Configurare la federazione delle identità per i carichi di lavoro con Active Directory

OIDC

Per consentire ai workload di utilizzare OIDC, devi disporre di due registrazioni di applicazioni in AD FS:

• Una registrazione dell'applicazione di tipo applicazione nativa o applicazione server.

• Una registrazione dell'applicazione di tipo API web che corrisponde a un provider del pool di identità del workload su Google Cloud.

Registrazione dell'applicazione client

Crea un'applicazione client che rappresenti il workload. Se hai più carichi di lavoro che devono accedere a Google Cloud, potrebbe essere necessario creare più applicazioni client.

Per registrare un'applicazione client in AD FS:

1. Apri lo snap-in MMC di AD FS e vai a Gruppi di applicazioni.
2. Fai clic su Aggiungi gruppo di applicazioni.

3. Nella pagina Benvenuto:

   1. Nel campo di testo, inserisci un nome per il cliente.
   2. Seleziona Applicazione server.
   3. Fai clic su Avanti.

4. Nella pagina Applicazione server:

   1. Nel campo di testo text-field, inserisci un identificatore client (ID client) e un URI di reindirizzamento.

      Se prevedi di utilizzare solo il tipo di autorizzazione client_credentials, l'URI di reindirizzamento non verrà utilizzato e potrai utilizzare un URI come http://localhost/.

   2. Fai clic su Avanti.

5. Nella pagina Configura le credenziali dell'applicazione, procedi nel seguente modo:

   1. Scegli la modalità di autenticazione del client. Per utilizzare IWA, imposta Autenticazione integrata di Windows su attivata.
   2. Seleziona l'utente del dominio per cui è configurata la tua applicazione.
   3. Fai clic su Avanti.

6. Nella pagina Riepilogo, rivedi le impostazioni e fai clic su Avanti.

7. Fai clic su Chiudi per chiudere la finestra di dialogo.

Creazione di un'applicazione API web per il pool di identità del workload

Crea un'altra registrazione dell'applicazione di tipo API web. Questa applicazione corrisponde a un fornitore di pool di identità del workload e la utilizzi per configurare una relazione di attendibilità con Google Cloud.

Per creare l'applicazione in AD FS:

1. Apri lo snap-in MMC di AD FS e vai a Gruppi di applicazioni.
2. Fai clic su Aggiungi gruppo di applicazioni.
3. Nella pagina di benvenuto, inserisci un nome come Workload Identity Federation (test environment) e seleziona API web. Quindi, fai clic su Avanti.

4. Nella pagina Configura API web, inserisci un identificatore di relying party per l'API web.

   Invece di definire un identificatore di relying party personalizzato, puoi utilizzare il seguente URI come identificatore di relying party:

   https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/WORKLOAD_POOL_ID/providers/WORKLOAD_PROVIDER_ID
   

   Sostituisci quanto segue:

   • PROJECT_NUMBER: il numero di progetto del progetto Google Cloud che utilizzi per creare il pool di identità del workload.
   • WORKLOAD_POOL_ID: un ID a tua scelta che identifica il pool di identità del workload. Devi utilizzare lo stesso ID quando crei il pool di identità del workload in un secondo momento.
   • WORKLOAD_PROVIDER_ID: un ID a tua scelta che identifica il fornitore del pool di identità del workload. Devi utilizzare lo stesso ID quando crei il provider del pool di identità del workload in un secondo momento.

   La formattazione dell'URI in questo modo garantisce che l'identificatore della relying party identifichi in modo univoco un fornitore del pool di identità del workload.

   Avrai bisogno dell'identificatore della relying party in un secondo momento, quando configurerai il provider del pool di identità del workload.

5. Fai clic su Avanti.

6. Nella pagina Applica controllo dell'accesso dell'accesso, seleziona un criterio di accesso appropriato, quindi fai clic su Avanti.

7. Nella pagina Configura autorizzazioni applicazione, aggiungi l'applicazione client che hai creato in precedenza. Quindi, fai clic su Avanti.

8. Nella pagina Riepilogo, rivedi le impostazioni e fai clic su Avanti.

9. Fai clic su Chiudi per chiudere la finestra di dialogo.

SAML o WS-Trust

Crea un'attendibilità componente in AD FS:

1. Apri lo snap-in MMC di AD FS.
2. Vai a Affidati a componente attendibile.
3. Fai clic su Aggiungi attendibilità componente.
4. Nella pagina Benvenuto della procedura guidata Aggiungi attendibilità componente, segui questi passaggi:
   1. Seleziona Rivendicazioni consapevoli.
   2. Fai clic su Avvia.
5. Nella pagina Seleziona origine dati:
   1. Seleziona Inserisci manualmente i dati sul componente.
   2. Fai clic su Avanti.

6. Nella pagina Specifica nome visualizzato:

   1. Inserisci un nome per l'attendibilità.
   2. Fai clic su Avanti.

7. Nella pagina Configura certificato, fai clic su Avanti. Sebbene la federazione delle identità dei carichi di lavoro supporti SAML criptato, non è descritta in questa procedura. Per saperne di più, consulta le istruzioni di gcloud CLI in Creare il pool di identità e il fornitore, più avanti in questa guida.

8. Nella pagina Configura URL, procedi nel seguente modo:

   SAML

   Utilizza le seguenti impostazioni:

   • Imposta Enable support for the SAML 2.0 WebSSO protocol (Attiva il supporto del protocollo WebSSO SAML 2.0) su enabled (attivato).

   • Nel campo Relying party SAML 2.0 SSO service URL (URL del servizio SSO SAML 2.0 della relying party), inserisci il seguente URL:

     https://sts.googleapis.com/v1/token
     

   WS-Trust

   Mantieni le impostazioni predefinite

9. Fai clic su Avanti.

10. Nella pagina Configura identificatori, inserisci un identificatore di relying party.

    Anziché definire un identificatore RP personalizzato, puoi utilizzare il seguente URI come identificatore RP:

    https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/WORKLOAD_POOL_ID/providers/WORKLOAD_PROVIDER_ID
    

    Sostituisci quanto segue:

    • PROJECT_NUMBER: il numero di progetto del progetto Google Cloud che utilizzi per creare il pool di identità del workload.
    • WORKLOAD_POOL_ID: un ID a tua scelta che identifica il pool di identità del workload. Devi utilizzare lo stesso ID quando crei il pool di identità del workload in un secondo momento.
    • WORKLOAD_PROVIDER_ID: un ID a tua scelta che identifica il fornitore del pool di identità del workload. Devi utilizzare lo stesso ID quando crei il provider del pool di identità del workload in un secondo momento.

    La formattazione dell'URI in questo modo garantisce che l'identificatore della relying party identifichi in modo univoco un fornitore del pool di identità del workload.

    Avrai bisogno dell'identificatore della relying party in un secondo momento, quando configurerai il provider del pool di identità del workload.

11. Fai clic su Avanti.

12. Nella pagina Scegli il controllo dell'accesso dell'accesso, seleziona un criterio di controllo dell'accesso appropriato, quindi fai clic su Avanti.

13. Nella pagina Pronto per aggiungere la relazione di trust, rivedi le impostazioni e fai clic su Avanti.

14. Nella pagina Fine, fai clic su Chiudi per chiudere la finestra di dialogo.

Per essere compatibili con la federazione delle identità dei carichi di lavoro, le asserzioni SAML devono contenere almeno un claim che identifichi in modo univoco l'utente Active Directory. In genere, a questo scopo viene utilizzata l'attestazione ID nome, che corrisponde al valore dell'elemento NameID nell'asserzione SAML.

Per personalizzare l'insieme di attestazioni dell'asserzione SAML, devi modificare la policy di emissione delle attestazioni del trust della relying party. Per modificare la policy di emissione delle rivendicazioni:

1. Nell'elenco delle relazioni di trust del relying party, seleziona la relazione di trust che hai appena creato e fai clic su Modifica criteri di emissione delle attestazioni.
2. Fai clic su Aggiungi regola.
3. Nella pagina Scegli tipo di regola della procedura guidata Aggiungi regola di trasformazione dell'attestazione, svolgi le seguenti operazioni:
   1. Seleziona Trasforma una rivendicazione in arrivo.
   2. Fai clic su Avanti.

4. Nella pagina Configura regola di rivendicazione, configura le seguenti impostazioni:

   • Nome della regola per le rivendicazioni: Name Identifier.
   • Tipo di attestazione in entrata: seleziona SID principale, UPN o un'altra attestazione per identificare in modo univoco il soggetto.
   • Tipo di attestazione in uscita: ID nome.
   • Formato ID nome in uscita: Non specificato.

5. Seleziona Pass through all claim values (Trasmetti tutti i valori delle rivendicazioni) e fai clic su Fine.

6. (Facoltativo) Configura regole aggiuntive per includere altri attributi nelle asserzioni SAML.

7. Fai clic su Ok per chiudere la finestra di dialogo relativa alle norme di emissione delle rivendicazioni.

OIDC

Le mappature degli attributi possono utilizzare le rivendicazioni incorporate nei token di accesso AD FS come attributi di origine.

Per autenticare un'applicazione, puoi utilizzare la seguente mappatura degli attributi:

google.subject=assertion.appid

Questo mapping imposta google.subject sul valore dell'attestazione appid, che contiene l'ID client dell'applicazione AD FS.

SAML o WS-Trust

I mapping degli attributi possono utilizzare le attestazioni incorporate nell'asserzione emessa da AD FS, come descritto in precedenza in questa guida.

Utilizza il seguente mapping per consentire alla federazione delle identità per i carichi di lavoro di utilizzare l'attestazione ID nome dell'asserzione SAML per identificare in modo univoco l'utente:

google.subject=assertion.subject

Se hai configurato i criteri di emissione delle rivendicazioni in modo da includere rivendicazioni aggiuntive nelle asserzioni SAML, puoi aggiungere mappature aggiuntive. Ad esempio:

google.groups=assertion.attributes['http://schemas.microsoft.com/ws/2008/06/identity/claims/groupsid']
attribute.userip=['http://schemas.microsoft.com/2014/09/requestcontext/claims/userip'][0]

OIDC

Puoi utilizzare una condizione dell'attributo per limitare i client che possono utilizzare la federazione di Workload Identity per ottenere token Google Cloud di breve durata.

Ad esempio, la seguente condizione definisce che le applicazioni devono utilizzare IWA per l'autenticazione in AD FS:

assertion.authmethod=='http://schemas.microsoft.com/ws/2008/06/identity/authenticationmethod/windows'

Per controllare l'elenco delle applicazioni che possono ottenere credenziali di breve durata per Google Cloud, non definire condizioni degli attributi. Utilizza invece le autorizzazioni client in AD FS per definire le applicazioni consentite.

SAML o WS-Trust

Puoi utilizzare una condizione dell'attributo per limitare gli utenti di Active Directory che possono utilizzare la federazione di identità del workload per ottenere token Google Cloud di breve durata.

Ad esempio, la seguente condizione consente solo le asserzioni SAML che includono una determinata rivendicazione di appartenenza a un gruppo:

"S-1-5-6" in google.groups

Console

1. Nella console Google Cloud , vai alla pagina Nuovo provider e pool di workload.

   Vai a Nuovo provider e pool di workload

2. In Crea un pool di identità, inserisci quanto segue:

   • Nome: il nome del pool. Il nome viene utilizzato anche come ID pool. Non potrai modificare l'ID pool in un secondo momento.
   • Descrizione: testo che descrive lo scopo del pool.

3. Fai clic su Continua.

4. Configura le impostazioni del fornitore:

   OIDC

   • Seleziona un provider: OpenID Connect (OIDC).
   • Nome fornitore: il nome del fornitore. Il nome viene utilizzato anche come ID fornitore. Non potrai modificare l'ID fornitore in un secondo momento.
   • URL emittente: https://ADFS_DOMAIN/adfs dove ADFS_DOMAIN è il nome di dominio pubblico del server o della server farm AD FS.

   SAML

   Per configurare la federazione delle identità del workload da un IdP compatibile con SAML 2.0, puoi utilizzare le istruzioni gcloud CLI.

5. Fai clic su Continua.

6. In Configura attributi del provider, aggiungi le mappature degli attributi che hai identificato in precedenza.

7. In Condizioni degli attributi, inserisci la condizione dell'attributo che hai identificato in precedenza. Lascia il campo vuoto se non hai una condizione dell'attributo.

8. Fai clic su Salva per creare il fornitore e il pool di identità del workload.

gcloud

1. Crea un nuovo pool di identità del workload:

   gcloud iam workload-identity-pools create WORKLOAD_POOL_ID \
       --location="global" \
       --description="DESCRIPTION" \
       --display-name="DISPLAY_NAME"
   

   Sostituisci quanto segue:

   • WORKLOAD_POOL_ID: ID univoco del pool.
   • DISPLAY_NAME: il nome del pool.
   • DESCRIPTION: Descrizione del pool. Questa descrizione viene visualizzata quando si concede l'accesso alle identità dei pool.

2. Aggiungi un provider di pool di identità del workload:

   OIDC

   gcloud iam workload-identity-pools providers create-oidc WORKLOAD_PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="WORKLOAD_POOL_ID" \
       --issuer-uri="https://ADFS_DOMAIN/adfs" \
       --allowed-audiences="RELYING_PARTY_ID" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
   

   Sostituisci quanto segue:

   • WORKLOAD_PROVIDER_ID: un ID univoco per il fornitore.
   • WORKLOAD_POOL_ID: l'ID del pool.
   • ADFS_DOMAIN: il nome di dominio pubblico del server o della farm AD FS.
   • RELYING_PARTY_ID: l'identificatore della relying party dell'applicazione API web per il pool di identità del workload in AD FS. Questo parametro è necessario solo se utilizzi un identificatore della relying party personalizzato.
   • MAPPINGS: elenco separato da virgole di mappature degli attributi che hai identificato in precedenza.
   • CONDITIONS: condizione dell'attributo che hai identificato in precedenza. Rimuovi il parametro se non hai una condizione dell'attributo.

   Il prefisso gcp- è riservato e non può essere utilizzato in un ID pool di identità per la forza lavoro o provider di pool di identità per la forza lavoro.

   SAML o WS-Trust

   curl -O https://ADFS_DOMAIN/federationmetadata/2007-06/federationmetadata.xml
   
   gcloud iam workload-identity-pools providers create-saml WORKLOAD_PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="POOL_ID" \
       --idp-metadata-path="federationmetadata.xml" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
   

   Sostituisci quanto segue:

   • WORKLOAD_PROVIDER_ID: un ID univoco per il provider.
   • ADFS_DOMAIN: il nome di dominio del server o della server farm AD FS.
   • WORKLOAD_POOL_ID: l'ID del pool.
   • MAPPINGS: un elenco separato da virgole di mappature degli attributi che hai identificato in precedenza.
   • CONDITIONS: (facoltativo) la condizione dell'attributo che hai creato in precedenza in questa guida.

   Il prefisso gcp- è riservato e non può essere utilizzato in un ID pool di identità per la forza lavoro o provider di pool di identità per la forza lavoro.

   Esempio:

   gcloud iam workload-identity-pools providers create-saml example-provider \
       --location="global" \
       --workload-identity-pool="pool-1" \
       --idp-metadata-path="federationmetadata.xml" \
       --attribute-mapping=google.subject=assertion.subject"
   

   (Facoltativo) Accetta le asserzioni SAML criptate dal tuo IdP

   Per consentire al tuo IdP SAML 2.0 di produrre asserzioni SAML criptate che possono essere accettate dalla federazione delle identità per i carichi di lavoro, procedi nel seguente modo:

   • Nella federazione delle identità per i carichi di lavoro, procedi nel seguente modo:
   • Crea una coppia di chiavi asimmetriche per il provider del pool di identità del workload.
   • Scarica un file di certificato contenente la chiave pubblica.
   • Configura l'IdP SAML in modo che utilizzi la chiave pubblica per criptare le asserzioni SAML che emette.
   • Nel tuo IdP:
   • Attiva la crittografia delle asserzioni, nota anche come crittografia dei token.
   • Carica la chiave pubblica che hai creato nella federazione delle identità per i carichi di lavoro.
   • Conferma che il tuo IdP produce asserzioni SAML criptate.

   Tieni presente che, anche con le chiavi del fornitore di crittografia SAML configurate, la federazione delle identità per i carichi di lavoro può comunque elaborare un'asserzione in testo non crittografato.

   Crea chiavi di crittografia delle asserzioni SAML per la federazione delle identità per i workload

   Questa sezione ti guida nella creazione di una coppia di chiavi asimmetriche che consente alla federazione delle identità per i carichi di lavoro di accettare asserzioni SAML criptate.

   Google Cloud utilizza la chiave privata per decriptare le asserzioni SAML emesse dal tuo IdP. Per creare una coppia di chiavi asimmetriche da utilizzare con la crittografia SAML, esegui il seguente comando. Per saperne di più, consulta Algoritmi di crittografia SAML supportati.

   gcloud iam workload-identity-pools providers keys create KEY_ID \
       --workload-identity-pool WORKLOAD_POOL_ID \
       --provider WORKLOAD_PROVIDER_ID \
       --location global \
       --use encryption \
       --spec KEY_SPECIFICATION

   Sostituisci quanto segue:

   • KEY_ID: un nome della chiave a tua scelta
   • WORKLOAD_POOL_ID: l'ID pool
   • WORKLOAD_PROVIDER_ID: l'ID del provider del pool di identità della forza lavoro
   • KEY_SPECIFICATION: la specifica della chiave, che può essere rsa-2048, rsa-3072 e rsa-4096.

   Dopo aver creato la coppia di chiavi, esegui il seguente comando per scaricare la chiave pubblica in un file di certificato. Solo la federazione delle identità per i carichi di lavoro ha accesso alla chiave privata.

   gcloud iam workload-identity-pools providers keys describe KEY_ID \
       --workload-identity-pool WORKLOAD_POOL_ID \
       --provider WORKLOAD_PROVIDER_ID \
       --location global \
       --format "value(keyData.key)" \
       > CERTIFICATE_PATH

   Sostituisci quanto segue:

   • KEY_ID: il nome della chiave
   • WORKLOAD_POOL_ID: l'ID pool
   • WORKLOAD_PROVIDER_ID: l'ID del provider del pool di identità della forza lavoro
   • CERTIFICATE_PATH: il percorso in cui scrivere il certificato, ad esempio saml-certificate.cer o saml-certificate.pem

   Configurare l'IdP conforme a SAML 2.0 per emettere asserzioni SAML criptate

   1. Sposta il file del certificato sul server AD FS.
   2. Sul server AD FS, fai clic con il tasto destro del mouse sul pulsante Start (o premi Win+X) e poi su Windows PowerShell (Amministratore).
   3. In PowerShell, esegui il comando seguente per abilitare la crittografia:

              Set-AdfsRelyingPartyTrust `
              -TargetName NAME `
              -SamlResponseSignature MessageAndAssertion `
              -EncryptionCertificate PATH `
              -EncryptClaims $True
          

      Sostituisci quanto segue:

      • NAME: il nome dell'attendibilità della relying party
      • PATH: il percorso del file del certificato

   Utenti WS-Trust: questa funzionalità è disponibile solo quando utilizzi SAML.

   Dopo aver configurato l'IdP per criptare le asserzioni SAML, ti consigliamo di verificare che le asserzioni generate siano effettivamente criptate. Anche con la crittografia delle asserzioni SAML configurata, la federazione delle identità per i workload può comunque elaborare le asserzioni in testo normale.

   Elimina le chiavi di crittografia della federazione delle identità per i workload

   Per eliminare le chiavi di crittografia SAML, esegui questo comando:

     gcloud iam workload-identity-pools providers keys delete KEY_ID \
         --workload-identity-pool WORKLOAD_POOL_ID \
         --provider WORKLOAD_PROVIDER_ID \
         --location global

   Sostituisci quanto segue:

   • KEY_ID: il nome della chiave
   • WORKLOAD_POOL_ID: l'ID pool
   • WORKLOAD_PROVIDER_ID: l'ID del provider del pool di identità della forza lavoro

   Algoritmi di crittografia SAML supportati

   La federazione delle identità per i carichi di lavoro supporta i seguenti algoritmi di trasporto delle chiavi:

   • http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p
   • http://www.w3.org/2009/xmlenc11#rsa-oaep"
   • http://www.w3.org/2001/04/xmlenc#rsa-1_5"

   La federazione delle identità per i carichi di lavoro supporta i seguenti algoritmi di crittografia a blocchi:

   • http://www.w3.org/2001/04/xmlenc#aes128-cbc
   • http://www.w3.org/2001/04/xmlenc#aes192-cbc
   • http://www.w3.org/2001/04/xmlenc#aes256-cbc
   • http://www.w3.org/2009/xmlenc11#aes128-gcm
   • http://www.w3.org/2009/xmlenc11#aes256-gcm

OIDC

Questa funzionalità è disponibile solo quando utilizzi SAML.

SAML o WS-Trust

1. Crea una chiave di crittografia per il fornitore del pool di identità del workload:

   gcloud iam workload-identity-pools providers keys create rsa2048 \
       --workload-identity-pool=POOL_ID \
       --provider=WORKLOAD_PROVIDER_ID \
       --location=global \
       --use=ENCRYPTION \
       --spec=RSA_2048
   

   Sostituisci quanto segue:

   • WORKLOAD_PROVIDER_ID: ID del fornitore.
   • POOL_ID: l'ID del pool.

   La coppia di chiavi viene archiviata e gestita dalla federazione delle identità per i workload. Puoi esportare la chiave pubblica, ma solo la federazione di Workload Identity può accedere alla chiave privata.

2. Esporta un certificato contenente la chiave pubblica:

   gcloud iam workload-identity-pools providers keys describe rsa2048 \
       --workload-identity-pool=POOL_ID \
       --provider=WORKLOAD_PROVIDER_ID \
       --location=global \
       --format="value(keyData.key)" > workload-identity-federation.cer
   

3. Sposta il file del certificato sul server AD FS.

4. Sul server AD FS, fai clic con il tasto destro del mouse su Start, quindi fai clic su Windows PowerShell (Amministratore).

5. In PowerShell, modifica l'attendibilità della relying party in modo che utilizzi la crittografia:

   Set-AdfsRelyingPartyTrust `
     -TargetName NAME `
     -SamlResponseSignature MessageAndAssertion `
     -EncryptionCertificate PATH `
     -EncryptClaims $True
   

   Sostituisci quanto segue:

   • NAME: il nome dell'attendibilità della relying party
   • PATH: il percorso del file del certificato

Accesso diretto alle risorse

Puoi concedere l'accesso a un'identità federata direttamente alle risorse utilizzando la console Google Cloud o gcloud CLI.

Simulazione dell'identità dei service account

1. Per creare un account di servizio per il workload esterno:

   1. Enable the IAM, Security Token Service, and Service Account Credentials APIs.

      Enable the APIs

   2. Crea un service account che rappresenti il workload. Ti consigliamo di utilizzare un account di servizio dedicato per ogni workload. Il account di servizio non deve trovarsi nello stesso progetto del pool di identità del carico di lavoro, ma devi fare riferimento al progetto che contiene il account di servizio.

   3. Concedi al account di servizio l'accesso alle risorse a cui vuoi che accedano le identità esterne.

2. Per consentire all'identità federata di rappresentare il account di servizio, procedi nel seguente modo:

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE"