Active Directory との Workload Identity 連携を構成する

OIDC

ワークロードで OIDC を使用できるようにするには、AD FS で 2 つのアプリケーション登録が必要です。

• ネイティブ アプリケーションまたはサーバー アプリケーションのタイプのアプリケーション登録。

• Google Cloud 上の Workload Identity プール プロバイダに対応する Web API タイプのアプリケーション登録。

クライアント アプリケーションを登録する

ワークロードを表すクライアント アプリケーションを作成します。Google Cloud にアクセスする必要があるワークロードが複数ある場合は、複数のクライアント アプリケーションの作成が必要になることがあります。

AD FS でクライアント アプリケーションを登録するには、次の操作を行います。

1. AD FS MMC スナップインを開き、[アプリケーション グループ] に移動します。
2. [アプリケーション グループの追加] をクリックします。

3. [ようこそ] ページで、次の操作を行います。

   1. テキスト フィールドにクライアントの名前を入力します。
   2. [サーバー アプリケーション] を選択します。
   3. [Next（次へ）] をクリックします。

4. [サーバー アプリケーション] ページで、次の操作を行います。

   1. [text-field] テキスト フィールドに、クライアント識別子（クライアント ID）とリダイレクト URI を入力します。

      client_credentials 付与タイプのみを使用する場合、リダイレクト URI は使用されないため、http://localhost/ などの URI を使用できます。

   2. [Next（次へ）] をクリックします。

5. [アプリケーションの資格情報の構成] ページで、次の操作を行います。

   1. クライアントの認証方法を選択します。IWA を使用するには、[Windows 統合認証] を [有効] に設定します。
   2. アプリケーションを実行するドメイン ユーザーを選択します。
   3. [Next（次へ）] をクリックします。

6. [概要] ページで、設定を確認して [次へ] をクリックします。

7. [閉じる] をクリックしてダイアログを閉じます。

Workload Identity プール用のウェブ API アプリケーションを作成する

Web API タイプの別のアプリケーション登録を作成します。このアプリケーションは Workload Identity プールのプロバイダに対応し、Google Cloud との信頼関係を設定するために使用します。

AD FS でアプリケーションを作成する手順は次のとおりです。

1. AD FS MMC スナップインを開き、[アプリケーション グループ] に移動します。
2. [アプリケーション グループの追加] をクリックします。
3. スタートページで、「Workload Identity Federation (test environment)」などの名前を入力し、[ウェブ API] を選択します。[次へ] をクリックします。

4. [Web API の構成] ページで、ウェブ API 用の証明書利用者 ID を入力します。

   カスタム証明書利用者 ID を定義するのではなく、次の URI を証明書利用者 ID として使用できます。

   https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/WORKLOAD_POOL_ID/providers/PROVIDER_ID
   

   以下を置き換えます。

   • PROJECT_NUMBER: Workload Identity プールの作成に使用する Google Cloud プロジェクトのプロジェクト番号。
   • WORKLOAD_POOL_ID: Workload Identity プールを識別する任意の ID。後で Workload Identity プールを作成するときに、この ID を使用する必要があります。
   • PROVIDER_ID: Workload Identity プールのプロバイダを識別する任意の ID。後で Workload Identity プールのプロバイダを作成するときに、この ID を使用する必要があります。

   この方法で URI をフォーマットすることで、証明書利用者 ID によって Workload Identity プールのプロバイダが一意に識別されます。

   証明書利用者 ID は、後で Workload Identity プール プロバイダを構成するときに必要になります。

5. [Next（次へ）] をクリックします。

6. [アクセス制御ポリシーを適用する] ページで、適切なアクセス ポリシーを選択し、[次へ] をクリックします。

7. [アプリケーションの権限を構成する] ページで、前に作成したクライアント アプリケーションを追加します。[Next] をクリックします。

8. [サマリー] ページで、設定を確認して [次へ] をクリックします。

9. [閉じる] をクリックしてダイアログを閉じます。

SAML または WS-Trust

AD FS で証明書利用者信頼を作成します。

1. AD FS MMC スナップインを開きます。
2. [証明書利用者信頼] に移動します。
3. [証明書利用者信頼の追加] をクリックします。
4. [証明書利用者信頼の追加] ウィザードの [ようこそ] ページで、次の操作を行います。
   1. [要求に対応する] を選択します。
   2. [開始] をクリックします。
5. [データソースの選択] ページで、次の操作を行います。
   1. [証明書利用者についてのデータを手動で入力する] を選択します。
   2. [Next（次へ）] をクリックします。

6. [表示名の指定] ページで、次の操作を行います。

   1. 信頼の名前を入力します。
   2. [Next（次へ）] をクリックします。

7. [証明書の構成] ページで、[次へ] をクリックします。Workload Identity 連携は暗号化された SAML をサポートしていますが、ここでは説明しません。詳細については、このガイドの後半の ID プールとプロバイダを作成するの gcloud CLI の手順をご覧ください。

8. [URL の構成] ページで、次の操作を行います。

   SAML

   次の設定を使用します。

   • [SAML 2.0 WebSSO プロトコルのサポートを有効にする] を「有効」に設定します。

   • [証明書利用者 SAML 2.0 SSO サービスの URL] に次の URL を入力します。

     https://sts.googleapis.com/v1/token
     

   WS-Trust

   デフォルトの設定をそのまま使用します。

9. [Next（次へ）] をクリックします。

10. [識別子の構成] ページで、証明書利用者 ID を入力します。

    カスタム証明書利用者 ID を定義するのではなく、次の URI を証明書利用者 ID として使用できます。

    https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/WORKLOAD_POOL_ID/providers/PROVIDER_ID
    

    以下を置き換えます。

    • PROJECT_NUMBER: Workload Identity プールの作成に使用する Google Cloud プロジェクトのプロジェクト番号。
    • WORKLOAD_POOL_ID: Workload Identity プールを識別する任意の ID。後で Workload Identity プールを作成するときに、この ID を使用する必要があります。
    • PROVIDER_ID: Workload Identity プールのプロバイダを識別する任意の ID。後で Workload Identity プールのプロバイダを作成するときに、この ID を使用する必要があります。

    この方法で URI をフォーマットすることで、証明書利用者 ID によって Workload Identity プールのプロバイダが一意に識別されます。

    証明書利用者 ID は、後で Workload Identity プール プロバイダを構成するときに必要になります。

11. [Next（次へ）] をクリックします。

12. [アクセス制御ポリシーの選択] ページで、適切なアクセス制御ポリシーを選択し、[次へ] をクリックします。

13. [信頼の追加の準備完了] ページで設定内容を確認して、[次へ] をクリックします。

14. [終了] ページで [閉じる] をクリックして、ダイアログを閉じます。

Workload Identity 連携との互換性を確保するために、SAML アサーションには、Active Directory ユーザーを一意に識別する要求が 1 つ以上含まれている必要があります。通常は、この目的のため、SAML アサーションの NameID 要素の値に対応する名前 ID 要求を使用します。

SAML アサーションの一連の要求をカスタマイズするには、証明書利用者信頼の要求発行ポリシーを編集する必要があります。要求発行ポリシーを編集する手順は次のとおりです。

1. 証明書利用者信頼のリストで、作成した信頼を選択し、[要求発行ポリシーの編集] をクリックします。
2. [規則の追加] をクリックします。
3. [変換要求規則の追加] ウィザードの [ 規則の種類の選択] ページで、次の操作を行います。
   1. [入力方向の要求を変換] を選択します。
   2. [Next（次へ）] をクリックします。

4. [要求規則の構成] ページで、次の設定を構成します。

   • クレーム規則名: Name Identifier。
   • 入力方向の要求の種類: プライマリ SID または UPN。あるいは、サブジェクトを一意に識別する別の要求を選択します。
   • 出力方向のクレームの種類: Name ID
   • 出力方向の名前 ID の形式: 指定なし。

5. [すべての要求値をパススルーする] を選択し、[終了] をクリックします。

6. 必要に応じて追加の規則を構成し、SAML アサーションに属性を追加します。

7. [OK] をクリックして、要求発行ポリシーのダイアログを閉じます。

OIDC

属性マッピングでは、AD FS アクセス トークンに埋め込まれた要求をソース属性として使用できます。

アプリケーションの認証には、次の属性マッピングを使用できます。

google.subject=assertion.appid

このマッピングにより、google.subject が appid 要求の値に設定されます。この値には AD FS アプリケーションのクライアント ID が含まれます。

SAML または WS-Trust

このガイドですでに説明したとおり、属性マッピングでは、AD FS によって発行されたアサーションに埋め込まれた要求を使用できます。

次のマッピングを使用して、Workload Identity 連携で SAML アサーションの名前 ID 要求を使用してユーザーを一意に識別するようにします。

google.subject=assertion.subject

SAML アサーションに要求を含めるように要求発行ポリシーを構成している場合は、別のマッピングを追加できます。次に例を示します。

google.groups=assertion.attributes['http://schemas.microsoft.com/ws/2008/06/identity/claims/groupsid']
attribute.userip=['http://schemas.microsoft.com/2014/09/requestcontext/claims/userip'][0]

OIDC

属性条件を使用して、有効期間の短い Google Cloud トークンを取得するために Workload Identity 連携を使用できるクライアントを制限できます。

たとえば、次の条件は、アプリケーションが AD FS への認証に IWA を使用する必要があることを定義します。

assertion.authmethod=='http://schemas.microsoft.com/ws/2008/06/identity/authenticationmethod/windows'

有効期間が短い Google Cloud の認証情報を取得できるアプリケーションのリストを制御する場合は、属性条件を定義しないでください。代わりに、AD FS でクライアント権限を使用して、許可するアプリケーションを定義します。

SAML または WS-Trust

属性条件を使用して、有効期間の短い Google Cloud トークンを取得するために Workload Identity 連携を使用できる Active Directory ユーザーを制限できます。

たとえば、次の条件は、特定のグループ メンバーシップ要求が含まれる SAML アサーションのみを許可します。

"S-1-5-6" in google.groups

コンソール

1. Google Cloud コンソールで、[新しいワークロード プロバイダとプール] ページに移動します。

   [新しいワークロード プロバイダとプール] に移動

2. [ID プールを作成] に、次のように入力します。

   • 名前: プールの名前。この名前はプール ID としても使用されます。プール ID を後で変更することはできません。
   • 説明: プールの目的を説明するテキスト。

3. [続行] をクリックします。

4. プロバイダを構成します。

   OIDC

   • プロバイダを選択: OpenID Connect（OIDC）。
   • プロバイダ名: プロバイダの名前。この名前はプロバイダ ID としても使用されます。プロバイダ ID は後から変更できません。
   • 発行元の URL: https://ADFS_DOMAIN/adfs。ここで、ADFS_DOMAIN は AD FS サーバーまたはファームのパブリック ドメイン名です。

   SAML

   SAML 2.0 互換 IdP から Workload Identity 連携を構成するには、gcloud CLI の手順に沿って操作します。

5. [続行] をクリックします。

6. [プロバイダの属性を構成する] で、前に確認した属性マッピングを追加します。

7. [属性条件] で、前に確認した属性条件を入力します。属性条件がない場合は、空白のままにします。

8. [保存] をクリックして、Workload Identity のプールとプロバイダを作成します。

gcloud

1. 新しい Workload Identity プールを作成します。

   gcloud iam workload-identity-pools create WORKLOAD_POOL_ID \
       --location="global" \
       --description="DESCRIPTION" \
       --display-name="DISPLAY_NAME"
   

   以下を置き換えます。

   • WORKLOAD_POOL_ID: プールの一意の ID。
   • DISPLAY_NAME: プールの名前。
   • DESCRIPTION: プールの説明。この説明は、プール ID へのアクセス権を付与するときに表示されます。

2. Workload Identity プールのプロバイダを追加します。

   OIDC

   gcloud iam workload-identity-pools providers create-oidc PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="WORKLOAD_POOL_ID" \
       --issuer-uri="https://ADFS_DOMAIN/adfs" \
       --allowed-audiences="RELYING_PARTY_ID" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
   

   以下を置き換えます。

   • PROVIDER_ID: プロバイダの一意の ID。
   • WORKLOAD_POOL_ID: プールの ID。
   • ADFS_DOMAIN: AD FS サーバーまたはファームのパブリック ドメイン名。
   • RELYING_PARTY_ID: AD FS 内の Workload Identity プール用のウェブ API アプリケーションの証明書利用者 ID。このパラメータは、カスタムの証明書利用者 ID を使用する場合にのみ必要です。
   • MAPPINGS: 前に確認した属性マッピングのカンマ区切りリスト。
   • CONDITIONS: 前に確認した属性条件。属性条件がない場合は、パラメータを削除します。

   接頭辞 gcp- は予約されているため、プールやプロバイダ ID では使用できません。

   SAML または WS-Trust

   curl -O https://ADFS_DOMAIN/federationmetadata/2007-06/federationmetadata.xml
   
   gcloud iam workload-identity-pools providers create-saml PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="POOL_ID" \
       --idp-metadata-path="federationmetadata.xml" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
   

   以下を置き換えます。

   • PROVIDER_ID: プロバイダの一意の ID。
   • ADFS_DOMAIN: AD FS サーバーまたはサーバー ファームのドメイン名。
   • WORKLOAD_POOL_ID: プールの ID。
   • MAPPINGS: 前に確認した属性マッピングのカンマ区切りリスト。
   • CONDITIONS: 省略可。このガイドの前半で作成した属性条件

   接頭辞 gcp- は予約されているため、プールやプロバイダ ID では使用できません。

   例:

   gcloud iam workload-identity-pools providers create-saml example-provider \
       --location="global" \
       --workload-identity-pool="pool-1" \
       --idp-metadata-path="federationmetadata.xml" \
       --attribute-mapping=google.subject=assertion.subject"
   

   省略可: IdP から暗号化された SAML アサーションを受け入れる

   SAML 2.0 IdP が Workload Identity 連携で受け入れられる暗号化された SAML アサーションを生成できるようにするには、次のようにします。

   • Workload Identity 連携で次の操作を行います。
   • Workload Identity プールのプロバイダ用に非対称鍵ペアを作成します。
   • 公開鍵を含む証明書ファイルをダウンロードします。
   • 公開鍵を使用して、発行する SAML アサーションが暗号化されるように SAML IdP を構成します。
   • IdP で次の操作を行います。
   • アサーション暗号化（トークン暗号化）を有効にします。
   • Workload Identity 連携で作成した公開鍵をアップロードします。
   • IdP が暗号化された SAML アサーションを生成することを確認します。

   SAML 暗号化プロバイダの鍵が構成されている場合でも、Workload Identity 連携は平文のアサーションを処理できます。

   Workload Identity 連携 SAML アサーション暗号鍵を作成する

   このセクションでは、Workload Identity 連携で暗号化された SAML アサーションを受け入れる非対称鍵ペアの作成について説明します。

   Google Cloud は秘密鍵を使用して、IdP が発行する SAML アサーションを復号します。SAML 暗号化で使用する非対称鍵ペアを作成するには、次のコマンドを実行します。詳細については、サポートされている SAML 暗号化アルゴリズムをご覧ください。

   gcloud iam workload-identity-pools providers keys create KEY_ID \
       --workload-identity-pool WORKLOAD_POOL_ID \
       --provider PROVIDER_ID \
       --location global \
       --use encryption \
       --spec KEY_SPECIFICATION

   次のように置き換えます。

   • KEY_ID: 任意の鍵名
   • WORKLOAD_POOL_ID: プール ID
   • PROVIDER_ID: プロバイダ ID
   • KEY_SPECIFICATION: 鍵仕様（rsa-2048、rsa-3072、rsa-4096 のいずれか）。

   鍵ペアを作成したら、次のコマンドを実行して、公開鍵を証明書ファイルにダウンロードします。秘密鍵にアクセスできるのは Workload Identity 連携だけです。

   gcloud iam workload-identity-pools providers keys describe KEY_ID \
       --workload-identity-pool WORKLOAD_POOL_ID \
       --provider PROVIDER_ID \
       --location global \
       --format "value(keyData.key)" \
       > CERTIFICATE_PATH

   次のように置き換えます。

   • KEY_ID: 鍵名
   • WORKLOAD_POOL_ID: プール ID
   • PROVIDER_ID: プロバイダ ID
   • CERTIFICATE_PATH: 証明書を書き込むパス（例: saml-certificate.cer や saml-certificate.pem）

   暗号化された SAML アサーションを発行するように SAML 2.0 準拠の IdP を構成する

   1. 証明書ファイルを AD FS サーバーに移動します。
   2. AD FS サーバーで、[Start] ボタン（または[Win] + X）を右クリックして、[Windows PowerShell (Admin)] をクリックします。
   3. PowerShell で次のコマンドを実行して、暗号化を有効にします。

              Set-AdfsRelyingPartyTrust `
              -TargetName NAME `
              -SamlResponseSignature MessageAndAssertion `
              -EncryptionCertificate PATH `
              -EncryptClaims $True
          

      以下を置き換えます。

      • NAME: 証明書利用者信頼の名前
      • PATH: 証明書ファイルのパス

   WS-Trust ユーザー: この機能は SAML を使用している場合にのみ利用できます。

   SAML アサーションを暗号化するように IdP を構成したら、IdP によって生成されるアサーションが実際に暗号化されていることを確認することをおすすめします。SAML アサーションの暗号化が構成されている場合でも、Workload Identity 連携は平文のアサーションを処理できます。

   Workload Identity 連携暗号鍵を削除する

   SAML 暗号鍵を削除するには、次のコマンドを実行します。

     gcloud iam workload-identity-pools providers keys delete KEY_ID \
         --workload-identity-pool WORKLOAD_POOL_ID \
         --provider PROVIDER_ID \
         --location global

   次のように置き換えます。

   • KEY_ID: 鍵名
   • WORKLOAD_POOL_ID: プール ID
   • PROVIDER_ID: プロバイダ ID

   サポートされている SAML 暗号化アルゴリズム

   Workload Identity 連携は、次の主要なトランスポート アルゴリズムをサポートしています。

   • http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p
   • http://www.w3.org/2009/xmlenc11#rsa-oaep"
   • http://www.w3.org/2001/04/xmlenc#rsa-1_5"

   Workload Identity 連携は、次のブロック暗号化アルゴリズムをサポートしています。

   • http://www.w3.org/2001/04/xmlenc#aes128-cbc
   • http://www.w3.org/2001/04/xmlenc#aes192-cbc
   • http://www.w3.org/2001/04/xmlenc#aes256-cbc
   • http://www.w3.org/2009/xmlenc11#aes128-gcm
   • http://www.w3.org/2009/xmlenc11#aes256-gcm

OIDC

この機能は SAML を使用している場合にのみ利用できます。

SAML または WS-Trust

1. Workload Identity プール プロバイダの暗号鍵を作成します。

   gcloud iam workload-identity-pools providers keys create rsa2048 \
       --workload-identity-pool=POOL_ID \
       --provider=PROVIDER_ID \
       --location=global \
       --use=ENCRYPTION \
       --spec=RSA_2048
   

   次のように置き換えます。

   • PROVIDER_ID: プロバイダの ID。
   • POOL_ID: プールの ID。

   鍵ペアは Workload Identity 連携によって保存および管理されます。公開鍵はエクスポートできますが、秘密鍵にアクセスできるのは Workload Identity 連携のみです。

2. 公開鍵を含む証明書をエクスポートします。

   gcloud iam workload-identity-pools providers keys describe rsa2048 \
       --workload-identity-pool=POOL_ID \
       --provider=PROVIDER_ID \
       --location=global \
       --format="value(keyData.key)" > workload-identity-federation.cer
   

3. 証明書ファイルを AD FS サーバーに移動します。

4. AD FS サーバーで、[Start] を右クリックして、[Windows PowerShell (Admin)] をクリックします。

5. PowerShell で、暗号化を使用するように証明書利用者の信頼を変更します。

   Set-AdfsRelyingPartyTrust `
     -TargetName NAME `
     -SamlResponseSignature MessageAndAssertion `
     -EncryptionCertificate PATH `
     -EncryptClaims $True
   

   次のように置き換えます。

   • NAME: 証明書利用者信頼の名前
   • PATH: 証明書ファイルのパス

リソースへの直接アクセス

Google Cloud コンソールまたは gcloud CLI を使用して、リソースへの直接アクセス権を連携 ID に付与できます。

サービス アカウントの権限借用

1. 外部ワークロードのサービス アカウントを作成するには、次の操作を行います。

   1. Enable the IAM, Security Token Service, and Service Account Credentials APIs.

      Enable the APIs

   2. ワークロードを表すサービス アカウントを作成します。ワークロードごとに専用のサービス アカウントを使用することをおすすめします。サービス アカウントは、Workload Identity プールと同じプロジェクトにある必要はありませんが、サービス アカウントを含むプロジェクトを参照する必要があります。

   3. 外部 ID にアクセスを許可するリソースに対するアクセス権をサービス アカウントに付与します。

   4. サービス アカウントに Workload Identity ユーザーロール（roles/iam.workloadIdentityUser）を付与します。

2. Google Cloud コンソールまたは gcloud CLI を使用してサービス アカウントの権限借用でフェデレーション ID へのアクセス権を付与するには、次の操作を行います。

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE"