Active Directory와의 워크로드 아이덴티티 제휴 구성

OIDC

워크로드가 OIDC를 사용하도록 하려면 AD FS에 두 번의 애플리케이션 등록이 필요합니다.

• 네이티브 애플리케이션 또는 서버 애플리케이션 유형의 애플리케이션 등록

• Google Cloud의 워크로드 아이덴티티 풀 공급업체에 해당하는 Web API 유형의 애플리케이션 등록

클라이언트 애플리케이션 등록

워크로드를 나타내는 클라이언트 애플리케이션을 만듭니다. Google Cloud에 대한 액세스 권한이 필요한 워크로드가 여러 개 있는 경우 클라이언트 애플리케이션을 여러 개 만들어야 할 수 있습니다.

AD FS에 클라이언트 애플리케이션을 등록하려면 다음을 수행합니다.

1. AD FS MMC 스냅인을 열고 애플리케이션 그룹으로 이동합니다.
2. 애플리케이션 그룹 추가를 클릭합니다.

3. 시작 페이지에서 다음을 수행합니다.

   1. 텍스트 필드에 클라이언트 이름을 입력합니다.
   2. 서버 애플리케이션을 선택합니다.
   3. 다음을 클릭합니다.

4. 서버 애플리케이션 페이지에서 다음을 수행합니다.

   1. text-field 텍스트 필드에 클라이언트 식별자(클라이언트 ID)와 리디렉션 URI를 입력합니다.

      client_credentials 부여 유형만 사용하려는 경우 리디렉션 URI는 사용되지 않으며 http://localhost/와 같은 URI를 사용할 수 있습니다.

   2. 다음을 클릭합니다.

5. 애플리케이션 사용자 인증 정보 구성 페이지에서 다음을 수행합니다.

   1. 클라이언트 인증 방법을 선택합니다. IWA를 사용하려면 Windows 통합 인증을 사용 설정됨으로 설정합니다.
   2. 애플리케이션이 실행되도록 구성된 도메인 사용자를 선택합니다.
   3. 다음을 클릭합니다.

6. 요약 페이지에서 설정을 검토하고 다음을 클릭합니다.

7. 닫기를 클릭하여 대화상자를 닫습니다.

워크로드 아이덴티티 풀의 웹 API 애플리케이션 만들기

Web API 유형의 다른 애플리케이션 등록을 만듭니다. 이 애플리케이션은 워크로드 아이덴티티 풀 공급업체에 해당하며 이 애플리케이션을 사용하여 Google Cloud와의 트러스트 관계를 설정합니다.

AD FS에서 애플리케이션을 만들려면 다음을 수행합니다.

1. AD FS MMC 스냅인을 열고 애플리케이션 그룹으로 이동합니다.
2. 애플리케이션 그룹 추가를 클릭합니다.
3. 시작 페이지에서 Workload Identity Federation (test environment)과 같은 이름을 입력하고 Web API를 선택합니다. 그런 다음 다음을 클릭합니다.

4. 웹 API 구성 페이지에서 웹 API의 신뢰 당사자 식별자를 입력합니다.

   커스텀 신뢰 당사자 식별자를 정의하는 대신 다음 URI를 신뢰 당사자 식별자로 사용할 수 있습니다.

   https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/WORKLOAD_POOL_ID/providers/PROVIDER_ID
   

   다음을 바꿉니다.

   • PROJECT_NUMBER: 워크로드 아이덴티티 풀을 만들기 위해 사용하는 Google Cloud 프로젝트의 프로젝트 번호
   • WORKLOAD_POOL_ID: 워크로드 아이덴티티 풀을 식별하는 사용자가 선택한 ID. 나중에 워크로드 아이덴티티 풀을 만들 때 동일한 ID를 사용해야 합니다.
   • PROVIDER_ID: 워크로드 아이덴티티 풀 공급업체를 식별하는 사용자가 선택한 ID. 나중에 워크로드 아이덴티티 풀 공급업체를 만들 때 동일한 ID를 사용해야 합니다.

   이러한 방식으로 URI 형식을 지정하면 신뢰 당사자 식별자가 워크로드 아이덴티티 풀 공급업체를 고유하게 식별할 수 있습니다.

   나중에 워크로드 아이덴티티 풀 공급업체를 구성할 때 신뢰 당사자 식별자가 필요합니다.

5. 다음을 클릭합니다.

6. 액세스 제어 정책 적용 페이지에서 적절한 액세스 정책을 선택하고 다음을 클릭합니다.

7. 애플리케이션 권한 구성 페이지에서 이전에 만든 클라이언트 애플리케이션을 추가합니다. 그런 다음 다음을 클릭합니다.

8. 요약 페이지에서 설정을 검토하고 다음을 클릭합니다.

9. 닫기를 클릭하여 대화상자를 닫습니다.

SAML 또는 WS-Trust

AD FS에서 신뢰 당사자 트러스트를 만듭니다.

1. AD FS MMC 스냅인을 엽니다.
2. 신뢰 당사자 트러스트로 이동합니다.
3. 신뢰 당사자 트러스트 추가를 클릭합니다.
4. 신뢰 당사자 트러스트 추가 마법사의 시작 페이지에서 다음을 수행합니다.
   1. 클레임 인식을 선택합니다.
   2. 시작을 클릭합니다.
5. 데이터 소스 선택 페이지에서 다음을 수행합니다.
   1. 신뢰 당사자에 대한 수동 데이터 입력을 선택합니다.
   2. 다음을 클릭합니다.

6. 표시 이름 지정 페이지에서 다음을 수행합니다.

   1. 트러스트 이름을 입력합니다.
   2. 다음을 클릭합니다.

7. 인증서 구성 페이지에서 다음을 클릭합니다. 워크로드 아이덴티티 제휴는 암호화된 SAML을 지원하지만 이 절차에서는 설명하지 않습니다. 자세한 내용은 이 가이드 뒷부분에 있는 ID 풀 및 공급업체 만들기에서 gcloud CLI 안내를 참조하세요.

8. URL 구성 페이지에서 다음을 수행합니다.

   SAML

   다음 설정을 사용하세요.

   • SAML 2.0 WebSSO 프로토콜 지원 사용을 사용 설정됨으로 설정합니다.

   • 신뢰 당사자 SAML 2.0 SSO 서비스 URL 필드에 다음 URL을 입력합니다.

     https://sts.googleapis.com/v1/token
     

   WS-Trust

   기본 설정 유지

9. 다음을 클릭합니다.

10. 식별자 구성 페이지에서 신뢰 당사자 식별자를 입력합니다.

    커스텀 신뢰 당사자 식별자를 정의하는 대신 다음 URI를 신뢰 당사자 식별자로 사용할 수 있습니다.

    https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/WORKLOAD_POOL_ID/providers/PROVIDER_ID
    

    다음을 바꿉니다.

    • PROJECT_NUMBER: 워크로드 아이덴티티 풀을 만들기 위해 사용하는 Google Cloud 프로젝트의 프로젝트 번호
    • WORKLOAD_POOL_ID: 워크로드 아이덴티티 풀을 식별하는 사용자가 선택한 ID. 나중에 워크로드 아이덴티티 풀을 만들 때 동일한 ID를 사용해야 합니다.
    • PROVIDER_ID: 워크로드 아이덴티티 풀 공급업체를 식별하는 사용자가 선택한 ID. 나중에 워크로드 아이덴티티 풀 공급업체를 만들 때 동일한 ID를 사용해야 합니다.

    이러한 방식으로 URI 형식을 지정하면 신뢰 당사자 식별자가 워크로드 아이덴티티 풀 공급업체를 고유하게 식별할 수 있습니다.

    나중에 워크로드 아이덴티티 풀 공급업체를 구성할 때 신뢰 당사자 식별자가 필요합니다.

11. 다음을 클릭합니다.

12. 액세스 제어 정책 선택 페이지에서 적절한 액세스 제어 정책을 선택하고 다음을 클릭합니다.

13. 트러스트 추가 준비 완료 페이지에서 설정을 검토하고 다음을 클릭합니다.

14. 마침 페이지에서 닫기를 클릭하여 대화상자를 닫습니다.

워크로드 아이덴티티 제휴와 호환되려면 SAML 어설션에 Active Directory 사용자를 고유하게 식별하는 클레임이 최소 하나 이상 포함되어야 합니다. 일반적으로 이 용도로 이름 ID 클레임을 사용하며 이는 SAML 어설션의 NameID 요소 값에 해당합니다.

SAML 어설션의 클레임 집합을 맞춤설정하려면 신뢰 당사자 트러스트의 클레임 발급 정책을 수정해야 합니다. 클레임 발급 정책을 수정하려면 다음을 수행합니다.

1. 신뢰 당사자 트러스트 목록에서 방금 만든 트러스트를 선택하고 클레임 발급 정책 수정을 클릭합니다.
2. 규칙 추가를 클릭합니다.
3. 변환 클레임 규칙 추가 마법사의 규칙 유형 선택 페이지에서 다음을 수행합니다.
   1. 수신 클레임 변환을 선택합니다.
   2. 다음을 클릭합니다.

4. 클레임 규칙 구성 페이지에서 다음 설정을 구성합니다.

   • 클레임 규칙 이름: Name Identifier
   • 수신 클레임 유형: 기본 SID, UPN 또는 다른 클레임을 선택하여 제목을 고유하게 식별합니다.
   • 보내는 클레임 유형: 이름 ID
   • 보내는 이름 ID 형식: 미지정

5. 모든 클레임 값 통과를 선택하고 마침을 클릭합니다.

6. 필요한 경우 SAML 어설션에 더 많은 속성이 포함되도록 추가 규칙을 구성합니다.

7. 확인을 클릭하여 클레임 발급 정책 대화상자를 닫습니다.

OIDC

속성 매핑은 AD FS 액세스 토큰에 포함된 클레임을 소스 속성으로 사용할 수 있습니다.

애플리케이션을 인증하려면 다음 속성 매핑을 사용하면 됩니다.

google.subject=assertion.appid

이 매핑은 google.subject를 AD FS 애플리케이션의 클라이언트 ID가 포함된 appid 클레임 값으로 설정합니다.

SAML 또는 WS-Trust

속성 매핑은 이 가이드의 앞부분에서 설명한 대로 AD FS에서 발행하는 어설션에 포함된 클레임을 사용할 수 있습니다.

다음 매핑을 사용하면 워크로드 아이덴티티 제휴에서 SAML 어설션의 이름 ID 클레임을 사용하여 사용자를 고유하게 식별할 수 있습니다.

google.subject=assertion.subject

SAML 어설션에 추가 클레임이 포함되도록 클레임 발급 정책을 구성한 경우 매핑을 추가할 수 있습니다. 예를 들면 다음과 같습니다.

google.groups=assertion.attributes['http://schemas.microsoft.com/ws/2008/06/identity/claims/groupsid']
attribute.userip=['http://schemas.microsoft.com/2014/09/requestcontext/claims/userip'][0]

OIDC

속성 조건을 사용하면 워크로드 아이덴티티 제휴를 사용하여 단기 Google Cloud 토큰을 가져올 수 있는 클라이언트를 제한할 수 있습니다.

예를 들어 다음 조건은 애플리케이션이 AD FS에 인증하려면 IWA를 사용해야 함을 정의합니다.

assertion.authmethod=='http://schemas.microsoft.com/ws/2008/06/identity/authenticationmethod/windows'

Google Cloud의 단기 사용자 인증 정보를 가져올 수 있는 애플리케이션 목록을 제어하려면 속성 조건을 정의하지 마세요. 대신 AD FS의 클라이언트 권한을 사용하여 허용되는 애플리케이션을 정의합니다.

SAML 또는 WS-Trust

속성 조건을 사용하면 워크로드 아이덴티티 제휴를 사용하여 단기 Google Cloud 토큰을 가져올 수 있는 Active Directory 사용자를 제한할 수 있습니다.

예를 들어 다음 조건은 특정 그룹 멤버십 클레임이 포함된 SAML 어설션만 허용합니다.

"S-1-5-6" in google.groups

콘솔

1. Google Cloud 콘솔에서 새 워크로드 공급업체 및 풀 페이지로 이동합니다.

   새 워크로드 공급업체 및 풀로 이동

2. ID 풀 만들기에서 다음을 입력합니다.

   • 이름: 풀의 이름입니다. 이 이름은 풀 ID로도 사용됩니다. 풀 ID는 나중에 변경할 수 없습니다.
   • 설명: 풀의 목적을 설명하는 텍스트입니다.

3. 계속을 클릭합니다.

4. 공급업체 설정을 구성합니다.

   OIDC

   • 공급업체 선택: OpenID Connect(OIDC)입니다.
   • 공급업체 이름: 공급업체의 이름입니다. 이 이름은 공급업체 ID로도 사용됩니다. 나중에 이 공급업체 ID를 변경할 수 없습니다.
   • 발급기관 URL: https://ADFS_DOMAIN/adfs. 여기서 ADFS_DOMAIN은 AD FS 서버나 팜의 공개 도메인 이름입니다.

   SAML

   SAML 2.0 호환 IdP에서 워크로드 아이덴티티 제휴를 구성하려면 gcloud CLI 안내를 사용하면 됩니다.

5. 계속을 클릭합니다.

6. 공급업체 속성 구성에서 이전에 식별한 속성 매핑을 추가합니다.

7. 속성 조건에서 이전에 식별한 속성 조건을 입력합니다. 속성 조건이 없으면 필드를 비워둡니다.

8. 저장을 클릭하여 워크로드 아이덴티티 풀과 공급업체를 만듭니다.

gcloud

1. 새 워크로드 아이덴티티 풀을 만듭니다.

   gcloud iam workload-identity-pools create WORKLOAD_POOL_ID \
       --location="global" \
       --description="DESCRIPTION" \
       --display-name="DISPLAY_NAME"
   

   다음을 바꿉니다.

   • WORKLOAD_POOL_ID: 풀의 고유 ID
   • DISPLAY_NAME: 풀의 이름
   • DESCRIPTION: 풀에 대한 설명. 이 설명은 풀 ID에 액세스 권한을 부여할 때 표시됩니다.

2. 워크로드 아이덴티티 풀 공급업체를 추가합니다.

   OIDC

   gcloud iam workload-identity-pools providers create-oidc PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="WORKLOAD_POOL_ID" \
       --issuer-uri="https://ADFS_DOMAIN/adfs" \
       --allowed-audiences="RELYING_PARTY_ID" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
   

   다음을 바꿉니다.

   • PROVIDER_ID: 공급업체의 고유 ID
   • WORKLOAD_POOL_ID: 풀의 ID
   • ADFS_DOMAIN: AD FS 서버나 팜의 공개 도메인 이름
   • RELYING_PARTY_ID: AD FS의 워크로드 아이덴티티 풀의 웹 API 애플리케이션의 신뢰 당사자 식별자. 커스텀 신뢰 당사자 식별자를 사용하는 경우에만 이 매개변수가 필요합니다.
   • MAPPINGS: 이전에 식별한 속성 매핑의 쉼표로 구분된 목록
   • CONDITIONS: 이전에 식별한 속성 조건. 속성 조건이 없는 경우 매개변수를 삭제하세요.

   gcp- 프리픽스는 예약되어 있으며 풀 또는 공급업체 ID에 사용될 수 없습니다.

   SAML 또는 WS-Trust

   curl -O https://ADFS_DOMAIN/federationmetadata/2007-06/federationmetadata.xml
   
   gcloud iam workload-identity-pools providers create-saml PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="POOL_ID" \
       --idp-metadata-path="federationmetadata.xml" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
   

   다음을 바꿉니다.

   • PROVIDER_ID: 공급업체의 고유 ID
   • ADFS_DOMAIN: AD FS 서버나 서버 팜의 도메인 이름
   • WORKLOAD_POOL_ID: 풀의 ID
   • MAPPINGS: 이전에 식별한 속성 매핑의 쉼표로 구분된 목록
   • CONDITIONS: 선택사항: 이 가이드의 앞부분에서 만든 속성 조건

   gcp- 프리픽스는 예약되어 있으며 풀 또는 공급업체 ID에 사용될 수 없습니다.

   예시:

   gcloud iam workload-identity-pools providers create-saml example-provider \
       --location="global" \
       --workload-identity-pool="pool-1" \
       --idp-metadata-path="federationmetadata.xml" \
       --attribute-mapping=google.subject=assertion.subject"
   

   선택사항: IdP에서 암호화된 SAML 어설션 허용

   SAML 2.0 IdP에서 워크로드 아이덴티티 제휴에서 허용할 수 있는 암호화된 SAML 어설션을 생성하도록 하려면 다음을 수행합니다.

   • 워크로드 아이덴티티 제휴에서 다음을 수행합니다.
   • 워크로드 아이덴티티 풀 공급업체의 비대칭 키 쌍을 만듭니다.
   • 공개 키가 포함된 인증서 파일을 다운로드합니다.
   • 공개 키를 사용하여 발급되는 SAML 어설션을 암호화하도록 SAML IdP를 구성합니다.
   • IdP에서 다음을 수행합니다.
   • 토큰 암호화라고도 하는 어설션 암호화를 사용 설정합니다.
   • 워크로드 아이덴티티 제휴에서 만든 공개 키를 업로드합니다.
   • IdP가 암호화된 SAML 어설션을 생성하는지 확인합니다.

   SAML 암호화 공급업체 키가 구성되어 있더라도 워크로드 아이덴티티 제휴는 일반 텍스트 어설션을 처리할 수 있습니다.

   워크로드 아이덴티티 제휴 SAML 어설션 암호화 키 만들기

   이 섹션에서는 워크로드 아이덴티티 제휴가 암호화된 SAML 어설션을 허용할 수 있도록 하는 비대칭 키 쌍을 만드는 방법을 설명합니다.

   Google Cloud는 비공개 키를 사용하여 IdP에서 발급하는 SAML 어설션을 복호화합니다. SAML 암호화에 사용할 비대칭 키 쌍을 만들려면 다음 명령어를 실행합니다. 자세한 내용은 지원되는 SAML 암호화 알고리즘을 참조하세요.

   gcloud iam workload-identity-pools providers keys create KEY_ID \
       --workload-identity-pool WORKLOAD_POOL_ID \
       --provider PROVIDER_ID \
       --location global \
       --use encryption \
       --spec KEY_SPECIFICATION

   다음을 바꿉니다.

   • KEY_ID: 선택한 키 이름
   • WORKLOAD_POOL_ID: 풀 ID
   • PROVIDER_ID: 공급업체 ID
   • KEY_SPECIFICATION: 키 사양(rsa-2048, rsa-3072, rsa-4096 중 하나일 수 있음)

   키 쌍이 생성된 후 공개 키를 인증서 파일로 다운로드하려면 다음 명령어를 실행합니다. 워크로드 아이덴티티 제휴만 비공개 키에 액세스할 수 있습니다.

   gcloud iam workload-identity-pools providers keys describe KEY_ID \
       --workload-identity-pool WORKLOAD_POOL_ID \
       --provider PROVIDER_ID \
       --location global \
       --format "value(keyData.key)" \
       > CERTIFICATE_PATH

   다음을 바꿉니다.

   • KEY_ID: 키 이름
   • WORKLOAD_POOL_ID: 풀 ID
   • PROVIDER_ID: 공급업체 ID
   • CERTIFICATE_PATH: 인증서를 작성할 경로(예: saml-certificate.cer 또는 saml-certificate.pem)

   암호화된 SAML 어설션을 발급하도록 SAML 2.0 호환 IdP 구성

   1. 인증서 파일을 AD FS 서버로 이동합니다.
   2. AD FS 서버에서 Start(시작) 버튼을 마우스 오른쪽 버튼으로 클릭하고(또는 Win+X 누름) Windows PowerShell(관리자)을 클릭합니다.
   3. PowerShell에서 다음 명령어를 실행하여 암호화를 사용 설정합니다.

              Set-AdfsRelyingPartyTrust `
              -TargetName NAME `
              -SamlResponseSignature MessageAndAssertion `
              -EncryptionCertificate PATH `
              -EncryptClaims $True
          

      다음을 바꿉니다.

      • NAME: 신뢰 당사자 트러스트의 이름
      • PATH: 인증서 파일의 경로

   WS-Trust 사용자: 이 기능은 SAML을 사용하는 경우에만 사용할 수 있습니다.

   SAML 어설션을 암호화하도록 IdP를 구성한 후에는 생성되는 어설션이 실제로 암호화되는지 확인하는 것이 좋습니다. SAML 어설션 암호화가 구성되어 있더라도 워크로드 아이덴티티 제휴는 일반 텍스트 어설션을 처리할 수 있습니다.

   워크로드 아이덴티티 제휴 암호화 키 삭제

   SAML 암호화 키를 삭제하려면 다음 명령어를 실행합니다.

     gcloud iam workload-identity-pools providers keys delete KEY_ID \
         --workload-identity-pool WORKLOAD_POOL_ID \
         --provider PROVIDER_ID \
         --location global

   다음을 바꿉니다.

   • KEY_ID: 키 이름
   • WORKLOAD_POOL_ID: 풀 ID
   • PROVIDER_ID: 공급업체 ID

   지원되는 SAML 암호화 알고리즘

   워크로드 아이덴티티 제휴는 다음과 같은 주요 전송 알고리즘을 지원합니다.

   • http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p
   • http://www.w3.org/2009/xmlenc11#rsa-oaep"
   • http://www.w3.org/2001/04/xmlenc#rsa-1_5"

   워크로드 아이덴티티 제휴는 다음과 같은 블록 암호화 알고리즘을 지원합니다.

   • http://www.w3.org/2001/04/xmlenc#aes128-cbc
   • http://www.w3.org/2001/04/xmlenc#aes192-cbc
   • http://www.w3.org/2001/04/xmlenc#aes256-cbc
   • http://www.w3.org/2009/xmlenc11#aes128-gcm
   • http://www.w3.org/2009/xmlenc11#aes256-gcm

OIDC

이 기능은 SAML을 사용하는 경우에만 사용할 수 있습니다.

SAML 또는 WS-Trust

1. 워크로드 아이덴티티 풀 공급업체의 암호화 키를 만듭니다.

   gcloud iam workload-identity-pools providers keys create rsa2048 \
       --workload-identity-pool=POOL_ID \
       --provider=PROVIDER_ID \
       --location=global \
       --use=ENCRYPTION \
       --spec=RSA_2048
   

   다음을 바꿉니다.

   • PROVIDER_ID: 공급업체의 ID
   • POOL_ID: 풀의 ID

   키 쌍은 워크로드 아이덴티티 제휴에서 저장하고 관리합니다. 공개 키는 사용자가 내보낼 수 있지만 비공개 키는 워크로드 아이덴티티 제휴만 액세스할 수 있습니다.

2. 공개 키가 포함된 인증서를 내보냅니다.

   gcloud iam workload-identity-pools providers keys describe rsa2048 \
       --workload-identity-pool=POOL_ID \
       --provider=PROVIDER_ID \
       --location=global \
       --format="value(keyData.key)" > workload-identity-federation.cer
   

3. 인증서 파일을 AD FS 서버로 이동합니다.

4. AD FS 서버에서 시작을 마우스 오른쪽 버튼으로 클릭한 다음 Windows PowerShell(관리자)을 클릭합니다.

5. PowerShell에서 암호화를 사용하도록 신뢰 당사자 트러스트를 수정합니다.

   Set-AdfsRelyingPartyTrust `
     -TargetName NAME `
     -SamlResponseSignature MessageAndAssertion `
     -EncryptionCertificate PATH `
     -EncryptClaims $True
   

   다음을 바꿉니다.

   • NAME: 신뢰 당사자 트러스트의 이름
   • PATH: 인증서 파일의 경로

직접 리소스 액세스

Google Cloud 콘솔 또는 gcloud CLI를 사용하면 제휴 ID에 직접 리소스에 대한 액세스 권한을 부여할 수 있습니다.

서비스 계정 가장

1. 외부 워크로드의 서비스 계정을 만들려면 다음을 수행합니다.

   1. Enable the IAM, Security Token Service, and Service Account Credentials APIs.

      Enable the APIs

   2. 워크로드를 나타내는 서비스 계정을 만듭니다. 워크로드마다 전용 서비스 계정을 사용하는 것이 좋습니다. 서비스 계정이 워크로드 아이덴티티 풀과 동일한 프로젝트에 있을 필요는 없지만 서비스 계정이 포함된 프로젝트를 참조해야 합니다.

   3. 외부 ID가 액세스할 리소스에 대한 액세스 권한을 서비스 계정에 부여합니다.

   4. 서비스 계정에 워크로드 아이덴티티 사용자 역할(roles/iam.workloadIdentityUser)을 부여합니다.

2. Google Cloud 콘솔 또는 gcloud CLI를 사용해서 서비스 계정 가장으로 제휴 ID에 액세스 권한을 부여하려면 다음 안내를 따르세요.

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE"