID \
          --display-name="DISPLAY_NAME" \
          --description="DESCRIPTION" \
          --issuer-uri="ISSUER_URI" \
          --client-id="OIDC_CLIENT_ID" \
          --client-secret-value="OIDC_CLIENT_SECRET" \
          --web-sso-response-type="code" \
          --web-sso-assertion-claims-behavior="merge-user-info-over-id-token-claims" \
          --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
          --attribute-mapping="ATTRIBUTE_MAPPING" \
          --attribute-condition="ATTRIBUTE_CONDITION" \
          --jwk-json-path="JWK_JSON_PATH" \
          --location=global
      

      Ersetzen Sie Folgendes:

      • PROVIDER_ID: eine eindeutige Anbieter-ID Das Präfix gcp- ist reserviert und kann nicht in einem Pool oder einer Anbieter-ID verwendet werden.
      • WORKFORCE_POOL_ID: die ID des Mitarbeiteridentitätspools, mit dem Ihr IdP verbunden werden soll
      • DISPLAY_NAME: ein optionaler nutzerfreundlicher Anzeigename für den Anbieter; Beispiel: idp-eu-employees
      • DESCRIPTION: eine optionale Beschreibung des Mitarbeiter-Anbieters. Beispiel: IdP for Partner Example Organization employees
      • ISSUER_URI: der OIDC-Aussteller-URI in einem gültigen URI-Format, das mit https beginnt. Beispiel: https://example.com/oidc. Hinweis: Aus Sicherheitsgründen muss ISSUER_URI das HTTPS-Schema verwenden.
      • OIDC_CLIENT_ID: die OIDC-Client-ID, die bei Ihrem OIDC-IdP registriert ist. Die ID muss mit der aud-Anforderung des JWT übereinstimmen, die von Ihrem IdP ausgestellt wird.
      • OIDC_CLIENT_SECRET: der OIDC-Clientschlüssel
      • WEB_SSO_ADDITIONAL_SCOPES: optionale zusätzliche Bereiche, die an den OIDC-IdP für die Console (föderiert) oder die browserbasierte Anmeldung mit der gcloud CLI gesendet werden
      • ATTRIBUTE_MAPPING: Eine Attributzuordnung. Für Microsoft Entra ID mit OIDC-Authentifizierung empfehlen wir die folgenden Attributzuordnungen:

        google.subject=assertion.sub,
        google.groups=assertion.groups,
        google.display_name=assertion.preferred_username
        

        In diesem Beispiel werden die IdP-Attribute subject, groups und preferred_username den Google Cloud-Attributen google.subject,google.groups bzw. google.display_name zugeordnet.

      • ATTRIBUTE_CONDITION: eine Attributbedingung. Wenn Sie beispielsweise das Attribut ipaddr auf einen bestimmten IP-Bereich beschränken möchten, können Sie die Bedingung assertion.ipaddr.startsWith('98.11.12.') festlegen.
      • JWK_JSON_PATH: Ein optionaler Pfad zu einem lokal hochgeladenen OIDC-JWKs. Wenn dieser Parameter nicht angegeben ist, verwendet Google Cloud stattdessen den Pfad /.well-known/openid-configuration Ihres IdP, um den JWKS mit den öffentlichen Schlüsseln zu ermitteln. Weitere Informationen zu lokal hochgeladenen OIDC JWKs finden Sie unter OIDC-JWKs verwalten.
      In der Befehlsantwort ist POOL_RESOURCE_NAME der Name des Pools, z. B. locations/global/workforcePools/enterprise-example-organization-employees.

   Impliziter Ablauf

   So erstellen Sie einen OIDC-Anbieter, der den impliziten Ablauf für die Webanmeldung verwendet:

   1. So aktivieren Sie das ID-Token in Ihrer Microsoft Entra ID-App:

      1. Rufen Sie die Registrierung Ihrer Microsoft Entra ID-Anwendung auf.
      2. Klicken Sie unter Authentifizierung das Kästchen ID-Token an.
      3. Klicken Sie auf Speichern.

   2. Führen Sie den folgenden Befehl aus, um den Anbieter zu erstellen:

      gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
          --workforce-pool=WORKFORCE_POOL_ID \
          --display-name="DISPLAY_NAME" \
          --description="DESCRIPTION" \
          --issuer-uri="ISSUER_URI" \
          --client-id="OIDC_CLIENT_ID" \
          --web-sso-response-type="id-token" \
          --web-sso-assertion-claims-behavior="only-id-token-claims" \
          --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
          --attribute-mapping="ATTRIBUTE_MAPPING" \
          --attribute-condition="ATTRIBUTE_CONDITION" \
          --jwk-json-path="JWK_JSON_PATH" \
          --location=global
      

      Ersetzen Sie Folgendes:

      • PROVIDER_ID: eine eindeutige Anbieter-ID Das Präfix gcp- ist reserviert und kann nicht in einem Pool oder einer Anbieter-ID verwendet werden.
      • WORKFORCE_POOL_ID: die ID des Mitarbeiteridentitätspools, mit dem Ihr IdP verbunden werden soll
      • DISPLAY_NAME: ein optionaler nutzerfreundlicher Anzeigename für den Anbieter; Beispiel: idp-eu-employees
      • DESCRIPTION: eine optionale Beschreibung des Mitarbeiter-Anbieters. Beispiel: IdP for Partner Example Organization employees
      • ISSUER_URI: der OIDC-Aussteller-URI in einem gültigen URI-Format, das mit https beginnt. Beispiel: https://example.com/oidc. Hinweis: Aus Sicherheitsgründen muss ISSUER_URI das HTTPS-Schema verwenden.
      • OIDC_CLIENT_ID: die OIDC-Client-ID, die bei Ihrem OIDC-IdP registriert ist. Die ID muss mit der aud-Anforderung des JWT übereinstimmen, die von Ihrem IdP ausgestellt wird.
      • WEB_SSO_ADDITIONAL_SCOPES: optionale zusätzliche Bereiche, die an den OIDC-IdP für die Console (föderiert) oder die browserbasierte Anmeldung mit der gcloud CLI gesendet werden
      • ATTRIBUTE_MAPPING: Eine Attributzuordnung. Für Microsoft Entra ID mit OIDC-Authentifizierung empfehlen wir die folgenden Attributzuordnungen:

        google.subject=assertion.sub,
        google.groups=assertion.groups,
        google.display_name=assertion.preferred_username
        

        In diesem Beispiel werden die IdP-Attribute subject, groups und preferred_username den Google Cloud-Attributen google.subject,google.groups bzw. google.display_name zugeordnet.

      • ATTRIBUTE_CONDITION: eine Attributbedingung. Wenn Sie beispielsweise das Attribut ipaddr auf einen bestimmten IP-Bereich beschränken möchten, können Sie die Bedingung assertion.ipaddr.startsWith('98.11.12.') festlegen.
      • JWK_JSON_PATH: Ein optionaler Pfad zu einem lokal hochgeladenen OIDC-JWKs. Wenn dieser Parameter nicht angegeben ist, verwendet Google Cloud stattdessen den Pfad /.well-known/openid-configuration Ihres IdP, um den JWKS mit den öffentlichen Schlüsseln zu ermitteln. Weitere Informationen zu lokal hochgeladenen OIDC JWKs finden Sie unter OIDC-JWKs verwalten.
      In der Befehlsantwort ist POOL_RESOURCE_NAME der Name des Pools, z. B. locations/global/workforcePools/enterprise-example-organization-employees.

SAML-Workforce-Pool-Anbieter erstellen

1. Registrieren Sie bei Ihrem SAML-IdP eine neue Anwendung für die Google Cloud-Workforce Identity-Föderation.

2. Legen Sie die Zielgruppe für SAML-Assertions fest. Dies ist normalerweise das Feld SP Entity ID in Ihrer IdP-Konfiguration. Legen Sie sie auf die folgende URL fest:

   https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/PROVIDER_ID
   

3. Wenn Sie den Nutzerzugriff auf die Console einrichten möchten, setzen Sie in Ihrem SAML-IdP das Feld für die Weiterleitungs-URL oder ACS-URL (Assertion Consumer Service) auf die folgende URL:

   https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

   Weitere Informationen zum Konfigurieren der Anmeldung in der Console finden Sie unter Nutzerzugriff auf die Console einrichten.

4. Erstellen Sie in Google Cloud einen SAML-Mitarbeiteridentitätspoolanbieter mit dem SAML-Metadatendokument Ihres IdP. Sie können das SAML-Metadaten-XML-Dokument von Ihrem IdP herunterladen. Das Dokument muss mindestens Folgendes enthalten:

   • Eine SAML-Entitäts-ID für Ihren IdP
   • Die URL zur Einmalanmeldung (SSO) für Ihren IdP
   • Mindestens einen öffentlichen Signierschlüssel. Weitere Informationen zu Signierschlüsseln finden Sie weiter unten in dieser Anleitung unter Schlüsselanforderungen.

gcloud iam workforce-pools providers create-saml PROVIDER_ID \
    --workforce-pool="WORKFORCE_POOL_ID" \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --idp-metadata-path="XML_METADATA_PATH" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --location=global

gcloud iam workforce-pools providers keys create KEY_ID \
    --workforce-pool WORKFORCE_POOL_ID \
    --provider PROVIDER_ID \
    --location global \
    --use encryption \
    --spec KEY_SPECIFICATION

gcloud iam workforce-pools providers keys describe KEY_ID \
    --workforce-pool WORKFORCE_POOL_ID \
    --provider PROVIDER_ID \
    --location global \
    --format "value(keyData.key)" \
    > CERTIFICATE_PATH

  gcloud iam workforce-pools providers keys delete KEY_ID \
      --workforce-pool WORKFORCE_POOL_ID \
      --provider PROVIDER_ID \
      --location global

Zugriff auf Google Cloud-Ressourcen verwalten

Dieser Abschnitt enthält ein Beispiel für die Verwaltung des Zugriffs auf Google Cloud-Ressourcen durch Nutzer der Mitarbeiter-Identitätsföderation.

In diesem Beispiel weisen Sie in einem Beispielprojekt eine IAM-Rolle (Identity and Access Management) zu. Nutzer können sich dann anmelden und über dieses Projekt auf Google Cloud-Produkte zugreifen.

Sie können IAM-Rollen für einzelne Identitäten, Identitätsgruppen oder gesamte Pools verwalten. Weitere Informationen finden Sie unter Mitarbeiteridentitätspool-Nutzer in IAM-Richtlinien darstellen.

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/SUBJECT_VALUE"

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.department/DEPARTMENT_VALUE"

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

Anmelden und Zugriff testen

In diesem Abschnitt melden Sie sich als Workforce Identity-Pool-Nutzer an und testen, ob Sie Zugriff auf ein Google Cloud-Produkt haben.

Anmelden

In diesem Abschnitt erfahren Sie, wie Sie sich als föderierter Nutzer anmelden und auf Google Cloud-Ressourcen zugreifen.

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/PROVIDER_ID \
    --output-file=LOGIN_CONFIG_FILE

{
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/PROVIDER_ID",
  "auth_url": "https://auth.cloud.google/authorize",
  "token_url": "https://sts.googleapis.com/v1/oauthtoken",
  "token_info_url": "https://sts.googleapis.com/v1/introspect",
}

Testzugriff

Sie haben jetzt Zugriff auf Google Cloud-Dienste, die die Workforce-Identitätsföderation unterstützen und auf die Sie Zugriff erhalten haben. Sie haben zuvor in diesem Leitfaden allen Identitäten innerhalb einer bestimmten Abteilung für das Projekt TEST_PROJECT_ID die Rolle "Storage-Admin" zugewiesen. Sie können jetzt testen, ob Sie Zugriff haben. Dazu listen Sie Cloud Storage-Buckets auf.

gcloud storage ls --project="TEST_PROJECT_ID"

Nutzer löschen

Die Workforce Identity-Föderation erstellt Nutzermetadaten und -ressourcen für föderierte Nutzeridentitäten. Wenn Sie Nutzer beispielsweise in Ihrem Identitätsanbieter löschen, müssen Sie diese Ressourcen auch explizit in Google Cloud löschen. Weitere Informationen finden Sie unter Workforce Identity Federation-Nutzer und ihre Daten löschen.

Es kann sein, dass Ressourcen weiterhin einem gelöschten Nutzer zugeordnet sind. Das liegt daran, dass das Löschen von Nutzermetadaten und Ressourcen einen langwierigen Vorgang erfordert. Nachdem Sie die Identität eines Nutzers gelöscht haben, können Prozesse, die der Nutzer vor dem Löschen gestartet hat, weiter ausgeführt werden, bis sie abgeschlossen oder abgebrochen werden.

Nächste Schritte

• Nutzer von Identitätsföderation von Arbeitslasten und deren Daten löschen
• Weitere Informationen dazu, welche Google Cloud-Produkte die Workforce Identity-Föderation unterstützen
• Nutzerzugriff auf die Console (föderiert) einrichten