Workforce Identity-Föderation mit Okta konfigurieren und Nutzer anmelden

Console

So erstellen Sie den Workforce Identity-Pool:

1. Rufen Sie in der Google Cloud Console die Seite Workforce Identity-Pools auf:

   Zu Workforce Identity-Pools

2. Klicken Sie auf Pool erstellen und gehen Sie so vor:

   1. Geben Sie im Feld Name den Anzeigenamen des Pools ein. Die Pool-ID wird während der Eingabe automatisch aus dem Namen abgeleitet und im Feld Name angezeigt. Sie können die Pool-ID aktualisieren, indem Sie neben der Pool-ID auf Bearbeiten klicken.

   2. Optional: Geben Sie unter Beschreibung eine Beschreibung des Pools ein.

   3. Die Sitzungsdauer ist standardmäßig festgelegt. Klicken Sie auf Bearbeiten, um eine benutzerdefinierte Sitzungsdauer einzugeben. Die Sitzungsdauer bestimmt, wie lange die Google Cloud-Zugriffstokens, die Console-Anmeldesitzungen (föderiert) und die gcloud CLI-Anmeldungssitzungen aus diesem Workforce-Pool gültig sind. Die Dauer muss mehr als 15 Minuten (900s) und weniger als 12 Stunden (43.200s) betragen. Wenn keine Sitzungsdauer festgelegt ist, wird standardmäßig eine Dauer von einer Stunde (3.600 s) verwendet.

   4. Damit der Pool im aktivierten Status erstellt werden kann, muss Aktivierter Pool aktiviert sein.

   5. Klicken Sie zum Erstellen des Workforce Identity-Pools auf Weiter.

gcloud

Führen Sie folgenden Befehl aus, um den Workforce Identity-Pool zu erstellen:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Ersetzen Sie Folgendes:

• WORKFORCE_POOL_ID: Eine ID, die Sie wählen, um den Google Cloud-Workforce-pool darzustellen. Informationen zum Formatieren der ID finden Sie in der API-Dokumentation im Abschnitt Abfrageparameter.
• ORGANIZATION_ID: die numerische Organisations-ID Ihrer Google Cloud-Organisation.
• DISPLAY_NAME: Optional. Ein Anzeigename für Ihren Workforce Identity-Pool.
• DESCRIPTION: Optional. Beschreibung des Workforce Identity-Pools.
• SESSION_DURATION: Optional. Die Sitzungsdauer, die bestimmt, wie lange die Google Cloud-Zugriffstokens, die Console (föderiert)-Anmeldesitzungen und die gcloud CLI-Anmeldungssitzungen aus diesem Workforce-Pool gültig sind. Die Dauer muss mehr als 15 Minuten (900s) und weniger als 12 Stunden (43.200s) betragen. Wenn keine Sitzungsdauer festgelegt ist, wird standardmäßig eine Dauer von einer Stunde (3.600 s) verwendet.

OIDC

Führen Sie folgende Schritte aus, um eine Okta-App-Einbindung zu erstellen, die das OIDC-Protokoll verwendet:

1. Melden Sie sich bei der Okta Admin-Konsole an.
2. Rufen Sie Anwendungen > Anwendungen auf.

3. So konfigurieren Sie die App-Einbindung:

   1. Klicken Sie auf App-Einbindung erstellen.
   2. Wählen Sie unter Anmeldemethode OIDC – OpenID Connect.
   3. Wählen Sie unter Anwendungstyp einen Anwendungstyp aus, z. B. Webanwendung.
   4. Klicken Sie auf Weiter, um die App zu erstellen.
   5. Geben Sie unter Name der App-Einbindung einen Namen für Ihre App ein.
   6. Markieren Sie im Abschnitt Grant-Typ das Kästchen Implizit (Hybrid).

   7. Geben Sie im Abschnitt Anmeldung: Weiterleitungs-URIs eine Weiterleitungs-URL in das Textfeld ein. Ihre Nutzer werden nach der erfolgreichen Anmeldung zu dieser URL weitergeleitet. Wenn Sie den Zugriff auf die Console (föderiert) konfigurieren, müssen Sie das folgende URL-Format verwenden:

      https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
      

      Ersetzen Sie Folgendes:

      • WORKFORCE_POOL_ID ist die ID des Personalpools, den Sie zuvor in dieser Anleitung erstellt haben
      • WORKFORCE_PROVIDER_ID: die ID eines Mitarbeiteridentitäts-Anbieters Ihrer Wahl; Beispiel: okta-oidc-provider. Informationen zum Formatieren der ID finden Sie in der API-Dokumentation im Abschnitt Abfrageparameter.

   8. Markieren Sie das Kästchen Gruppenzuweisung vorerst überspringen.

   9. Klicken Sie auf Speichern, um die App-Verknüpfung zu speichern.

4. Weisen Sie einem Nutzer eine App-Integration zu.

5. Optional: So fügen Sie benutzerdefinierte Attribute für ein Okta-Nutzerprofil hinzu:

   1. Wählen Sie unter Datentyp string aus.
   2. Geben Sie unter Anzeigename Department ein.
   3. Geben Sie unter Variablenname department ein.
   4. Klicken Sie auf Speichern, um die Zuordnung zu speichern.

   Weitere Informationen zum Hinzufügen benutzerdefinierter Attribute finden Sie im Hilfeartikel Okta-Nutzerprofilen benutzerdefinierte Attribute hinzufügen.

6. Optional: Wenn Sie Zuordnungen für die Attribute erstellen möchten, die im OIDC-Token gesendet werden, klicken Sie unter Verzeichnis auf Profileditor und führen Sie die folgenden Schritte aus:

   1. Suchen Sie die OIDC-Anwendung, die Sie zuvor in diesem Leitfaden erstellt haben.
   2. Klicken Sie auf Zuordnungen.
   3. Wählen Sie den Tab Okta-Nutzer an App aus.
   4. Geben Sie auf dem Tab Okta-Nutzerprofil in einem verfügbaren Drop-down-Menü department ein. Okta wird automatisch als user.department abgeschlossen.
   5. Klicken Sie auf Zuordnungen speichern, um die Zuordnungen zu speichern. Weitere Informationen finden Sie unter Attributzuordnung hinzufügen.

   Weitere Informationen zu Zuordnungen finden Sie unter App-Attributen im Profileditor Okta-Attribute zuordnen.

7. Optional: So konfigurieren Sie eine Gruppenanforderung:

   1. Wenn Sie einen Organisationsautorisierungsserver verwenden, gehen Sie so vor:
      1. Rufen Sie Anwendungen > Anwendungen auf
      2. Wählen Sie die zuvor in diesem Abschnitt erstellte OpenID Connect-Clientanwendung.
      3. Rufen Sie den Tab Anmelden auf.
      4. Klicken Sie im Bereich OpenID Connect-ID-Token auf Bearbeiten.
      5. Wählen Sie im Bereich Anspruchstyp für Gruppen eine der folgenden Optionen aus:
         • Wählen Sie Ausdruck.
         • Wählen Sie Stimmt mit regulärem Ausdruck überein und geben Sie .* ein.
      6. Klicken Sie zum Speichern der Gruppenanforderung auf Speichern.
      7. Wenn Sie den Anbieter eines Mitarbeiteridentitätspools später in dieser Anleitung erstellen, fügen Sie groups als zusätzlichen Bereich hinzu, um die Gruppenanforderung von Okta für die Web-Einmalanmeldung anzufordern. Dieser Schritt ist nur erforderlich, wenn Sie den browserbasierten Anmeldeablauf in der Console (föderiert) oder in der gcloud CLI verwenden.
   2. Wenn Sie einen benutzerdefinierten Autorisierungsserver verwenden, gehen Sie so vor:
      1. Wählen Sie in der Admin-Konsole im Menü Sicherheit die Option API aus.
      2. Wählen Sie den benutzerdefinierten Autorisierungsserver aus, den Sie konfigurieren möchten.
      3. Klicke auf den Tab Anforderungen und dann auf Anspruch hinzufügen.
      4. Geben Sie einen Namen für den Anspruch ein. In diesem Beispiel nennen wir ihn groups.
      5. Wählen Sie in Ihrer Anforderung unter In Tokentyp einschließen die Option ID-Token und dann Immer aus.
      6. Wählen Sie Gruppen als Werttyp aus.
      7. Wählen Sie im Drop-down-Menü "Filter" die Option stimmt mit regulärem Ausdruck überein aus und geben Sie dann den folgenden Ausdruck als Wert ein: .*
      8. Klicken Sie auf Erstellen.

Weitere Informationen zu Gruppenanforderungen finden Sie unter Gruppenanforderung hinzufügen.

SAML

Führen Sie folgende Schritte aus, um eine Okta-App-Einbindung zu erstellen, die das SAML-Protokoll verwendet:

1. Melden Sie sich bei der Okta Admin-Konsole an.
2. Rufen Sie Anwendungen > Anwendungen auf.
3. Klicken Sie auf App-Einbindung erstellen.
4. Wählen Sie unter Anmeldemethode die Option SAML 2.0 aus und klicken Sie auf Weiter.
5. Geben Sie einen Namen für die App ein und klicken Sie auf Weiter, um mit den SAML konfigurieren-Optionen fortzufahren.

6. Geben Sie unter URL zur Einmalanmeldung eine Weiterleitungs-URL ein. Dies ist die URL, zu der Nutzer nach einer erfolgreichen Anmeldung weitergeleitet werden. Wenn Sie den Zugriff auf die Console (föderiert) konfigurieren, müssen Sie das folgende URL-Format verwenden:

   https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

7. Geben Sie den Zielgruppen-URI (SP Entity ID) ein. Die ID wird so formatiert:

   https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

   Ersetzen Sie Folgendes:

   • WORKFORCE_POOL_ID: die ID des Workforce Identity-Pools, den Sie zuvor in dieser Anleitung erstellt haben
   • WORKFORCE_PROVIDER_ID ist die ID eines Mitarbeiter-Identitätsanbieters Ihrer Wahl Beispiel: okta-saml-provider

   Informationen zum Formatieren der ID finden Sie in der API-Dokumentation im Abschnitt Abfrageparameter.

8. Optional: Verwenden Sie Attributaussagen, um benutzerdefinierte Attribute anzugeben, die Sie in der SAML-Assertion senden möchten. Nach der Einrichtung können diese Attribute in Google Cloud verwendet werden, um Richtlinien zur Zugriffsverwaltung zu erstellen, oder in der attribute_condition. In dieser Anleitung ordnen Sie die Abteilung beispielsweise so zu:

   Name	Wert
   department	user.department

   Optional: Informationen dazu, wie Sie die Gruppenanforderungen hinzufügen, die später in diesem Leitfaden verwendet wird, finden Sie unter Gruppenmitgliedschaft eines Nutzers in einer SAML-Assertion übergeben.

9. Schließen Sie die Erstellung der Okta-App-Einbindung ab.

Console

So konfigurieren Sie den SAML-Anbieter mit der Google Cloud Console:

1. Rufen Sie in der Google Cloud Console die Seite Workforce Identity-Pools auf:

   Zu Workforce Identity-Pools

2. Wählen Sie in der Tabelle Workforce Identity-Pools den Pool aus, für den Sie den Anbieter erstellen möchten.

3. Klicken Sie in der Tabelle Anbieter auf Anbieter hinzufügen.

4. Wählen Sie unter Protokoll auswählen die Option SAML aus.

5. Gehen Sie unter Pool-Anbieter erstellen so vor:

   1. Geben Sie unter Name einen Namen für den Anbieter ein.

   2. Optional: Geben Sie unter Beschreibung eine Beschreibung für den Anbieter ein.

   3. Wählen Sie in der IdP-Metadatendatei (XML) die XML-Metadatendatei aus, die Sie zuvor in dieser Anleitung generiert haben.

   4. Prüfen Sie, ob Aktivierter Anbieter aktiviert ist.

   5. Klicken Sie auf Weiter.

6. Führen Sie unter Anbieter konfigurieren die folgenden Schritte aus:

   1. Geben Sie unter Attributzuordnung einen CEL-Ausdruck für google.subject ein.

   2. Optional: Wenn Sie andere Zuordnungen eingeben möchten, klicken Sie auf Zuordnung hinzufügen und geben Sie andere Zuordnungen ein. Beispiel:

      google.subject=assertion.subject,
      google.groups=assertion.attributes['https://example.com/aliases'],
      attribute.costcenter=assertion.attributes.costcenter[0]

      In diesem Beispiel werden die IdP-Attribute assertion.subject, assertion.attributes['https://example.com/aliases'] und assertion.attributes.costcenter[0] den Google Cloud-Attributen google.subject, google.groups bzw. google.costcenter zugeordnet.

   3. Optional: Klicken Sie auf Bedingung hinzufügen und geben Sie einen CEL-Ausdruck ein, der eine Attributbedingung darstellt, um eine Attributbedingung hinzuzufügen. Wenn Sie beispielsweise das Attribut ipaddr auf einen bestimmten IP-Bereich beschränken möchten, können Sie die Bedingung assertion.attributes.ipaddr.startsWith('98.11.12.') festlegen. Durch diese Beispielbedingung wird gewährleistet, dass sich nur Nutzer mit einer IP-Adresse, die mit 98.11.12. beginnt, über diesen Workforce-anbieter anmelden können.

   4. Klicken Sie auf Weiter.

7. Klicken Sie auf Senden, um den Anbieter zu erstellen.

gcloud

So erstellen Sie einen Workforce Identity-Pool-Anbieter für die Einbindung Ihrer Okta-Anwendung mit dem SAML-Protokoll:

1. So speichern Sie die SAML-Metadaten für Ihre Okta-Anwendung:

   1. Rufen Sie die Okta-Anwendung auf.
   2. Klicken Sie auf den Tab Anmelden.
   3. Klicken Sie im Abschnitt SAML-Signierungs-Zertifikate für das aktive Zertifikat auf Aktionen > Identitäsanbieter-Metadaten ansehen.
   4. Kopieren Sie auf der neuen Seite die XML-Metadaten.
   5. Speichern Sie die Metadaten als lokale XML-Datei.

2. Führen Sie den folgenden Befehl aus, um einen Workforce-Anbieter für die Okta-Anwendung zu erstellen:

   gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
       --workforce-pool="WORKFORCE_POOL_ID" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --idp-metadata-path="XML_METADATA_PATH" \
       --location="global"
   

   Ersetzen Sie Folgendes:

   • WORKFORCE_PROVIDER_ID: die ID des Workforce-anbieters, die Sie zuvor in dieser Anleitung erstellt haben.
   • WORKFORCE_POOL_ID: die ID des Workforce Identity-Pools, die Sie zuvor in dieser Anleitung erstellt haben.

   • ATTRIBUTE_MAPPING: eine Attributzuordnung; Beispiel:

     google.subject=assertion.subject,
     google.groups=assertion.attributes['https://example.com/aliases'],
     attribute.costcenter=assertion.attributes.costcenter[0]

     In diesem Beispiel werden die IdP-Attribute assertion.subject, assertion.attributes['https://example.com/aliases'] und assertion.attributes.costcenter[0] den Google Cloud-Attributen google.subject, google.groups bzw. google.costcenter zugeordnet.

   • ATTRIBUTE_CONDITION: eine optionale Attributbedingung. Wenn Sie beispielsweise das Attribut ipaddr auf einen bestimmten IP-Bereich beschränken möchten, können Sie die Bedingung assertion.attributes.ipaddr.startsWith('98.11.12.') festlegen. Durch diese Beispielbedingung wird gewährleistet, dass sich nur Nutzer mit einer IP-Adresse, die mit 98.11.12. beginnt, über diesen Workforce-anbieter anmelden können.

   • XML_METADATA_PATH: der Pfad zur Metadatendatei im XML-Format für die Okta-Anwendung, die Sie zuvor in dieser Anleitung erstellt haben.

   Das Präfix gcp- ist reserviert und kann nicht in einem Workforce Identity-Pool oder in der Anbieter-ID eines Workforce Identity-Pools verwendet werden.

   Optional: Verschlüsselte SAML-Assertions von Ihrem IdP akzeptieren

   So ermöglichen Sie Ihrem SAML 2.0-IdP, verschlüsselte SAML-Assertions zu erstellen, die von der Workforce Identity-Föderation akzeptiert werden:

   • Führen Sie in der Mitarbeiteridentitätsföderation folgende Schritte aus:
   • Erstellen Sie ein asymmetrisches Schlüsselpaar für den Anbieter des Workforce Identity-Pools.
   • Laden Sie eine Zertifikatsdatei herunter, die den öffentlichen Schlüssel enthält.
   • Konfigurieren Sie Ihren SAML-IdP so, dass er den öffentlichen Schlüssel zum Verschlüsseln von SAML-Assertions verwendet.
   • Gehen Sie bei Ihrem IdP so vor:
   • Aktivieren Sie die Assertion-Verschlüsselung, auch als Tokenverschlüsselung bezeichnet.
   • Laden Sie den öffentlichen Schlüssel hoch, den Sie in der Workforce Identity-Föderation erstellt haben.
   • Prüfen Sie, ob Ihr IdP verschlüsselte SAML-Assertions erstellt.
   Beachten Sie, dass die Workforce Identity-Föderation auch dann eine Klartext-Assertion verarbeiten kann, wenn SAML-Verschlüsselungsanbieterschlüssel konfiguriert sind.

   SAML-Assertion-Verschlüsselungsschlüssel für die Workforce Identity-Föderation erstellen

   In diesem Abschnitt wird beschrieben, wie Sie ein asymmetrisches Schlüsselpaar erstellen, mit dem die Workforce Identity-Föderation verschlüsselte SAML-Assertions akzeptieren kann.

   Google Cloud verwendet den privaten Schlüssel zum Entschlüsseln der SAML-Assertions, die Ihr IdP ausgibt. Führen Sie den folgenden Befehl aus, um ein asymmetrisches Schlüsselpaar für die Verwendung mit der SAML-Verschlüsselung zu erstellen. Weitere Informationen finden Sie unter Unterstützte SAML-Verschlüsselungsalgorithmen.

   gcloud iam workforce-pools providers keys create KEY_ID \
       --workforce-pool WORKFORCE_POOL_ID \
       --provider WORKFORCE_PROVIDER_ID \
       --location global \
       --use encryption \
       --spec KEY_SPECIFICATION

   Ersetzen Sie Folgendes:

   • KEY_ID: ein Schlüsselname Ihrer Wahl
   • WORKFORCE_POOL_ID: die Pool-ID
   • WORKFORCE_PROVIDER_ID: die ID des Anbieters des Mitarbeiteridentitätspools
   • KEY_SPECIFICATION: die Schlüsselspezifikation, entweder rsa-2048, rsa-3072 oder rsa-4096

   Führen Sie nach dem Erstellen des Schlüsselpaars den folgenden Befehl aus, um den öffentlichen Schlüssel in eine Zertifikatsdatei herunterzuladen. Nur die Workload Identity-Föderation hat Zugriff auf den privaten Schlüssel.

   gcloud iam workforce-pools providers keys describe KEY_ID \
       --workforce-pool WORKFORCE_POOL_ID \
       --provider WORKFORCE_PROVIDER_ID \
       --location global \
       --format "value(keyData.key)" \
       > CERTIFICATE_PATH

   Ersetzen Sie Folgendes:

   • KEY_ID: der Schlüsselname
   • WORKFORCE_POOL_ID: die Pool-ID
   • WORKFORCE_PROVIDER_ID: die ID des Anbieters des Mitarbeiteridentitätspools
   • CERTIFICATE_PATH: der Pfad, in den das Zertifikat geschrieben werden soll, z. B. saml-certificate.cer oder saml-certificate.pem

   SAML 2.0-konformen IdP für die Ausgabe verschlüsselter SAML-Assertions konfigurieren

   So konfigurieren Sie Okta zum Verschlüsseln von SAML-Assertions:

   • Rufen Sie das Okta-Dashboard auf und melden Sie sich an.
   • Rufen Sie Anwendungen > Anwendungen auf.
   • Klicken Sie auf Ihre App.
   • Klicken Sie auf dem Tab Allgemein im Bereich SAML-Einstellungen auf Bearbeiten.
   • Klicken Sie auf Weiter, um die SAML-Einstellungen aufzurufen.
   • Klicken Sie auf Erweiterte Einstellungen anzeigen.
   • Führen Sie in den SAML-Einstellungen folgende Schritte aus:
   • Wählen Sie entweder in Antwort (bevorzugt) oder in Assertion-Signatur die Option Signed aus.
   • Wählen Sie unter Signature-Algorithmus und Digest-Algorithmus eine beliebige Option aus.
   • Stellen Sie folgende Werte ein:
   • Assertion-Verschlüsselung: Verschlüsselt.
   • Verschlüsselungsalgorithmus: Beliebiger Algorithmus.
   • Verschlüsselungszertifikat: Laden Sie die Zertifikatsdatei hoch, die Sie zuvor in dieser Anleitung generiert haben.
   • Klicken Sie auf Weiter und dann auf Fertig stellen, um die Konfiguration zu speichern.

   Nachdem Sie Ihren IdP so konfiguriert haben, dass SAML-Assertions verschlüsselt werden, sollten Sie prüfen, ob die generierten Assertions tatsächlich verschlüsselt sind. Die Workforce Identity-Föderation kann weiterhin Klartext-Assertions verarbeiten, auch wenn die SAML-Assertion-Verschlüsselung konfiguriert ist.

   Verschlüsselungsschlüssel der Mitarbeiteridentitätsföderation löschen

   Führen Sie den folgenden Befehl aus, um SAML-Verschlüsselungsschlüssel zu löschen:

     gcloud iam workforce-pools providers keys delete KEY_ID \
         --workforce-pool WORKFORCE_POOL_ID \
         --provider WORKFORCE_PROVIDER_ID \
         --location global

   Ersetzen Sie Folgendes:

   • KEY_ID: der Schlüsselname
   • WORKFORCE_POOL_ID: die Pool-ID
   • WORKFORCE_PROVIDER_ID: die ID des Anbieters des Mitarbeiteridentitätspools

   Unterstützte SAML-Verschlüsselungsalgorithmen

   Die Workforce Identity-Föderation unterstützt die folgenden Schlüsseltransportalgorithmen:

   • http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p
   • http://www.w3.org/2009/xmlenc11#rsa-oaep"
   • http://www.w3.org/2001/04/xmlenc#rsa-1_5"

   Die Workforce Identity-Föderation unterstützt die folgenden Blockverschlüsselungsalgorithmen:

   • http://www.w3.org/2001/04/xmlenc#aes128-cbc
   • http://www.w3.org/2001/04/xmlenc#aes192-cbc
   • http://www.w3.org/2001/04/xmlenc#aes256-cbc
   • http://www.w3.org/2009/xmlenc11#aes128-gcm
   • http://www.w3.org/2009/xmlenc11#aes256-gcm

Für eine Identität

Führen Sie den folgenden Befehl aus, um einer einzelnen Identität für das Projekt TEST_PROJECT_ID die Rolle "Storage-Administrator" (roles/storage.admin) zuzuweisen:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/SUBJECT_VALUE"

Ersetzen Sie Folgendes:

• TEST_PROJECT_ID: ID des Projekts.
• WORKFORCE_POOL_ID: die ID des Workforce Identity-Pools
• SUBJECT_VALUE: die Nutzeridentität

Zugeordnetes Abteilungsattribut verwenden

Führen Sie folgenden Befehl aus, um allen Identitäten innerhalb einer bestimmten Abteilung für das Projekt TEST_PROJECT_ID die Rolle „Storage-Admin“ (roles/storage.admin) zuzuweisen:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.department/DEPARTMENT_VALUE"

Ersetzen Sie Folgendes:

• TEST_PROJECT_ID: ID des Projekts.
• WORKFORCE_POOL_ID: die ID des Workforce Identity-Pools
• DEPARTMENT_VALUE: der zugeordnete Wert attribute.department

Zugeordnete Gruppen verwenden

Führen Sie folgenden Befehl aus, um allen Identitäten innerhalb einer bestimmten Gruppe für das Projekt TEST_PROJECT_ID die Rolle "Storage-Admin" (roles/storage.admin) zuzuweisen:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

Ersetzen Sie Folgendes:

• TEST_PROJECT_ID: ID des Projekts.
• WORKFORCE_POOL_ID: die ID des Workforce Identity-Pools
• GROUP_ID: eine Gruppe im zugeordneten google.groups-Anspruch.

(Föderierte) Anmeldung bei der Console

So melden Sie sich in der Google Cloud Console für die Mitarbeiteridentitätsföderation an, die auch als Console (föderiert) bezeichnet wird:

1. Rufen Sie die (föderierte) Anmeldeseite der Konsole auf.

   Zur Konsole (föderiert)

2. Geben Sie den Namen des Anbieters ein. Er muss so formatiert sein:

   locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

1. Geben Sie bei Aufforderung die Anmeldedaten der Okta App-Einbindung ein.

Wenn Sie eine IdP-initiierte Anmeldung starten, verwenden Sie die folgende URL in den SAML-Einstellungen für den verschachtelten Standard-RelayState-Parameter: https://console.cloud.google/.

Browserbasierte Anmeldung bei der gcloud CLI

So melden Sie sich mit einem browserbasierten Anmeldevorgang in der gcloud CLI an:

Konfigurationsdatei erstellen

Mit dem folgenden Befehl erstellen Sie die Konfigurationsdatei für die Anmeldung. Optional können Sie die Datei mit dem Flag --activate als Standarddatei für die gcloud CLI aktivieren.

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_FILE

Ersetzen Sie Folgendes:

• WORKFORCE_POOL_ID: die ID des Workforce Identity-Pools
• WORKFORCE_PROVIDER_ID: die ID des Anbieters des Mitarbeiteridentitätspools
• LOGIN_CONFIG_FILE: ein Pfad zur von Ihnen angegebenen Anmeldekonfigurationsdatei, z. B. login.json

Die Datei enthält die Endpunkte, die von der gcloud CLI verwendet werden, um den browserbasierten Authentifizierungsvorgang zu aktivieren und die Zielgruppe auf den Identitätsanbieter festzulegen, der im Anbieter des Mitarbeiteridentitätspools konfiguriert wurde. Die Datei enthält keine vertraulichen Daten.

Die Ausgabe sieht dann ungefähr so aus:

{
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.google/authorize",
  "token_url": "https://sts.googleapis.com/v1/oauthtoken",
  "token_info_url": "https://sts.googleapis.com/v1/introspect",
}

Mit der browserbasierten Authentifizierung anmelden

Sie haben folgende Möglichkeiten, sich mit einer browserbasierten Anmeldung zu authentifizieren:

• Wenn Sie das Flag --activate beim Erstellen der Konfigurationsdatei verwendet oder die Konfigurationsdatei mit gcloud config set auth/login_config_file aktiviert haben, wird die Konfigurationsdatei automatisch von der gcloud CLI verwendet:

  gcloud auth login

• Mit dem folgenden Befehl melden Sie sich durch Angabe des Speicherorts der Konfigurationsdatei an:

  gcloud auth login --login-config=LOGIN_CONFIG_FILE

• Wenn Sie den Speicherort der Konfigurationsdatei mit einer Umgebungsvariable angeben möchten, legen Sie für CLOUDSDK_AUTH_LOGIN_CONFIG_FILE den Konfigurationspfad fest.

Browserbasierte Anmeldung deaktivieren

So beenden Sie die Verwendung der Konfigurationsdatei für die Anwendung:

• Wenn Sie das Flag --activate beim Erstellen der Konfigurationsdatei verwendet oder die Konfigurationsdatei mit gcloud config set auth/login_config_file aktiviert haben, müssen Sie den folgenden Befehl ausführen, um die Festlegung aufzuheben:

  gcloud config unset auth/login_config_file

• Löschen Sie die Umgebungsvariable CLOUDSDK_AUTH_LOGIN_CONFIG_FILE, falls sie festgelegt ist.

Monitorlose Anmeldung bei der gcloud CLI

So melden Sie sich mit einem monitorlosen Ablauf in der gcloud CLI an:

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "subject_token_type": "urn:ietf:params:oauth:token-type:id_token",
  "token_url": "https://sts.googleapis.com/v1/token",
  "workforce_pool_user_project": "WORKFORCE_POOL_USER_PROJECT",
  "credential_source": {
    "file": "PATH_TO_OIDC_CREDENTIALS_FILE"
  }
}

Führen Sie den folgenden Befehl aus, um sich mit Token-Austausch in gcloud anzumelden:

gcloud auth login --cred-file="config.json"

gcloud tauscht dann Ihre Okta-Anmeldedaten transparent gegen temporäre Google Cloud-Zugriffstokens aus, sodass Sie andere gcloud-Aufrufe an Google Cloud senden können.

Die Ausgabe sollte in etwa so aussehen:

Authenticated with external account user credentials for:
[principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/USER_ID].

Führen Sie folgenden Befehl aus, um die Konten mit Anmeldedaten und das aktuell aktive Konto aufzulisten:

gcloud auth list

Konsole (föderiert)

So listen Sie Cloud Storage-Buckets über die Konsole (föderiert) auf:

• Rufen Sie die Cloud Storage-Seite auf.
• Prüfen Sie, ob Sie die Liste der vorhandenen Buckets für den TEST_PROJECT_ID sehen

gcloud CLI

Führen Sie folgenden Befehl aus, um Cloud Storage-Buckets und -Objekte für das Projekt aufzulisten, auf das Sie Zugriff haben:

gcloud storage ls --project="TEST_PROJECT_ID"

Das Hauptkonto muss die Berechtigung serviceusage.services.use für das angegebene Projekt haben.