Configurare la federazione delle identità per i carichi di lavoro con altri provider di identità

OIDC

• L'IdP supporta OpenID Connect 1.0.

• L'IdP ha un URI emittente.

• La JWK del provider di identità utilizzata per verificare un token di asserzione OIDC può essere fornita in uno dei seguenti modi:

  • Endpoint metadati OIDC protetti con SSL e TLS. Gli URL degli endpoint devono iniziare con https:// e gli endpoint sono accessibili pubblicamente su internet. Gli endpoint protetti con certificati autofirmati non sono supportati da Google Cloud.

    Google Cloud utilizza questi endpoint per scaricare il JWK del tuo IdP e utilizza questo set di chiavi per convalidare i token.

  • File JWKS OIDC caricati direttamente su Google Cloud. Se utilizzi questo metodo, l'endpoint non deve essere accessibile pubblicamente. I campi x5c e x5t all'interno di JWK non sono supportati e devono essere rimossi prima del caricamento.

SAML

• L'IdP supporta SAML 2.0.

• L'IdP fornisce un documento dei metadati del fornitore di servizi SAML che descrive la configurazione del fornitore di servizi SAML e contiene il certificato di firma dell'IdP.

  Google Cloud utilizza questo certificato per convalidare le asserzioni e le risposte SAML.

• I requisiti della chiave di firma X.509 SAML includono quanto segue:

  • Una chiave pubblica RSA inserita in un certificato X.509 v3.

  • Requisiti di validità del certificato:

    • notBefore: un timestamp non più di 7 giorni nel futuro
    • notAfter: un timestamp non più lontano di 25 anni nel futuro

  • Algoritmi consigliati:

    • RSAwithSHA256 (dimensioni delle chiavi supportate (bit): 2048, 3072, 4096)
    • ECDSAwithSHA256

Un fornitore di pool di identità del workload può essere configurato con al massimo tre chiavi di firma in un determinato momento. Quando esistono più chiavi, Google Cloud le scorre e tenta di utilizzare ogni chiave non scaduta per soddisfare una richiesta di scambio di token.

Come best practice di sicurezza, ti consigliamo vivamente di non riutilizzare la stessa coppia di chiavi con altri servizi.

OIDC

Configura il tuo IdP in modo che il tuo workload possa ottenere token ID che soddisfino i seguenti criteri:

• I token vengono firmati utilizzando l'algoritmo RS256 o ES256.

• I token contengono un'attestazione aud con il seguente valore:

  https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID
  

  Sostituisci quanto segue:

  • PROJECT_NUMBER: il numero di progetto del progetto Google Cloud che utilizzi per creare il pool di identità del workload.
  • POOL_ID: un ID a tua scelta che identifica il pool di identità del workload. Devi utilizzare lo stesso ID quando crei il pool di identità del workload in un secondo momento.
  • WORKLOAD_PROVIDER_ID: un ID a tua scelta che identifica il fornitore del pool di identità del workload. Devi utilizzare lo stesso ID quando crei il fornitore del pool di identità del workload in un secondo momento.

  In alternativa, puoi configurare il fornitore del pool di identità del workload in modo che si aspetti un segmento di pubblico personalizzato.

• I token contengono un'attestazione exp futura e un'attestazione iat passata.

  Il valore di exp deve essere superiore al valore di iat di al massimo 24 ore.

In genere, è meglio utilizzare i token ID quando si esegue uno scambio di token, perché i token ID riflettono l'identità dell'utente. Se decidi di utilizzare i token di accesso, assicurati che soddisfino i seguenti requisiti aggiuntivi:

• I token di accesso sono formattati come JSON Web Token

• I token di accesso contengono un claim ISSUER in modo che l'URL ISSUER/.well-known/openid-configuration punti all'endpoint dei metadati OIDC dell'IdP.

• Per caricare le chiavi JWK locali, vedi Gestire i JWK OIDC.

SAML

Configura il tuo IdP in modo che le asserzioni SAML contengano elementi che soddisfino i seguenti criteri:

• un elemento Issuer impostato sull'ID entità configurato nel provider del pool di identità del workload. Il formato dell'emittente deve essere omesso o impostato su urn:oasis:names:tc:SAML:2.0:nameid-format:entity.
• un elemento Subject con:
  • un elemento NameID.
  • esattamente un elemento SubjectConfirmation con Method impostato su urn:oasis:names:tc:SAML:2.0:cm:bearer.
  • un elemento SubjectConfirmationData con NotOnOrAfter impostato su un timestamp che si verifica in futuro e nessun valore NotBefore.

• un elemento Conditions con:

  • NotBefore omesso o nel passato.
  • NotOnOrAfter omesso o in futuro.

  • Un Audience formattato nel seguente modo:

    https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID
    

    Sostituisci quanto segue:

    • PROJECT_NUMBER: il numero di progetto del progetto Google Cloud che utilizzi per creare il pool di identità del workload.
    • POOL_ID: un ID a tua scelta che identifica il pool di identità del workload. Devi utilizzare lo stesso ID quando crei il pool di identità del workload in un secondo momento.
    • WORKLOAD_PROVIDER_ID: un ID a tua scelta che identifica il fornitore del pool di identità del workload. Devi utilizzare lo stesso ID quando crei il provider del pool di identità del workload in un secondo momento.

• almeno un elemento AuthnStatement.

• un elemento SessionNotOnOrAfter con un timestamp che si verifica in futuro. In alternativa, ometti l'elemento.

Per le asserzioni SAML racchiuse in una risposta SAML, la risposta SAML deve contenere:

• esattamente un'asserzione che soddisfi i criteri dell'asserzione SAML descritti in precedenza in questa sezione.
• un attributo IssueInstant con un valore inferiore a 1 ora nel passato.
• StatusCode urn:oasis:names:tc:SAML:2.0:status:Success.

L'asserzione SAML, la risposta o entrambe devono essere firmate.

OIDC

Le mappature degli attributi possono utilizzare le rivendicazioni incorporate nel token ID o nel token di accesso emesso dall'IdP esterno.

Devi mappare una di queste rivendicazioni a google.subject per identificare in modo univoco l'utente. Per proteggerti dalle minacce di spoofing, scegli un'attestazione con un valore univoco che non può essere modificato.

Molti IdP compilano l'attributo sub con un ID univoco e immutabile. Per questi IdP, valuta la mappatura dell'attributo sub a google.subject:

google.subject=assertion.sub

Evita di utilizzare un'affermazione come email a questo scopo. Gli indirizzi email possono in genere essere riassegnati o modificati, quindi non identificano in modo univoco e permanente un utente.

SAML

Le mappature degli attributi possono utilizzare gli elementi <Subject> e <Attribute> incorporati nell'asserzione emessa dall'IdP esterno. È possibile fare riferimento agli attributi SAML utilizzando le seguenti parole chiave:

• assertion.subject contiene NameID dell'utente autenticato trovato nell'elemento <Subject>.
• assertion.attributes['ATTRIBUTE_NAME'] contiene un elenco di valori per il campo <Attribute> con lo stesso nome.

Devi mappare una di queste rivendicazioni a google.subject per identificare in modo univoco l'utente. Per proteggerti dalle minacce di spoofing, scegli un'attestazione con un valore univoco che non può essere modificato.

Molti IdP compilano NameId con un ID univoco e immutabile. Per questi IdP, valuta la possibilità di mappare l'attributo NameId a google.subject:

google.subject=assertion.subject

Evita di utilizzare un attributo come http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress a questo scopo. Gli indirizzi email possono in genere essere riassegnati o modificati, quindi non identificano un utente in modo univoco e permanente.

OIDC

Puoi utilizzare una condizione dell'attributo per limitare gli utenti che possono utilizzare la federazione di Workload Identity per ottenere token Google Cloud di breve durata.

Ad esempio, la seguente condizione limita l'accesso ai token che contengono un'attestazione service_account personalizzata con un valore true:

assertion.service_account==true

SAML

Puoi utilizzare una condizione dell'attributo per limitare gli utenti che possono utilizzare la federazione di Workload Identity per ottenere token Google Cloud di breve durata.

Ad esempio, la seguente condizione limita l'accesso alle asserzioni che contengono un attributo personalizzato https://example.com/SAML/Attributes/AllowGcpFederation con un valore true:

assertion.attributes['https://example.com/SAML/Attributes/AllowGcpFederation'][0]=='true'

Console

1. Nella console Google Cloud , vai alla pagina Nuovo provider e pool di workload.

   Vai a Nuovo provider e pool di workload

2. In Crea un pool di identità, inserisci quanto segue:

   • Nome: il nome del pool. Il nome viene utilizzato anche come ID pool. Non potrai modificare l'ID pool in un secondo momento.
   • Descrizione: testo che descrive lo scopo del pool.

3. Fai clic su Continua.

4. Configura le impostazioni del fornitore nel seguente modo:

   OIDC

   • In Seleziona un provider, seleziona OpenID Connect (OIDC).
   • In Nome provider, inserisci un nome per il provider. Il nome viene utilizzato anche come ID fornitore. Non puoi modificare l'ID fornitore dopo la creazione del fornitore.
   • In URL emittente, inserisci l'URL emittente del tuo IdP. L'URL deve iniziare con https://
   • (Facoltativo) In File JWK (JSON), scegli un file JWK da caricare. Se questo campo non viene fornito, Google Cloud tenta di recuperare una JWK dall'emittente.
   • Segmenti di pubblico consentiti: il pubblico previsto dei token ID.

   SAML

   • In Select a provider (Seleziona un provider), seleziona SAML.
   • In Nome provider, inserisci un nome per il provider. Il nome viene utilizzato anche come ID fornitore. Non puoi modificare l'ID fornitore dopo la creazione del fornitore.
   • In IDP Metadata file (XML) (File di metadati IDP (XML)), carica il documento XML dei metadati SAML fornito dal tuo provider di identità.

5. Fai clic su Continua.

6. In Configura attributi del provider, aggiungi le mappature degli attributi che hai identificato in precedenza in questa guida.

7. In Condizioni degli attributi, inserisci la condizione dell'attributo che hai identificato in precedenza in questa guida. Lascia vuoto il campo se non hai una condizione dell'attributo.

8. Per creare il fornitore e il pool di identità del workload, fai clic su Salva.

gcloud

1. Per creare un nuovo pool di identità dei carichi di lavoro, esegui questo comando:

   gcloud iam workload-identity-pools create POOL_ID \
       --location="global" \
       --description="DESCRIPTION" \
       --display-name="DISPLAY_NAME"
   

   Sostituisci quanto segue:

   • POOL_ID: l'ID univoco del pool.
   • DISPLAY_NAME: il nome del pool.
   • DESCRIPTION: una descrizione del pool che scegli. Questa descrizione viene visualizzata quando concedi l'accesso alle identità del pool.

2. Per aggiungere un provider del pool di identità del workload:

   OIDC

   Per aggiungere un provider di pool di identità del workload OIDC, esegui il seguente comando:

   gcloud iam workload-identity-pools providers create-oidc WORKLOAD_PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="POOL_ID" \
       --issuer-uri="ISSUER" \
       --allowed-audiences="AUDIENCE" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
       --jwk-json-path="JWK_JSON_PATH"
   

   Sostituisci quanto segue:

   • WORKLOAD_PROVIDER_ID: un ID fornitore del pool di identità del workload univoco a tua scelta.
   • POOL_ID: l'ID del pool di identità del workload che hai creato in precedenza.
   • ISSUER: un URI emittente come definito nei metadati OIDC.
   • AUDIENCE: Il pubblico previsto dei token ID, che, per molti provider, corrisponde all'ID client.
   • MAPPINGS: un elenco separato da virgole di mappature degli attributi che hai creato in precedenza in questa guida.
   • CONDITIONS: una condizione dell'attributo facoltativa che hai creato in precedenza in questa guida. Rimuovi il parametro se non hai una condizione dell'attributo.
   • JWK_JSON_PATH: Un percorso facoltativo per un JWK OIDC caricato localmente. Se questo parametro non viene fornito, Google Cloud invece utilizza il percorso /.well-known/openid-configuration dell'IdP per recuperare i JWK contenenti le chiavi pubbliche.

   SAML

   Per aggiungere un provider di pool di identità del workload SAML, esegui il seguente comando:

   gcloud iam workload-identity-pools providers create-saml WORKLOAD_PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="POOL_ID" \
       --idp-metadata-path="IDP_METADATA_PATH" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
   

   Sostituisci quanto segue:

   • POOL_ID: l'ID del pool
   • IDP_METADATA_PATH: il percorso locale al documento dei metadati dell'IdP SAML
   • MAPPINGS: un elenco separato da virgole di mappature degli attributi che hai creato in precedenza in questa guida
   • CONDITIONS: facoltativo: la condizione dell'attributo che hai creato in precedenza in questa guida

   Il prefisso gcp- è riservato e non può essere utilizzato in un ID pool di identità per la forza lavoro o provider di pool di identità per la forza lavoro.

   (Facoltativo) Accetta le asserzioni SAML criptate dal tuo IdP

   Per consentire al tuo IdP SAML 2.0 di produrre asserzioni SAML criptate che possono essere accettate dalla federazione delle identità per i carichi di lavoro, procedi nel seguente modo:

   • Nella federazione delle identità per i carichi di lavoro, procedi nel seguente modo:
   • Crea una coppia di chiavi asimmetriche per il provider del pool di identità del workload.
   • Scarica un file di certificato contenente la chiave pubblica.
   • Configura l'IdP SAML in modo che utilizzi la chiave pubblica per criptare le asserzioni SAML che emette.
   • Nel tuo IdP:
   • Attiva la crittografia delle asserzioni, nota anche come crittografia dei token.
   • Carica la chiave pubblica che hai creato nella federazione delle identità per i carichi di lavoro.
   • Conferma che il tuo IdP produce asserzioni SAML criptate.

   Tieni presente che, anche con le chiavi del fornitore di crittografia SAML configurate, la federazione delle identità per i carichi di lavoro può comunque elaborare un'asserzione in testo non crittografato.

   Crea chiavi di crittografia delle asserzioni SAML per la federazione delle identità per i workload

   Questa sezione ti guida nella creazione di una coppia di chiavi asimmetriche che consente alla federazione delle identità per i carichi di lavoro di accettare asserzioni SAML criptate.

   Google Cloud utilizza la chiave privata per decriptare le asserzioni SAML emesse dal tuo IdP. Per creare una coppia di chiavi asimmetriche da utilizzare con la crittografia SAML, esegui il seguente comando. Per saperne di più, consulta Algoritmi di crittografia SAML supportati.

   gcloud iam workload-identity-pools providers keys create KEY_ID \
       --workload-identity-pool WORKLOAD_POOL_ID \
       --provider WORKLOAD_PROVIDER_ID \
       --location global \
       --use encryption \
       --spec KEY_SPECIFICATION

   Sostituisci quanto segue:

   • KEY_ID: un nome della chiave a tua scelta
   • WORKLOAD_POOL_ID: l'ID pool
   • WORKLOAD_PROVIDER_ID: l'ID del provider del pool di identità della forza lavoro
   • KEY_SPECIFICATION: la specifica della chiave, che può essere rsa-2048, rsa-3072 e rsa-4096.

   Dopo aver creato la coppia di chiavi, esegui il seguente comando per scaricare la chiave pubblica in un file di certificato. Solo la federazione delle identità per i carichi di lavoro ha accesso alla chiave privata.

   gcloud iam workload-identity-pools providers keys describe KEY_ID \
       --workload-identity-pool WORKLOAD_POOL_ID \
       --provider WORKLOAD_PROVIDER_ID \
       --location global \
       --format "value(keyData.key)" \
       > CERTIFICATE_PATH

   Sostituisci quanto segue:

   • KEY_ID: il nome della chiave
   • WORKLOAD_POOL_ID: l'ID pool
   • WORKLOAD_PROVIDER_ID: l'ID del provider del pool di identità della forza lavoro
   • CERTIFICATE_PATH: il percorso in cui scrivere il certificato, ad esempio saml-certificate.cer o saml-certificate.pem

   Configurare l'IdP conforme a SAML 2.0 per emettere asserzioni SAML criptate

   Configura l'IdP SAML in modo che utilizzi il certificato pubblico scaricato dall'ultimo passaggio per criptare le asserzioni SAML che emette. Per istruzioni specifiche, rivolgiti al team del tuo IdP.

   Dopo aver configurato l'IdP per criptare le asserzioni SAML, ti consigliamo di verificare che le asserzioni generate siano effettivamente criptate. Anche con la crittografia delle asserzioni SAML configurata, la federazione delle identità per i workload può comunque elaborare le asserzioni in testo normale.

   Elimina le chiavi di crittografia della federazione delle identità per i workload

   Per eliminare le chiavi di crittografia SAML, esegui questo comando:

     gcloud iam workload-identity-pools providers keys delete KEY_ID \
         --workload-identity-pool WORKLOAD_POOL_ID \
         --provider WORKLOAD_PROVIDER_ID \
         --location global

   Sostituisci quanto segue:

   • KEY_ID: il nome della chiave
   • WORKLOAD_POOL_ID: l'ID pool
   • WORKLOAD_PROVIDER_ID: l'ID del provider del pool di identità della forza lavoro

   Algoritmi di crittografia SAML supportati

   La federazione delle identità per i carichi di lavoro supporta i seguenti algoritmi di trasporto delle chiavi:

   • http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p
   • http://www.w3.org/2009/xmlenc11#rsa-oaep"
   • http://www.w3.org/2001/04/xmlenc#rsa-1_5"

   La federazione delle identità per i carichi di lavoro supporta i seguenti algoritmi di crittografia a blocchi:

   • http://www.w3.org/2001/04/xmlenc#aes128-cbc
   • http://www.w3.org/2001/04/xmlenc#aes192-cbc
   • http://www.w3.org/2001/04/xmlenc#aes256-cbc
   • http://www.w3.org/2009/xmlenc11#aes128-gcm
   • http://www.w3.org/2009/xmlenc11#aes256-gcm

Accesso diretto alle risorse

Puoi concedere l'accesso a un'identità federata direttamente alle risorse utilizzando la console Google Cloud o gcloud CLI.

Simulazione dell'identità dei service account

1. Per creare un account di servizio per il workload esterno:

   1. Enable the IAM, Security Token Service, and Service Account Credentials APIs.

      Enable the APIs

   2. Crea un service account che rappresenti il workload. Ti consigliamo di utilizzare un account di servizio dedicato per ogni workload. Il account di servizio non deve trovarsi nello stesso progetto del pool di identità del carico di lavoro, ma devi fare riferimento al progetto che contiene il account di servizio.

   3. Concedi al account di servizio l'accesso alle risorse a cui vuoi che accedano le identità esterne.

2. Per consentire all'identità federata di rappresentare il account di servizio, procedi nel seguente modo:

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE"

Credenziali provenienti da file eseguibili

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --service-account-token-lifetime-seconds=SERVICE_ACCOUNT_TOKEN_LIFETIME \
    --output-file=FILEPATH.json \
    --executable-command=EXECUTABLE_COMMAND \
    --executable-timeout-millis=EXECUTABLE_TIMEOUT \
    --executable-output-file=EXECUTABLE_OUTPUT_FILE

Sostituisci quanto segue:

• PROJECT_NUMBER: Il numero di progetto del progetto che contiene il pool di identità del workload.
• POOL_ID: l'ID del pool di identità del workload.
• WORKLOAD_PROVIDER_ID: l'ID del fornitore del pool di identità del workload.
• SERVICE_ACCOUNT_EMAIL: se utilizzi la simulazione dell'identità del service account, sostituisci questo valore con l'indirizzo email del account di servizio. Ometti questo flag se non utilizzi l'impersonificazione dell'account di servizio.
• SERVICE_ACCOUNT_TOKEN_LIFETIME: se utilizzi l'impersonificazione dell'account di servizio, sostituiscilo con la durata del token di accesso all'account di servizio, in secondi; il valore predefinito è un'ora se non viene fornito. Ometti questo flag se non utilizzi l'impersonificazione delaccount di serviziot. Per specificare una durata superiore a un'ora, devi configurare il vincolo dei criteri dell'organizzazione constraints/iam.allowServiceAccountCredentialLifetimeExtension.
• FILEPATH: il file in cui salvare la configurazione.
• EXECUTABLE_COMMAND: il comando completo, inclusi gli argomenti, da eseguire per recuperare il token ID OIDC, ad esempio --executable-command="/path/to/command --foo=bar".
• EXECUTABLE_TIMEOUT: la durata facoltativa in millisecondi da attendere prima dell'esecuzione dell'eseguibile (il valore predefinito è 30 secondi).
• EXECUTABLE_OUTPUT_FILE: un percorso che punta alle credenziali 3PI generate dall'eseguibile. Ciò è utile per memorizzare nella cache le credenziali. Se specifichi questo percorso, le librerie Auth verificheranno prima la sua esistenza prima di eseguire l'eseguibile.

Credenziali basate su file

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --service-account-token-lifetime-seconds=SERVICE_ACCOUNT_TOKEN_LIFETIME \
    --output-file=FILEPATH.json \
    --credential-source-file=TOKEN_FILEPATH \
    --credential-source-type=SOURCE_TYPE \
    --credential-source-field-name=FIELD_NAME

Sostituisci quanto segue:

• PROJECT_NUMBER: Il numero di progetto del progetto che contiene il pool di identità del workload.
• POOL_ID: l'ID del pool di identità del workload.
• WORKLOAD_PROVIDER_ID: l'ID del fornitore del pool di identità del workload.
• SERVICE_ACCOUNT_EMAIL: se utilizzi la simulazione dell'identità del service account, sostituisci questo valore con l'indirizzo email del service account. Ometti questo flag se non utilizzi l'impersonificazione delaccount di serviziot.
• SERVICE_ACCOUNT_TOKEN_LIFETIME: se utilizzi l'impersonificazione dell'account di servizio, sostituiscilo con la durata del token di accesso all'account di servizio, in secondi; il valore predefinito è un'ora se non viene fornito. Ometti questo flag se non utilizzi l'impersonificazione delaccount di serviziot. Per specificare una durata superiore a un'ora, devi configurare il vincolo dei criteri dell'organizzazione constraints/iam.allowServiceAccountCredentialLifetimeExtension.
• FILEPATH: il file in cui salvare la configurazione.
• TOKEN_FILEPATH: il percorso in cui sono memorizzati i token ID OIDC.
• SOURCE_TYPE: il formato del file del token ID OIDC, impostato su text (impostazione predefinita) o json.
• FIELD_NAME: il campo nel file di testo che contiene il token (se SOURCE_TYPE è json).

Credenziali provenienti da URL

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --service-account-token-lifetime-seconds=SERVICE_ACCOUNT_TOKEN_LIFETIME \
    --output-file=FILEPATH.json \
    --credential-source-url="TOKEN_URL" \
    --credential-source-headers="KEY_1=VALUE_1,KEY_2=VALUE_2" \
    --credential-source-type=SOURCE_TYPE \
    --credential-source-field-name=FIELD_NAME

Sostituisci quanto segue:

• PROJECT_NUMBER: il numero di progetto del progetto che contiene il pool di identità del workload.
• POOL_ID: ID del pool di identità del workload.
• WORKLOAD_PROVIDER_ID: ID del fornitore del pool di identità del workload
• SERVICE_ACCOUNT_EMAIL: se utilizzi la simulazione dell'identità del service account, sostituiscilo con l'indirizzo email del service account. Ometti questo flag se non utilizzi l'impersonificazione delaccount di serviziot.
• SERVICE_ACCOUNT_TOKEN_LIFETIME: se utilizzi l'impersonificazione dell'account di servizio, sostituiscilo con la durata del token di accesso all'account di servizio, in secondi; il valore predefinito è un'ora se non viene fornito. Ometti questo flag se non utilizzi l'impersonificazione delaccount di serviziot. Per specificare una durata superiore a un'ora, devi configurare il vincolo dei criteri dell'organizzazione constraints/iam.allowServiceAccountCredentialLifetimeExtension.
• FILEPATH: il file in cui salvare la configurazione.
• TOKEN_URL: URL da cui recuperare il token ID OIDC
• KEY_n, VALUE_n: intestazioni personalizzate da includere nella richiesta HTTP a TOKEN_URL
• SOURCE_TYPE: formato del file del token ID OIDC, impostato su text (impostazione predefinita) o json
• FIELD_NAME: Campo nel file di testo che contiene il token (se SOURCE_TYPE è json)