Configura la federazione delle identità della forza lavoro con Okta e fai accedere gli utenti

gcloud

Per creare il pool di identità della forza lavoro, esegui questo comando:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Sostituisci quanto segue:

• WORKFORCE_POOL_ID: un ID che scegli per rappresentare il tuo pool di forza lavoro Google Cloud . Per informazioni sulla formattazione dell'ID, consulta la sezione Parametri di query nella documentazione dell'API.
• ORGANIZATION_ID: l'ID numerico dell'organizzazione della tua Google Cloud organizzazione per il pool di identità forza lavoro. I pool di identità della forza lavoro sono disponibili in tutti i progetti e le cartelle dell'organizzazione.
• DISPLAY_NAME: (Facoltativo). Un nome visualizzato per il tuo pool di identità della forza lavoro.
• DESCRIPTION: (Facoltativo). Una descrizione del pool di identità della forza lavoro.
• SESSION_DURATION: (Facoltativo). La durata della sessione determina per quanto tempo sono validi i token di accesso Google Cloud , le sessioni di accesso alla console (federata) e le sessioni di accesso a gcloud CLI da questo pool di forza lavoro. Per impostazione predefinita, la durata della sessione è di un'ora (3600 secondi). Il valore della durata della sessione deve essere compreso tra 15 minuti (900 secondi) e 12 ore (43.200 secondi).

Console

Per creare il pool di identità della forza lavoro:

1. Nella console Google Cloud , vai alla pagina Pool di identità della forza lavoro:

   Vai a Pool di identità della forza lavoro

2. Seleziona l'organizzazione per il tuo pool di identità della forza lavoro. I pool di identità del personale sono disponibili in tutti i progetti e le cartelle di un'organizzazione.

3. Fai clic su Crea pool e segui questi passaggi:

   1. Nel campo Nome, inserisci il nome visualizzato del pool. L'ID pool viene derivato automaticamente dal nome durante la digitazione e viene visualizzato sotto il campo Nome. Puoi aggiornare l'ID pool facendo clic su Modifica accanto all'ID pool.

   2. (Facoltativo) In Descrizione, inserisci una descrizione del pool.

   3. Per creare il pool di identità della forza lavoro, fai clic su Avanti.

La durata della sessione del pool di identità della forza lavoro è impostata su un'ora (3600 secondi) per impostazione predefinita. La durata della sessione determina per quanto tempo sono validi i Google Cloud token di accesso, console (federata) e le sessioni di accesso gcloud CLI da questo pool di forza lavoro. Dopo aver creato il pool, puoi aggiornarlo per impostare una durata della sessione personalizzata. La durata della sessione deve essere compresa tra 15 minuti (900 secondi) e 12 ore (43.200 secondi).

OIDC

Per creare un'integrazione di app Okta che utilizza il protocollo OIDC, segui questi passaggi:

1. Accedi alla console di amministrazione di Okta.
2. Vai ad Applicazioni > Applicazioni.

3. Per iniziare a configurare l'integrazione dell'app:

   1. Fai clic su Crea integrazione app.
   2. In Metodo di accesso, seleziona OIDC - OpenID Connect.
   3. In Tipo di applicazione, seleziona un tipo di applicazione, ad esempio Applicazione web.
   4. Per creare l'app, fai clic su Avanti.
   5. In Nome integrazione app, inserisci un nome per l'app.
   6. Nella sezione Tipo di concessione, seleziona la casella di controllo Implicito (ibrido).

   7. Nella sezione URI di reindirizzamento per l'accesso, inserisci un URL di reindirizzamento nel campo di testo. I tuoi utenti vengono reindirizzati a questo URL dopo aver eseguito l'accesso. Se stai configurando l'accesso alla console (federata), utilizza il seguente formato URL:

      https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
      

      Sostituisci quanto segue:

      • WORKFORCE_POOL_ID: l'ID del pool di forza lavoro che hai creato in precedenza in questa guida.
      • WORKFORCE_PROVIDER_ID: un ID provider di identità forza lavoro a tua scelta, ad esempio okta-oidc-provider. Per informazioni sulla formattazione dell'ID, consulta la sezione Parametri di query nella documentazione dell'API.

   8. Seleziona la casella di controllo Salta assegnazione dei gruppi per ora.

   9. Per salvare l'integrazione dell'app, fai clic su Salva.

4. Assegnare un'integrazione app a un utente.

5. (Facoltativo) Per aggiungere attributi personalizzati per un profilo utente Okta, procedi nel seguente modo:

   1. In Tipo di dati, seleziona string.
   2. In Nome visualizzato, inserisci Department.
   3. In Nome variabile, inserisci department.
   4. Per salvare la mappatura, fai clic su Salva.

   Per saperne di più sull'aggiunta di attributi personalizzati, vedi Aggiungere attributi personalizzati a un profilo utente Okta.

6. (Facoltativo) Per creare mappature per gli attributi inviati nel token OIDC, in Directory, fai clic su Editor profili e procedi nel seguente modo:

   1. Trova l'applicazione OIDC che hai creato in precedenza in questa guida.
   2. Fai clic su Mappature.
   3. Seleziona la scheda Utente Okta ad app.
   4. Nella scheda Okta User User Profile (Profilo utente Okta), in una casella combinata disponibile, inserisci department. Okta completa automaticamente il campo con user.department.
   5. Per salvare le mappature, fai clic su Salva mappature. Per maggiori dettagli, consulta Aggiungere la mappatura degli attributi.

   Per saperne di più sui mapping, consulta Mappare gli attributi Okta agli attributi dell'app nell'editor di profili.

7. (Facoltativo) Per configurare un'attestazione dei gruppi:

   1. Se utilizzi un server di autorizzazione dell'organizzazione:

      1. Vai ad Applicazioni > Applicazioni
      2. Seleziona l'applicazione client OpenID Connect che hai creato in precedenza in questa sezione.
      3. Vai alla scheda Sign On.
      4. Nella sezione OpenID Connect ID Token (Token ID OpenID Connect), fai clic su Edit (Modifica).
      5. Nella sezione Tipo di rivendicazione dei gruppi, puoi selezionare una delle seguenti opzioni:
         • Seleziona Espressione.
         • Seleziona Corrisponde all'espressione regolare e inserisci .*.
      6. Per salvare la rivendicazione dei gruppi, fai clic su Salva.

      7. Se vuoi che gli utenti accedano utilizzando la console (federata) o il flusso di accesso basato sul browser di gcloud CLI, procedi nel seguente modo quando crei il provider del pool di identità per la forza lavoro, più avanti in questo documento:

         1. Assicurati di utilizzare le istruzioni di gcloud CLI in modo da poter utilizzare il flag --web-sso-additional-scopes.

         2. Quando crei il provider di pool di identità per la forza lavoro, trasmetti groups come ambito aggiuntivo in --web-sso-additional-scopes. In questo modo, durante l'accesso viene richiesta l'attestazione dei gruppi da Okta.

   2. Se utilizzi un server di autorizzazione personalizzato:

      1. Nella Console di amministrazione, dal menu Sicurezza, seleziona API.
      2. Seleziona il server di autorizzazione personalizzato che vuoi configurare.
      3. Vai alla scheda Rivendicazioni e fai clic su Aggiungi rivendicazione.
      4. Inserisci un nome per la richiesta. Per questo esempio, chiamalo groups.
      5. Nella richiesta, in Includi nel tipo di token, seleziona Token ID e Sempre.
      6. Seleziona Gruppi come Tipo di valore.
      7. Nella casella del menu a discesa Filtro, seleziona Corrisponde all'espressione regolare e poi inserisci la seguente espressione come valore: .*
      8. Fai clic su Crea.

Per maggiori dettagli sulle rivendicazioni di gruppo, consulta Aggiungere una rivendicazione di gruppo.

SAML

Per creare un'integrazione di app Okta che utilizza il protocollo SAML, segui questi passaggi:

1. Accedi alla console di amministrazione di Okta.
2. Vai ad Applicazioni > Applicazioni.
3. Fai clic su Crea integrazione app.
4. In Metodo di accesso, seleziona SAML 2.0 e fai clic su Avanti.
5. Inserisci un nome per l'app e fai clic su Avanti per procedere con le opzioni di Configurazione SAML.

6. In Single Sign On URL (URL Single Sign-On), inserisci un URL di reindirizzamento. Si tratta dell'URL a cui vengono reindirizzati gli utenti dopo aver eseguito l'accesso. Se stai configurando l'accesso alla console, utilizza il seguente formato URL.

   https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

7. Inserisci l'URI Audience (SP Entity ID). L'ID è formattato nel seguente modo:

   https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

   Sostituisci quanto segue:

   • WORKFORCE_POOL_ID: l'ID del pool di identità forza lavoro che hai creato in precedenza in questa guida
   • WORKFORCE_PROVIDER_ID: un ID provider di identità forza lavoro a tua scelta; ad esempio: okta-saml-provider

   Per informazioni sulla formattazione dell'ID, consulta la sezione Parametri di query nella documentazione dell'API.

8. (Facoltativo) Utilizza le istruzioni degli attributi per specificare eventuali attributi personalizzati che vuoi inviare nell'asserzione SAML. Dopo la configurazione, questi attributi possono essere utilizzati in Google Cloud per creare criteri di gestione dell'accesso o nell'attribute_condition; ad esempio, in questa guida mappi il reparto nel seguente modo:

   Nome	Valore
   department	user.department

   (Facoltativo) Per aggiungere l'attributo gruppi, utilizzato più avanti in questa guida, consulta Come trasmettere l'iscrizione a gruppi di un utente in un'asserzione SAML.

9. Completa la creazione dell'integrazione dell'app Okta.

gcloud

Per creare un provider di pool di identità della forza lavoro per l'integrazione dell'app Okta, utilizzando il protocollo SAML, segui questi passaggi:

1. Per salvare i metadati SAML per l'app Okta:

   1. Vai all'app Okta.
   2. Fai clic sulla scheda Accedi.
   3. Nella sezione Certificati di firma SAML, fai clic su Azioni > Visualizza metadati IdP per il certificato attivo.
   4. Nella nuova pagina visualizzata, copia i metadati XML.
   5. Salva i metadati come file XML locale.

2. Per creare un provider di forza lavoro per la tua app Okta, esegui questo comando:

   gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
       --workforce-pool="WORKFORCE_POOL_ID" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --idp-metadata-path="XML_METADATA_PATH" \
       --detailed-audit-logging \
       --location="global"
   

   Sostituisci quanto segue:

   • WORKFORCE_PROVIDER_ID: l'ID fornitore di forza lavoro che hai creato in precedenza in questa guida.
   • WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro che hai creato in precedenza in questa guida.

   • ATTRIBUTE_MAPPING: una mappatura degli attributi, ad esempio:

     google.subject=assertion.subject,
     google.groups=assertion.attributes['https://example.com/aliases'],
     attribute.costcenter=assertion.attributes.costcenter[0]

     Questo esempio mappa gli attributi IdP assertion.subject, assertion.attributes['https://example.com/aliases'] e assertion.attributes.costcenter[0] agli attributi Google Cloud google.subject, google.groups e google.costcenter, rispettivamente.

   • ATTRIBUTE_CONDITION: una condizione dell'attributo facoltativa. Ad esempio, per limitare l'attributo ipaddr a un determinato intervallo IP, puoi impostare la condizione assertion.attributes.ipaddr.startsWith('98.11.12.'). Questa condizione di esempio garantisce che solo gli utenti con un indirizzo IP che inizia con 98.11.12. possano accedere utilizzando questo provider di forza lavoro.

   • XML_METADATA_PATH: il percorso del file di metadati in formato XML per l'app Okta che hai creato in precedenza in questa guida.

   Il prefisso gcp- è riservato e non può essere utilizzato in un ID pool di identità per la forza lavoro o provider di pool di identità per la forza lavoro.

   • La federazione delle identità per la forza lavoro audit logging dettagliato registra le informazioni ricevute dal tuo IdP in Logging. L'audit logging dettagliato può aiutarti a risolvere i problemi di configurazione del provider del pool di identità della forza lavoro. Per scoprire come risolvere i problemi relativi agli errori di mappatura degli attributi con la registrazione dettagliata degli audit log, consulta Errori generali di mappatura degli attributi. Per informazioni sui prezzi di Logging, consulta la pagina Prezzi di Google Cloud Observability.

     Per disattivare la registrazione di controllo dettagliata per un provider di pool di identità per la forza lavoro, ometti il flag --detailed-audit-logging quando esegui gcloud iam workforce-pools providers create. Per disattivare il logging di controllo dettagliato, puoi anche aggiornare il fornitore.

   (Facoltativo) Accetta le asserzioni SAML criptate dal tuo IdP

   Per consentire al tuo IdP SAML 2.0 di produrre asserzioni SAML criptate che possono essere accettate dalla federazione delle identità per la forza lavoro, procedi nel seguente modo:

   • Nella federazione delle identità per la forza lavoro, procedi nel seguente modo:
   • Crea una coppia di chiavi asimmetriche per il provider del pool di identità per la forza lavoro.
   • Scarica un file di certificato contenente la chiave pubblica.
   • Configura l'IdP SAML in modo che utilizzi la chiave pubblica per criptare le asserzioni SAML che emette.
   • Nel tuo IdP:
   • Attiva la crittografia delle asserzioni, nota anche come crittografia dei token.
   • Carica la chiave pubblica che hai creato nella federazione delle identità per la forza lavoro.
   • Conferma che il tuo IdP produce asserzioni SAML criptate.
   Tieni presente che, anche con le chiavi del provider di crittografia SAML configurate, la federazione delle identità della forza lavoro può comunque elaborare un'asserzione in testo non crittografato.

   Crea chiavi di crittografia dell'asserzione SAML della federazione delle identità per la forza lavoro

   Questa sezione ti guida nella creazione di una coppia di chiavi asimmetriche che consente alla federazione delle identità della forza lavoro di accettare asserzioni SAML criptate.

   Google Cloud utilizza la chiave privata per decriptare le asserzioni SAML emesse dal tuo IdP. Per creare una coppia di chiavi asimmetriche da utilizzare con la crittografia SAML, esegui il seguente comando. Per saperne di più, consulta Algoritmi di crittografia SAML supportati.

   gcloud iam workforce-pools providers keys create KEY_ID \
       --workforce-pool WORKFORCE_POOL_ID \
       --provider WORKFORCE_PROVIDER_ID \
       --location global \
       --use encryption \
       --spec KEY_SPECIFICATION

   Sostituisci quanto segue:

   • KEY_ID: un nome della chiave a tua scelta
   • WORKFORCE_POOL_ID: l'ID pool
   • WORKFORCE_PROVIDER_ID: l'ID del provider del pool di identità della forza lavoro
   • KEY_SPECIFICATION: la specifica della chiave, che può essere rsa-2048, rsa-3072 e rsa-4096.

   Dopo aver creato la coppia di chiavi, esegui il seguente comando per scaricare la chiave pubblica in un file di certificato. Solo la federazione delle identità per la forza lavoro ha accesso alla chiave privata.

   gcloud iam workforce-pools providers keys describe KEY_ID \
       --workforce-pool WORKFORCE_POOL_ID \
       --provider WORKFORCE_PROVIDER_ID \
       --location global \
       --format "value(keyData.key)" \
       > CERTIFICATE_PATH

   Sostituisci quanto segue:

   • KEY_ID: il nome della chiave
   • WORKFORCE_POOL_ID: l'ID pool
   • WORKFORCE_PROVIDER_ID: l'ID del provider del pool di identità della forza lavoro
   • CERTIFICATE_PATH: il percorso in cui scrivere il certificato, ad esempio saml-certificate.cer o saml-certificate.pem

   Configurare l'IdP conforme a SAML 2.0 per emettere asserzioni SAML criptate

   Per configurare Okta in modo da criptare le asserzioni SAML:

   • Vai alla dashboard di Okta e accedi.
   • Vai ad Applicazioni>Applicazioni.
   • Fai clic sulla tua app.
   • Nella scheda Generale, nella sezione Impostazioni SAML, fai clic su Modifica.
   • Fai clic su Avanti per visualizzare le impostazioni SAML.
   • Fai clic su Mostra impostazioni avanzate.
   • In SAML Settings (Impostazioni SAML), fai quanto segue:
   • In Risposta (opzione preferita) o Firma dell'asserzione, seleziona Signed.
   • In Algoritmo di firma e Algoritmo di digest, seleziona un'opzione qualsiasi.
   • Imposta i seguenti valori:
   • Crittografia delle asserzioni:criptata.
   • Algoritmo di crittografia:qualsiasi algoritmo tu scelga.
   • Encryption Certificate (Certificato di crittografia): carica il file del certificato che hai generato in precedenza in questa guida.
   • Per salvare la configurazione, fai clic su Avanti e poi su Fine.

   Dopo aver configurato l'IdP per criptare le asserzioni SAML, ti consigliamo di verificare che le asserzioni generate siano effettivamente criptate. Anche con la crittografia delle asserzioni SAML configurata, la federazione delle identità per la forza lavoro può comunque elaborare le asserzioni in testo normale.

   Elimina le chiavi di crittografia della federazione delle identità per la forza lavoro

   Per eliminare le chiavi di crittografia SAML, esegui questo comando:

     gcloud iam workforce-pools providers keys delete KEY_ID \
         --workforce-pool WORKFORCE_POOL_ID \
         --provider WORKFORCE_PROVIDER_ID \
         --location global

   Sostituisci quanto segue:

   • KEY_ID: il nome della chiave
   • WORKFORCE_POOL_ID: l'ID pool
   • WORKFORCE_PROVIDER_ID: l'ID del provider del pool di identità della forza lavoro

   Algoritmi di crittografia SAML supportati

   La federazione delle identità per la forza lavoro supporta i seguenti algoritmi di trasporto delle chiavi:

   • http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p
   • http://www.w3.org/2009/xmlenc11#rsa-oaep"
   • http://www.w3.org/2001/04/xmlenc#rsa-1_5"

   La federazione delle identità per la forza lavoro supporta i seguenti algoritmi di crittografia a blocchi:

   • http://www.w3.org/2001/04/xmlenc#aes128-cbc
   • http://www.w3.org/2001/04/xmlenc#aes192-cbc
   • http://www.w3.org/2001/04/xmlenc#aes256-cbc
   • http://www.w3.org/2009/xmlenc11#aes128-gcm
   • http://www.w3.org/2009/xmlenc11#aes256-gcm

Console

Per configurare il provider SAML utilizzando la console Google Cloud , procedi nel seguente modo:

1. Nella console Google Cloud , vai alla pagina Pool di identità della forza lavoro:

   Vai a Pool di identità della forza lavoro

2. Nella tabella Pool di identità della forza lavoro, seleziona il pool per cui vuoi creare il provider.

3. Nella tabella Provider, fai clic su Aggiungi provider.

4. In Seleziona un protocollo, seleziona SAML.

5. In Crea un provider di pool, segui questi passaggi:

   1. In Nome, inserisci un nome per il provider.

   2. (Facoltativo) In Descrizione, inserisci una descrizione del fornitore.

   3. In IDP metadata file (XML) (File di metadati IDP (XML)), seleziona il file XML di metadati che hai generato in precedenza in questa guida.

   4. Assicurati che l'opzione Provider abilitato sia attivata.

   5. Fai clic su Continua.

6. In Configura provider:

   1. In Mappatura degli attributi, inserisci un'espressione CEL per google.subject.

   2. (Facoltativo) Per inserire altre mappature, fai clic su Aggiungi mappatura e inserisci altre mappature, ad esempio:

      google.subject=assertion.subject,
      google.groups=assertion.attributes['https://example.com/aliases'],
      attribute.costcenter=assertion.attributes.costcenter[0]

      Questo esempio mappa gli attributi IdP assertion.subject, assertion.attributes['https://example.com/aliases'] e assertion.attributes.costcenter[0] agli attributi Google Cloud google.subject, google.groups e google.costcenter, rispettivamente.

   3. (Facoltativo) Per aggiungere una condizione per attributo, fai clic su Aggiungi condizione e inserisci un'espressione CEL che rappresenti una condizione per attributo. Ad esempio, per limitare l'attributo ipaddr a un determinato intervallo IP, puoi impostare la condizione assertion.attributes.ipaddr.startsWith('98.11.12.'). Questa condizione di esempio garantisce che solo gli utenti con un indirizzo IP che inizia con 98.11.12. possano accedere utilizzando questo provider di forza lavoro.

   4. Fai clic su Continua.

   5. Per attivare il logging di audit dettagliato, in Logging dettagliato, fai clic sul pulsante di attivazione/disattivazione Abilita il logging dettagliato dei valori degli attributi.

      La federazione delle identità per la forza lavoro audit logging dettagliato registra le informazioni ricevute dal tuo IdP in Logging. L'audit logging dettagliato può aiutarti a risolvere i problemi di configurazione del provider del pool di identità della forza lavoro. Per scoprire come risolvere i problemi relativi agli errori di mappatura degli attributi con la registrazione di controllo dettagliata, vedi Errori generali di mappatura degli attributi. Per informazioni sui prezzi di Logging, consulta la pagina Prezzi di Google Cloud Observability.

      Per disattivare la registrazione di controllo dettagliata per un provider di pool di identità per la forza lavoro, ometti il flag --detailed-audit-logging quando esegui gcloud iam workforce-pools providers create. Per disattivare il logging di controllo dettagliato, puoi anche aggiornare il fornitore.

7. Per creare il fornitore, fai clic su Invia.

Per una singola identità

Per concedere il ruolo Amministratore Storage (roles/storage.admin) a una singola identità per il progetto TEST_PROJECT_ID, esegui questo comando:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/SUBJECT_VALUE"

Sostituisci quanto segue:

• TEST_PROJECT_ID: ID del progetto
• WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro
• SUBJECT_VALUE: l'identità utente

Utilizzo dell'attributo reparto mappato

Per concedere il ruolo Amministratore Storage (roles/storage.admin) a tutte le identità all'interno di un reparto specifico per il progetto TEST_PROJECT_ID, esegui questo comando:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.department/DEPARTMENT_VALUE"

Sostituisci quanto segue:

• TEST_PROJECT_ID: ID del progetto
• WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro
• DEPARTMENT_VALUE: il valore attribute.department mappato

Utilizzo dei gruppi mappati

Per concedere il ruolo Amministratore Storage (roles/storage.admin) a tutte le identità all'interno di un gruppo specifico per il progetto TEST_PROJECT_ID, esegui questo comando:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

Sostituisci quanto segue:

• TEST_PROJECT_ID: ID del progetto
• WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro
• GROUP_ID: un gruppo nella rivendicazione google.groups mappata.

Accesso basato sul browser gcloud CLI

Per accedere a gcloud CLI utilizzando un flusso di accesso basato sul browser, segui questi passaggi:

Creare un file di configurazione

Per creare il file di configurazione di accesso, esegui questo comando. Se vuoi, puoi attivare il file come predefinito per gcloud CLI aggiungendo il flag --activate. Puoi quindi eseguire gcloud auth login senza specificare il percorso del file di configurazione ogni volta.

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/PROVIDER_ID \
    --output-file=LOGIN_CONFIG_FILE_PATH

Sostituisci quanto segue:

• WORKFORCE_POOL_ID: l'ID pool di forza lavoro
• PROVIDER_ID: l'ID fornitore
• LOGIN_CONFIG_FILE_PATH: il percorso di un file di configurazione specificato, ad esempio login.json

Il file contiene gli endpoint utilizzati da gcloud CLI per attivare il flusso di autenticazione basato sul browser e impostare il pubblico sul provider del pool di identità della forza lavoro configurato. Il file non contiene informazioni riservate.

L'output è simile al seguente:

{
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.google/authorize",
  "token_url": "https://sts.googleapis.com/v1/oauthtoken",
  "token_info_url": "https://googleapis.com/v1/introspect",
}

Accedere utilizzando l'autenticazione basata sul browser

Per eseguire l'autenticazione utilizzando l'autenticazione basata sull'accesso al browser, puoi utilizzare uno dei seguenti metodi:

• Se hai utilizzato il flag --activate quando hai creato il file di configurazione o se hai attivato il file di configurazione con gcloud config set auth/login_config_file, gcloud CLI utilizza automaticamente il file di configurazione:

  gcloud auth login

• Per accedere specificando la posizione del file di configurazione, esegui il seguente comando:

  gcloud auth login --login-config=LOGIN_CONFIG_FILE_PATH

• Per utilizzare una variabile di ambiente per specificare la posizione del file di configurazione, imposta CLOUDSDK_AUTH_LOGIN_CONFIG_FILE sul percorso di configurazione.

Disattivare l'accesso basato sul browser

Per interrompere l'utilizzo del file di configurazione dell'accesso:

• Se hai utilizzato il flag --activate quando hai creato il file di configurazione o se hai attivato il file di configurazione con gcloud config set auth/login_config_file, devi eseguire il seguente comando per annullarne l'impostazione:

  gcloud config unset auth/login_config_file

• Cancella la variabile di ambiente CLOUDSDK_AUTH_LOGIN_CONFIG_FILE, se è impostata.

Accesso headless gcloud CLI

Per accedere a gcloud CLI utilizzando un flusso headless, procedi nel seguente modo:

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "subject_token_type": "urn:ietf:params:oauth:token-type:id_token",
  "token_url": "https://sts.googleapis.com/v1/token",
  "workforce_pool_user_project": "WORKFORCE_POOL_USER_PROJECT",
  "credential_source": {
    "file": "PATH_TO_OIDC_CREDENTIALS_FILE"
  }
}

Per accedere a gcloud utilizzando lo scambio di token, esegui questo comando:

gcloud auth login --cred-file="config.json"

gcloud scambia poi in modo trasparente le tue credenziali Okta con token di accesso temporaneiGoogle Cloud , consentendoti di effettuare altre chiamate gcloud a Google Cloud.

Vedi un output simile al seguente:

Authenticated with external account user credentials for:
[principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/USER_ID].

Per elencare gli account con credenziali e l'account attualmente attivo, esegui questo comando:

gcloud auth list

Accesso alla console (federata)

Per accedere alla console Google Cloud federata delle identità della forza lavoro, procedi nel seguente modo:

1. Vai alla pagina di accesso (federato) della console.

   Vai alla console (federata)

2. Inserisci il nome del fornitore, formattato come segue:

   locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

1. Se richiesto, inserisci le credenziali utente nell'integrazione dell'app Okta.

Se avvii un accesso avviato dall'IdP, utilizza il seguente URL in Impostazioni SAML per il parametro nidificato Default RelayState: https://console.cloud.google/.

Interfaccia a riga di comando gcloud

Per elencare i bucket e gli oggetti Cloud Storage per il progetto a cui hai accesso, esegui questo comando:

gcloud storage ls --project="TEST_PROJECT_ID"

L'entità deve disporre dell'autorizzazione serviceusage.services.use per il progetto specificato.

Console (federata)

Per elencare i bucket Cloud Storage utilizzando la console (federata), segui questi passaggi:

• Vai alla pagina Cloud Storage.
• Verifica di poter visualizzare l'elenco dei bucket esistenti per TEST_PROJECT_ID