Workload Identity-Föderation mit Active Directory konfigurieren

OIDC

Damit Arbeitslasten OIDC verwenden können, benötigen Sie zwei Anwendungsregistrierungen in AD FS:

• Eine Anwendungsregistrierung vom Typ native Anwendung oder Serveranwendung.

• Eine Anwendungsregistrierung vom Typ Web API, die einem Anbieter von Workload Identity-Pool in Google Cloud entspricht.

Clientanwendung registrieren

Erstellen Sie eine Clientanwendung, die die Arbeitslast darstellt. Wenn Sie mehrere Arbeitslasten haben, die Zugriff auf Google Cloud benötigen, müssen Sie möglicherweise mehrere Clientanwendungen erstellen.

So registrieren Sie eine Clientanwendung in AD FS:

1. Öffnen Sie das AD FS MMC-Snap-in und gehen Sie zu Anwendungsgruppen.
2. Klicken Sie auf Anwendungsgruppe hinzufügen.

3. Führen Sie auf der Seite Willkommen folgende Schritte aus:

   1. Geben Sie in das Textfeld einen Namen für den Client ein.
   2. Wählen Sie Serveranwendung aus.
   3. Klicken Sie auf Weiter.

4. Führen Sie auf der Seite Serveranwendung die folgenden Schritte aus:

   1. Geben Sie im Textfeld text-field eine Client-ID und einen Weiterleitungs-URI ein.

      Wenn Sie nur den Berechtigungstyp client_credentials verwenden möchten, wird der Weiterleitungs-URI nicht verwendet und Sie können einen URI wie http://localhost/ verwenden.

   2. Klicken Sie auf Weiter.

5. Führen Sie auf der Seite Anmeldedaten konfigurieren die folgenden Schritte aus:

   1. Wählen Sie aus, wie sich der Client authentifizieren soll. Wenn Sie IWA verwenden möchten, setzen Sie die Integrierte Windows-Authentifizierung auf aktiviert.
   2. Wählen Sie den Domainnutzer aus, für den Ihre Anwendung konfiguriert ist.
   3. Klicken Sie auf Weiter.

6. Prüfen Sie auf der Seite Zusammenfassung die Einstellungen und klicken Sie auf Weiter.

7. Klicken Sie auf Schließen, um das Dialogfeld zu schließen.

Web API-Anwendung für den Workload Identity-Pool erstellen

Erstellen Sie eine weitere Anwendungsregistrierung vom Typ Web API. Diese Anwendung entspricht dem Anbieter eines Workload Identity-Pools. Sie richten damit eine Vertrauensstellung zu Google Cloud ein.

So erstellen Sie die Anwendung in AD FS:

1. Öffnen Sie das AD FS MMC-Snap-in und gehen Sie zu Anwendungsgruppen.
2. Klicken Sie auf Anwendungsgruppe hinzufügen.
3. Geben Sie auf der Begrüßungsseite einen Namen wie Workload Identity Federation (test environment) ein und wählen Sie Web API aus. Klicken Sie anschließend auf Weiter.

4. Geben Sie auf der Seite Web API konfigurieren eine Kennung der vertrauenden Seite für die Web API ein.

   Anstatt eine benutzerdefinierte Kennung der vertrauenden Seite zu definieren, können Sie den folgenden URI als Kennung der vertrauenden Seite verwenden:

   https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/WORKLOAD_POOL_ID/providers/PROVIDER_ID
   

   Ersetzen Sie Folgendes:

   • PROJECT_NUMBER: Projektnummer des Google Cloud-Projekts, mit dem Sie einen Workload Identity-Pool erstellen.
   • WORKLOAD_POOL_ID: ID Ihrer Wahl, die den Workload Identity-Pool identifiziert. Sie müssen dieselbe ID verwenden, wenn Sie später den Workload Identity-Pool erstellen.
   • PROVIDER_ID: ID Ihrer Wahl, die den Anbieter des Workload Identity-Pools identifiziert. Sie müssen dieselbe ID verwenden, wenn Sie den Anbieter des Workload Identity-Pools später erstellen.

   Durch diese Formatierung des URI wird sichergestellt, dass die Kennung der vertrauenden Seite einen Workload Identity-Poolanbieter eindeutig identifiziert.

   Sie benötigen die Kennung der vertrauenden Seite später, wenn Sie den Anbieter des Workload Identity-Pools konfigurieren.

5. Klicken Sie auf Weiter.

6. Wählen Sie auf der Seite Zugriffssteuerungsrichtlinie anwenden eine entsprechende Zugriffsrichtlinie aus und klicken Sie dann auf Weiter.

7. Fügen Sie auf der Seite Anwendungsberechtigungen konfigurieren die zuvor erstellte Clientanwendung hinzu. Klicken Sie anschließend auf Weiter.

8. Prüfen Sie auf der Seite Zusammenfassung die Einstellungen und klicken Sie auf Weiter.

9. Klicken Sie auf Schließen, um das Dialogfeld zu schließen.

SAML oder WS-Trust

Erstellen Sie eine Vertrauensstellung der vertrauenden Seite in AD FS:

1. Öffnen Sie das AD FS-MMC-Snap-in.
2. Rufen Sie Vertrauensstellungen der vertrauenden Seite auf.
3. Klicken Sie auf Vertrauensstellung der vertrauenden Seite hinzufügen.
4. Führen Sie auf der Seite Willkommen des Assistenten Vertrauensstellung der vertrauenden Seite hinzufügen die folgenden Schritte aus:
   1. Wählen Sie Ansprüche unterstützend aus.
   2. Klicken Sie auf Start.
5. Führen Sie auf der Seite Datenquelle auswählen die folgenden Schritte aus:
   1. Wählen Sie Daten über die vertrauende Seite manuell eingeben aus.
   2. Klicken Sie auf Weiter.

6. Führen Sie auf der Seite Anzeigename angeben die folgenden Schritte aus:

   1. Geben Sie einen Namen für die Vertrauensstellung ein.
   2. Klicken Sie auf Weiter.

7. Klicken Sie auf der Seite Zertifikat konfigurieren auf Weiter. Die Workload Identity-Föderation unterstützt zwar verschlüsselte SAML-Assertions, diese werden in dieser Anleitung jedoch nicht beschrieben. Weitere Informationen finden Sie in der Anleitung für die gcloud CLI unter Workload Identity-Pool und -Anbieter erstellen weiter unten in dieser Anleitung.

8. Führen Sie auf der Seite URL konfigurieren folgende Schritte aus:

   SAML

   Verwenden Sie die folgenden Einstellungen:

   • Setzen Sie Unterstützung für das SAML 2.0-WebSSO-Protokoll aktivieren auf Aktiviert.

   • Geben Sie im Feld URL des SAML 2.0-Diensts für einmaliges Anmelden der vertrauenden Seite die folgende URL ein:

     https://sts.googleapis.com/v1/token
     

   WS-Trust

   Behalten Sie die Standardeinstellungen bei.

9. Klicken Sie auf Weiter.

10. Geben Sie auf der Seite IDs konfigurieren die ID einer vertrauenden Seite ein.

    Anstatt eine benutzerdefinierte Kennung der vertrauenden Seite zu definieren, können Sie den folgenden URI als Kennung der vertrauenden Seite verwenden:

    https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/WORKLOAD_POOL_ID/providers/PROVIDER_ID
    

    Ersetzen Sie Folgendes:

    • PROJECT_NUMBER: Projektnummer des Google Cloud-Projekts, mit dem Sie einen Workload Identity-Pool erstellen.
    • WORKLOAD_POOL_ID: ID Ihrer Wahl, die den Workload Identity-Pool identifiziert. Sie müssen dieselbe ID verwenden, wenn Sie später den Workload Identity-Pool erstellen.
    • PROVIDER_ID: ID Ihrer Wahl, die den Anbieter des Workload Identity-Pools identifiziert. Sie müssen dieselbe ID verwenden, wenn Sie später den Anbieter des Workload Identity-Pools erstellen.

    Durch diese Formatierung des URI wird sichergestellt, dass die Kennung der vertrauenden Seite einen Workload Identity-Poolanbieter eindeutig identifiziert.

    Sie benötigen die Kennung der vertrauenden Seite später, wenn Sie den Anbieter des Workload Identity-Pools konfigurieren.

11. Klicken Sie auf Weiter.

12. Wählen Sie auf der Seite Zugriffssteuerungsrichtlinie auswählen die entsprechende Zugriffssteuerungsrichtlinie aus und klicken Sie auf Weiter.

13. Prüfen Sie auf der Seite Bereit zum Hinzufügen der Vertrauensstellung die Einstellungen und klicken Sie auf Weiter.

14. Klicken Sie auf der Seite Fertigstellen auf Schließen, um das Dialogfeld zu schließen.

Um mit der Workload Identity-Föderation kompatibel zu sein, müssen SAML-Assertions mindestens einen Anspruch enthalten, der den Active Directory-Nutzer eindeutig identifiziert. In der Regel verwenden Sie zu diesem Zweck die Anforderung Name-ID, die dem Wert des Elements NameID in der SAML-Assertion entspricht.

Zum Anpassen der Anforderungen der SAML-Assertion müssen Sie die Richtlinie zum Ausstellen der Vertrauensstellung der vertrauenden Seite bearbeiten. So bearbeiten Sie die Richtlinie für die Anspruchsausstellung:

1. Wählen Sie in der Liste der Vertrauensstellungen der vertrauenden Seite die soeben erstellte Vertrauensstellung aus und klicken Sie auf Richtlinie für Anspruchsausstellung bearbeiten.
2. Klicken Sie auf Regel hinzufügen.
3. Führen Sie auf der Seite Regeltyp auswählen des Assistenten zum Hinzufügen einer Transformationsanspruchsregel die folgenden Schritte aus:
   1. Wählen Sie Eingehenden Anspruch transformieren aus.
   2. Klicken Sie auf Weiter.

4. Konfigurieren Sie auf der Seite Anspruchsregel konfigurieren die folgenden Einstellungen:

   • Name der Anspruchsregel: Name Identifier.
   • Typ des eingehenden Anspruchs: Wählen Sie Primäre SID, UPN oder einen anderen Anspruch aus, um das Thema eindeutig zu identifizieren.
   • Typ des ausgehenden Anspruchs: Namen-ID.
   • Format der ausgehenden Namen-ID: Nicht angegeben.

5. Wählen Sie Alle Anspruchswerte übergeben aus und klicken Sie auf Fertigstellen.

6. Konfigurieren Sie optional zusätzliche Regeln, um weitere Attribute in die SAML-Assertions aufzunehmen.

7. Klicken Sie auf OK, um das Dialogfeld für die Anspruchsausstellungsrichtlinie zu schließen.

OIDC

Ihre Attributzuordnungen können die in AD FS-Zugriffstokens eingebetteten Anforderungen als Quellattribute verwenden.

Sie können die folgende Attributzuordnung verwenden, um eine Anwendung zu authentifizieren:

google.subject=assertion.appid

Durch diese Zuordnung wird google.subject auf den Wert der Anforderung appid gesetzt, die die Client-ID der AD FS-Anwendung enthält.

SAML oder WS-Trust

Für Ihre Attributzuordnungen können die in der von AD FS ausgegebenen Assertion verwendet werden. Dies wird weiter oben in diesem Leitfaden beschrieben.

Verwenden Sie die folgende Zuordnung, damit die Workload Identity-Föderation den Anspruch Namen-ID aus der SAML-Assertion verwenden kann, um den Nutzer eindeutig zu identifizieren:

google.subject=assertion.subject

Wenn Sie Ihre Anspruchsausstellungsrichtlinie so konfiguriert haben, dass zusätzliche Ansprüche in SAML-Assertions eingeschlossen werden, können Sie zusätzliche Zuordnungen hinzufügen. Beispiel:

google.groups=assertion.attributes['http://schemas.microsoft.com/ws/2008/06/identity/claims/groupsid']
attribute.userip=['http://schemas.microsoft.com/2014/09/requestcontext/claims/userip'][0]

OIDC

Mit einer Attributbedingung können Sie einschränken, welche Clients die Workload Identity-Föderation verwenden können, um kurzlebige Google Cloud-Tokens abzurufen.

Beispiel: Die folgende Bedingung definiert, dass Anwendungen IWA zur Authentifizierung bei AD FS verwenden müssen:

assertion.authmethod=='http://schemas.microsoft.com/ws/2008/06/identity/authenticationmethod/windows'

Definieren Sie keine Attributbedingungen, um die Liste der Anwendungen zu steuern, die kurzlebige Anmeldedaten für Google Cloud abrufen können. Verwenden Sie stattdessen Clientberechtigungen in AD FS, um zu definieren, welche Anwendungen zulässig sind.

SAML oder WS-Trust

Mit einer Attributbedingung können Sie einschränken, welche Active Directory-Nutzer die Workload Identity-Föderation verwenden können, um kurzlebige Google Cloud-Tokens abzurufen.

Die folgende Bedingung lässt beispielsweise nur SAML-Assertions zu, die einen bestimmten Anspruch der Gruppenmitgliedschaft enthalten:

"S-1-5-6" in google.groups

Console

1. Rufen Sie in der Google Cloud Console die Seite Neuer Arbeitslastanbieter und -Pool auf.

   Zum neuen Arbeitslastanbieter und -anbieterpool

2. Geben Sie unter Identity-Pool erstellen Folgendes ein:

   • Name: ist der Name für den Pool. Der Name wird auch als Pool-ID verwendet. Sie können die Pool-ID später nicht ändern.
   • Beschreibung: Text, der den Zweck des Pools beschreibt.

3. Klicken Sie auf Weiter.

4. Anbietereinstellungen konfigurieren:

   OIDC

   • Anbieter auswählen: OpenID Connect (OIDC).
   • Providername: der Name des Anbieters. Der Name wird auch als Anbieter-ID verwendet. Sie können die Anbieter-ID später nicht mehr ändern.
   • Aussteller-URL: https://ADFS_DOMAIN/adfs, wobei ADFS_DOMAIN der Name der öffentlichen Domain des AD FS-Servers oder der Farm ist.

   SAML

   Wenn Sie die Workload Identity-Föderation über einen SAML 2.0-kompatiblen Identitätsanbieter konfigurieren möchten, können Sie die Anleitung für die gcloud CLI verwenden.

5. Klicken Sie auf Weiter.

6. Fügen Sie unter Anbieterattribute konfigurieren die zuvor identifizierten Attributzuordnungen hinzu.

7. Geben Sie unter Attributbedingungen die zuvor identifizierte Attributbedingung ein. Lassen Sie das Feld leer, wenn Sie keine Attributbedingung haben.

8. Klicken Sie auf Speichern, um den Workload Identity-Pool und -Poolanbieter zu erstellen.

gcloud

1. Erstellen Sie einen neuen Workload Identity-Pool:

   gcloud iam workload-identity-pools create WORKLOAD_POOL_ID \
       --location="global" \
       --description="DESCRIPTION" \
       --display-name="DISPLAY_NAME"
   

   Ersetzen Sie Folgendes:

   • WORKLOAD_POOL_ID: Eindeutige ID für den Pool.
   • DISPLAY_NAME: Name des Pools.
   • DESCRIPTION: Beschreibung des Pools. Diese Beschreibung wird angezeigt, wenn Zugriff auf Poolidentitäten gewährt wird.

2. Fügen Sie einen Workload Identity-Poolanbieter hinzu:

   OIDC

   gcloud iam workload-identity-pools providers create-oidc PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="WORKLOAD_POOL_ID" \
       --issuer-uri="https://ADFS_DOMAIN/adfs" \
       --allowed-audiences="RELYING_PARTY_ID" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
   

   Ersetzen Sie Folgendes:

   • PROVIDER_ID: eine eindeutige ID für den Anbieter.
   • WORKLOAD_POOL_ID: die ID des Pools.
   • ADFS_DOMAIN: der öffentliche Domainname des AD FS-Servers oder der Farm.
   • RELYING_PARTY_ID: die Kennung der vertrauenden Partei der Web API-Anwendung für den Workload Identity-Pool in AD FS. Sie benötigen diesen Parameter nur, wenn Sie eine benutzerdefinierte Kennung der vertrauenswürdigen Partei verwenden.
   • MAPPINGS: durch Kommas getrennte Liste von Attributzuordnungen, die Sie zuvor identifiziert haben.
   • CONDITIONS: Zuvor identifizierte Attributbedingung. Entfernen Sie den Parameter, wenn keine Attributbedingung vorliegt.

   Das Präfix gcp- ist reserviert und kann nicht in einem Pool oder einer Anbieter-ID verwendet werden.

   SAML oder WS-Trust

   curl -O https://ADFS_DOMAIN/federationmetadata/2007-06/federationmetadata.xml
   
   gcloud iam workload-identity-pools providers create-saml PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="POOL_ID" \
       --idp-metadata-path="federationmetadata.xml" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
   

   Ersetzen Sie Folgendes:

   • PROVIDER_ID: eine eindeutige ID für den Anbieter.
   • ADFS_DOMAIN: der Domainname Ihres AD FS-Servers oder Ihrer Serverfarm.
   • WORKLOAD_POOL_ID: die ID des Pools.
   • MAPPINGS: durch Kommas getrennte Liste von Attributzuordnungen, die Sie zuvor identifiziert haben.
   • CONDITIONS (optional): die Attributbedingung, die Sie zuvor in dieser Anleitung erstellt haben.

   Das Präfix gcp- ist reserviert und kann nicht in einem Pool oder einer Anbieter-ID verwendet werden.

   Beispiel:

   gcloud iam workload-identity-pools providers create-saml example-provider \
       --location="global" \
       --workload-identity-pool="pool-1" \
       --idp-metadata-path="federationmetadata.xml" \
       --attribute-mapping=google.subject=assertion.subject"
   

   Optional: Verschlüsselte SAML-Assertions von Ihrem IdP akzeptieren

   So ermöglichen Sie Ihrem SAML 2.0-IdP, verschlüsselte SAML-Assertions zu erstellen, die von der Workload Identity-Föderation akzeptiert werden:

   • Führen Sie in der Identitätsföderation von Arbeitslasten folgende Schritte aus:
   • Erstellen Sie ein asymmetrisches Schlüsselpaar für den Anbieter des Workload Identity-Pools.
   • Laden Sie eine Zertifikatsdatei herunter, die den öffentlichen Schlüssel enthält.
   • Konfigurieren Sie Ihren SAML-IdP so, dass er den öffentlichen Schlüssel zum Verschlüsseln von SAML-Assertions verwendet.
   • Gehen Sie bei Ihrem IdP so vor:
   • Aktivieren Sie die Assertion-Verschlüsselung, auch als Tokenverschlüsselung bezeichnet.
   • Laden Sie den öffentlichen Schlüssel hoch, den Sie in der Workload Identity-Föderation erstellt haben.
   • Prüfen Sie, ob Ihr IdP verschlüsselte SAML-Assertions erstellt.

   Beachten Sie, dass die Workload Identity-Föderation auch dann eine Klartext-Assertion verarbeiten kann, wenn SAML-Verschlüsselungsanbieterschlüssel konfiguriert sind.

   SAML-Assertion-Verschlüsselungsschlüssel für die Workload Identity-Föderation erstellen

   In diesem Abschnitt wird beschrieben, wie Sie ein asymmetrisches Schlüsselpaar erstellen, mit dem die Workload Identity-Föderation verschlüsselte SAML-Assertions akzeptieren kann.

   Google Cloud verwendet den privaten Schlüssel zum Entschlüsseln der SAML-Assertions, die Ihr IdP ausgibt. Führen Sie den folgenden Befehl aus, um ein asymmetrisches Schlüsselpaar für die Verwendung mit der SAML-Verschlüsselung zu erstellen. Weitere Informationen finden Sie unter Unterstützte SAML-Verschlüsselungsalgorithmen.

   gcloud iam workload-identity-pools providers keys create KEY_ID \
       --workload-identity-pool WORKLOAD_POOL_ID \
       --provider PROVIDER_ID \
       --location global \
       --use encryption \
       --spec KEY_SPECIFICATION

   Ersetzen Sie Folgendes:

   • KEY_ID: ein Schlüsselname Ihrer Wahl
   • WORKLOAD_POOL_ID: die Pool-ID
   • PROVIDER_ID: die Anbieter-ID
   • KEY_SPECIFICATION: die Schlüsselspezifikation, entweder rsa-2048, rsa-3072 oder rsa-4096

   Führen Sie nach dem Erstellen des Schlüsselpaars den folgenden Befehl aus, um den öffentlichen Schlüssel in eine Zertifikatsdatei herunterzuladen. Nur die Workload Identity-Föderation hat Zugriff auf den privaten Schlüssel.

   gcloud iam workload-identity-pools providers keys describe KEY_ID \
       --workload-identity-pool WORKLOAD_POOL_ID \
       --provider PROVIDER_ID \
       --location global \
       --format "value(keyData.key)" \
       > CERTIFICATE_PATH

   Ersetzen Sie Folgendes:

   • KEY_ID: der Schlüsselname
   • WORKLOAD_POOL_ID: die Pool-ID
   • PROVIDER_ID: die Anbieter-ID
   • CERTIFICATE_PATH: der Pfad, in den das Zertifikat geschrieben werden soll, z. B. saml-certificate.cer oder saml-certificate.pem

   SAML 2.0-konformen IdP für die Ausgabe verschlüsselter SAML-Assertions konfigurieren

   1. Verschieben Sie die Zertifikatsdatei auf Ihren AD FS-Server.
   2. Klicken Sie auf Ihrem AD FS-Server mit der rechten Maustaste auf die Schaltfläche Starten (oder drücken Sie Win + X) und klicken Sie auf Windows PowerShell (Administrator).
   3. Führen Sie in PowerShell den folgenden Befehl aus, um die Verschlüsselung zu aktivieren:

              Set-AdfsRelyingPartyTrust `
              -TargetName NAME `
              -SamlResponseSignature MessageAndAssertion `
              -EncryptionCertificate PATH `
              -EncryptClaims $True
          

      Ersetzen Sie Folgendes:

      • NAME: der Name der Vertrauensstellung der vertrauenden Seite
      • PATH: Pfad zur Zertifikatsdatei

   WS-Trust-Nutzer: Diese Funktion ist nur verfügbar, wenn Sie SAML verwenden.

   Nachdem Sie Ihren IdP so konfiguriert haben, dass SAML-Assertions verschlüsselt werden, sollten Sie prüfen, ob die generierten Assertions tatsächlich verschlüsselt sind. Die Workload Identity-Föderation kann weiterhin Klartext-Assertions verarbeiten, auch wenn die SAML-Assertion-Verschlüsselung konfiguriert ist.

   Verschlüsselungsschlüssel der Workload Identity-Föderation löschen

   Führen Sie den folgenden Befehl aus, um SAML-Verschlüsselungsschlüssel zu löschen:

     gcloud iam workload-identity-pools providers keys delete KEY_ID \
         --workload-identity-pool WORKLOAD_POOL_ID \
         --provider PROVIDER_ID \
         --location global

   Ersetzen Sie Folgendes:

   • KEY_ID: der Schlüsselname
   • WORKLOAD_POOL_ID: die Pool-ID
   • PROVIDER_ID: die Anbieter-ID

   Unterstützte SAML-Verschlüsselungsalgorithmen

   Die Workforce Identity-Föderation unterstützt die folgenden Schlüsseltransportalgorithmen:

   • http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p
   • http://www.w3.org/2009/xmlenc11#rsa-oaep"
   • http://www.w3.org/2001/04/xmlenc#rsa-1_5"

   Die Workload Identity-Föderation unterstützt die folgenden Blockverschlüsselungsalgorithmen:

   • http://www.w3.org/2001/04/xmlenc#aes128-cbc
   • http://www.w3.org/2001/04/xmlenc#aes192-cbc
   • http://www.w3.org/2001/04/xmlenc#aes256-cbc
   • http://www.w3.org/2009/xmlenc11#aes128-gcm
   • http://www.w3.org/2009/xmlenc11#aes256-gcm

OIDC

Diese Funktion ist nur verfügbar, wenn Sie SAML verwenden.

SAML oder WS-Trust

1. Erstellen Sie einen Verschlüsselungsschlüssel für den Anbieter des Workload Identity-Pools:

   gcloud iam workload-identity-pools providers keys create rsa2048 \
       --workload-identity-pool=POOL_ID \
       --provider=PROVIDER_ID \
       --location=global \
       --use=ENCRYPTION \
       --spec=RSA_2048
   

   Ersetzen Sie Folgendes:

   • PROVIDER_ID: ID des Anbieters.
   • POOL_ID: die ID des Pools.

   Das Schlüsselpaar wird von der Workload Identity-Föderation gespeichert und verwaltet. Sie können den öffentlichen Schlüssel exportieren, aber nur die Workload Identity-Föderation kann auf den privaten Schlüssel zugreifen.

2. Exportieren Sie ein Zertifikat, das den öffentlichen Schlüssel enthält:

   gcloud iam workload-identity-pools providers keys describe rsa2048 \
       --workload-identity-pool=POOL_ID \
       --provider=PROVIDER_ID \
       --location=global \
       --format="value(keyData.key)" > workload-identity-federation.cer
   

3. Verschieben Sie die Zertifikatsdatei auf Ihren AD FS-Server.

4. Klicken Sie auf Ihrem AD FS-Server mit der rechten Maustaste auf Start und dann auf Windows PowerShell (Administrator).

5. Ändern Sie in PowerShell die Vertrauensstellung der vertrauenden Seite so, dass sie Verschlüsselung verwendet:

   Set-AdfsRelyingPartyTrust `
     -TargetName NAME `
     -SamlResponseSignature MessageAndAssertion `
     -EncryptionCertificate PATH `
     -EncryptClaims $True
   

   Ersetzen Sie Folgendes:

   • NAME: der Name der Vertrauensstellung der vertrauenden Seite
   • PATH: Pfad zur Zertifikatsdatei

Direkter Ressourcenzugriff

Sie können einer föderierten Identität mithilfe der Google Cloud Console oder der gcloud CLI direkt Zugriff auf Ressourcen gewähren.

Identitätsübertragung für ein Dienstkonto

1. So erstellen Sie ein Dienstkonto für die externe Arbeitslast:

   1. Enable the IAM, Security Token Service, and Service Account Credentials APIs.

      Enable the APIs

   2. Erstellen Sie ein Dienstkonto, das die Arbeitslast darstellt. Wir empfehlen, für jede Arbeitslast ein dediziertes Dienstkonto zu verwenden. Das Dienstkonto muss sich nicht im selben Projekt wie der Workload Identity-Pool befinden. Sie müssen sich aber auf das Projekt beziehen, das das Dienstkonto enthält.

   3. Gewähren Sie dem Dienstkonto Zugriff auf Ressourcen, auf die externe Identitäten zugreifen können sollen.

   4. Weisen Sie dem Dienstkonto die Nutzerrolle "Workload Identity" (roles/iam.workloadIdentityUser) zu.

2. So gewähren Sie Zugriff auf eine föderierte Identität mithilfe der Identitätsübernahme des Dienstkontos über die Google Cloud Console oder die gcloud CLI:

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE"