Federación de identidades: productos y limitaciones

• Tarjetas de resumen Rendimiento y Copias de seguridad
• Datos de la tabla de clústeres, como el porcentaje de CPU y la memoria disponible

• La interfaz de usuario clásica de Apigee no es compatible con los usuarios de la federación de identidades de Workforce. Los botones para cambiar a la interfaz de usuario clásica de Apigee no están disponibles. Las siguientes funciones, a las que solo se puede acceder mediante la interfaz de usuario clásica de Apigee, no son compatibles con los usuarios de la federación de identidades de Workforce:

  • Monetización de APIs de Apigee
  • Análisis para desarrolladores
  • Análisis de usuarios finales
  • Portales integrados

• Las funciones de la vista previa no están disponibles para los usuarios de la federación de identidad de Workforce. Esto incluye las siguientes funciones:

  • Detección de abusos
  • Centro de APIs
  • Gemini Code Assist con Apigee
  • Integración con Looker Studio
  • Evaluación de riesgos
  • Acciones de seguridad
  • Descubrimiento de APIs de sombra

• El desarrollo local con Apigee en Cloud Code no es compatible con los usuarios de Workforce Identity Federation.

• Las funciones de la vista previa no están disponibles para los usuarios de la federación de identidad de Workforce. Esto incluye las siguientes funciones:

  • APIs del centro de APIs
  • APIs de gestión de APIs
  • APIs de acciones de seguridad

• Las APIs de conexión de Apigee no se admiten para los usuarios de la federación de identidades de Workforce.

• No se admite la gestión de clientes de OAuth.
• No se admite la gestión de marcas de OAuth.

• Container Registry no admite la federación de identidades. En la página de configuración de Transición de Container Registry , hay un banner informativo.

• Las siguientes funciones no admiten la federación de identidades de la fuerza de trabajo con BigQuery:
  • Hojas vinculadas
  • Google Drive
  • Recuperación tras fallos gestionada
  • Monitorización
  • Recomendaciones
  • Estimador de espacios
  • API Legacy streaming
• Las siguientes operaciones no admiten la federación de identidades de Workforce:
  • Cargar datos de Amazon S3 , Apache Spark o Azure Blob Storage mediante la API Connection
  • Cargando datos de Google Drive

Cuando se usa el método analyzeIamPolicy o el método analyzeIamPolicyLongrunning , las identidades federadas pueden recibir resultados de análisis incompletos por los siguientes motivos:

• Las identidades federadas no pueden comprobar la pertenencia a grupos de Google en las políticas de permiso. Por lo tanto, cuando las identidades federadas analizan el acceso de una entidad de seguridad, los resultados de la consulta no incluyen los permisos ni los roles que tiene la entidad de seguridad debido a su pertenencia a un grupo.
• Al analizar el acceso, las identidades federadas no pueden habilitar la opción expand_groups .

analyzeMove no es compatible con la federación de identidades.

• Solo se admiten las cuentas de facturación mensual .

• Solo las cuentas de facturación mensual admiten la federación de identidades.

• Cloud Composer solo admite la federación de identidades de trabajo en entornos creados con la versión 2.1.11 o posterior de Composer y la versión 2.4.3 o posterior de Airflow. Al actualizar un entorno desde una versión anterior, no se habilita la compatibilidad con la federación de identidades de Workforce.
• Los mensajes de correo enviados desde Airflow solo incluyen el enlace a la interfaz de usuario de Airflow, al que se puede acceder con cuentas de Google. Para acceder a la interfaz de usuario de Airflow como usuario de Workforce Identity Federation, el enlace debe actualizarse manualmente (cambiarse a la URL de Workforce Identity Federation ).
• Las limitaciones de Cloud Storage se aplican al segmento del entorno de Cloud Composer.

• La preferencia de idioma se selecciona al iniciar sesión y no se puede actualizar en la consola.
• No se pueden habilitar las notificaciones, las actualizaciones ni las ofertas de productos en la página de preferencias de comunicación .
• No se admite la personalización basada en la actividad de tu Trusted Cloud consola.
• La página del Centro de transparencia y control no está disponible.

• Debido a las limitaciones de Facturación de Cloud para la federación de identidades de los trabajadores , solo el administrador de la organización puede acceder a la asistencia relacionada con la facturación a través de la cuenta de Trusted Cloud que se utilizó para configurar la cuenta de facturación.
• Los usuarios de la federación de identidades de Workforce pueden subir archivos relacionados con casos de asistencia, pero no descargarlos. Los ingenieros del equipo de Asistencia que gestionan tus casos pueden ver estos archivos.
• Los datos de contacto (por ejemplo, la dirección de correo electrónico) no se pueden cambiar para los usuarios de la federación de identidades de la plantilla una vez que se ha iniciado la interacción con el equipo de Asistencia.
• Los usuarios de la federación de identidades de la plantilla no pueden crear casos mediante el canal de asistencia por chat en directo.

• Los usuarios que hayan iniciado sesión mediante la federación de identidades pueden ver las anotaciones que se añaden a los incidentes de las políticas basadas en métricas , pero no pueden añadir anotaciones.
• Los usuarios que hayan iniciado sesión mediante la federación de identidades pueden ver las anotaciones que se añaden a los incidentes de las políticas basadas en registros , pero no pueden añadir anotaciones.

• El despliegue continuo con Cloud Build está inhabilitado en la federación de identidades de Workforce.
• Los conectores de VPC no se muestran en la federación de identidades de Workforce. Debes crearlos manualmente.

• Los conectores de VPC no se muestran en la federación de identidades de Workforce. Debes crearlos manualmente.
• No se admiten grupos de trabajadores en la federación de identidades de Workforce.
• Las pruebas previas a la implementación no se admiten en la federación de identidades de Workforce.

• La pestaña Tareas cron de App Engine no está disponible para los usuarios de Workforce Identity Federation.
• La opción App Engine de la configuración del tipo de destino no está disponible para los usuarios de la federación de identidades de los trabajadores.

• El Asistente de ayuda no está disponible.
• La autenticación de bases de datos de gestión de identidades y accesos para los inicios de sesión de usuarios no se admite en las bases de datos de Cloud SQL para MySQL ni en las de Cloud SQL para PostgreSQL .

• Para ver los detalles de un objeto, es necesario que el segmento tenga habilitado el acceso uniforme a nivel de segmento .
• No se admite el procesamiento con Cloud Run Functions.
• No se admite el análisis con Cloud Data Loss Prevention.

• La federación de identidades con todas las APIs de Cloud Storage solo se admite en los segmentos con acceso uniforme a nivel de segmento . Se rechaza el acceso de federación de identidades a los segmentos con listas de control de acceso (LCA) pormenorizadas.
• Aunque todos los usuarios y cargas de trabajo pueden usar las URLs firmadas , los usuarios y las cargas de trabajo de la federación de identidades no pueden generar URLs firmadas.
• Los usuarios y las cargas de trabajo de la federación de identidades no pueden usar notificaciones de cambio de objeto .

• Colas de App Engine: Como las colas de App Engine (colas creadas mediante un archivo queue.yaml o queue.xml ) solo contienen tareas con destinos de App Engine, no se admiten las tareas de estas colas.
• Colas normales: En las colas normales de Cloud Tasks, se admiten las tareas con destinos HTTP. No se admiten tareas con destinos de App Engine (aunque la cola no sea una cola de App Engine).

• Para importar imágenes desde un segmento de Cloud Storage y exportarlas a él, es necesario que el segmento tenga habilitado el acceso uniforme a nivel de segmento.
• VMware Engine no se admite.
• La solución Bare Metal no se admite.

• En Añadir principales a la consola Trusted Cloud y a las APIs , el campo de texto ID de grupo no admite la función de autocompletar ni proporciona validación para los usuarios de la federación de identidades de la plantilla.
• En el caso de los usuarios de la federación de identidades de Workforce, los grupos de Google se identifican por sus IDs en lugar de por sus nombres.

• El banco de trabajo Explorar de Dataplex no admite la federación de identidades de Workforce.
• Las secuencias de comandos y los cuadernos programados a través del explorador de Workbench no admiten la federación de identidades de Workforce.
• Vista segura no admite la federación de identidades de Workforce.

• Los usuarios de la federación de identidades de la fuerza de trabajo pueden crear, ver, actualizar y eliminar elementos en las páginas de lista de clústeres, trabajos y lotes. Los flujos de trabajo, las políticas de autoescalado y el intercambio de componentes no están disponibles en Workforce Identity Federation.
• La función de creación de clústeres está disponible, excepto para la creación de clústeres de Dataproc en GKE, clústeres de Dataproc Compute Engine con autenticación personal o con la pasarela de componentes habilitada.
• La sección Salida de la página de detalles de lote y de trabajo no está disponible para los usuarios de la federación de identidades de Workforce.
• La sección Alerta de recomendación de la página de lista de clústeres y trabajos no está disponible para los usuarios de la federación de identidades de la plantilla.

• Dataproc en GKE
• Autenticación de clústeres personales de Dataproc
• Multiarrendamiento seguro basado en la cuenta de servicio de Dataproc

• Las reglas de seguridad no admiten la federación de identidades de Workforce.
• Key Visualizer no es compatible con la federación de identidades de Workforce.

• Cuando inicias sesión en cualquier clúster externo (GKE Enterprise), la opción Usar tu identidad de Google no está disponible para la federación de identidades de trabajo.
• Cuando creas o adjuntas clústeres externos (GKE Enterprise), no se te añade automáticamente como administrador de la federación de identidades de la fuerza de trabajo.

• Cloud Marketplace contiene enlaces a dominios de Google que puede que no admitan la federación de identidades de Workforce.
• El botón Iniciar está inhabilitado en todos los productos de máquinas virtuales que usan Deployment Manager, ya que este no admite la federación de identidades de Workforce.
• El registro de SaaS y el inicio de sesión único no admiten la federación de identidades de Workforce.
• Producer Portal no admite la federación de identidades de Workforce.
• Solicitar compra no admite la federación de identidades de Workforce.
• Service Catalog no admite la federación de identidades de Workforce.

• No se admite la exportación de informes de coste total de propiedad (TCO) para los usuarios de la federación de identidades de los empleados.
• Exportar recursos no es compatible con los usuarios de la federación de identidades de Workforce.

• La columna Nombre de la tabla de IAM no muestra los nombres visibles de las identidades de Google.
• Cuando añadas nuevas entidades principales a las políticas de permiso, el campo de texto Añadir principales solo admite la función de autocompletar para las cuentas de servicio.
• El campo de texto Añadir principal exento de la página Registros de auditoría solo admite la función de autocompletar para las cuentas de servicio.

• En la pestaña Aplicaciones, la columna Método está inhabilitada y los usuarios no pueden usar identidades externas para la autorización.
• En la pestaña Aplicaciones, no se pueden enumerar los recursos de App Engine.
• La opción Ir a la configuración de OAuth del menú de acciones more_vert no está disponible.
• En la pestaña Aplicaciones , no se pueden añadir ni mostrar conectores locales.

• El despliegue continuo con Cloud Build no es compatible con la federación de identidades de Workforce.
• Registrar un dominio con Cloud Domains no admite Workforce Identity Federation.

• Memorystore para Redis
• Memorystore para Redis Cluster
• Memorystore para Memcached
• Memorystore for Valkey

Las siguientes funciones de Estadísticas de políticas tienen limitaciones para los usuarios de Workforce Identity Federation que utilizan la consola de Workforce Identity Federation: Trusted Cloud by S3NS

• Solucionador de problemas de políticas : Los usuarios de la federación de identidades de la plantilla no pueden solucionar problemas de acceso en la consola (federada).
• Analizador de políticas : Los usuarios de la federación de identidades de los empleados no pueden analizar el acceso en la consola (federado).
• Simulador de políticas : Los usuarios de la federación de identidades de trabajo no pueden simular cambios en una política de permiso en la consola (federada).
• Recomendador de gestión de identidades y accesos : los usuarios de la federación de identidades de la plantilla no pueden ver las recomendaciones en la consola (federada).

Las siguientes funciones de Policy Intelligence tienen limitaciones de API para las identidades federadas:

• Herramienta para solucionar problemas de políticas : Las identidades federadas no pueden comprobar la pertenencia a grupos de Google en las políticas de permitir y denegar, ni la pertenencia a cuentas (dominios) de Cloud Identity en las políticas de denegar. Cuando las identidades federadas llaman al método iam.troubleshoot , los enlaces de roles y las reglas de denegación que contienen grupos o dominios tienen un resultado de acceso de Unknown , a menos que el enlace de roles o la regla de denegación también incluyan explícitamente la entidad de seguridad.

• Al llamar al método analyzeIamPolicy o al método analyzeIamPolicyLongrunning , las identidades federadas pueden recibir resultados de análisis incompletos por los siguientes motivos:

  • Las identidades federadas no pueden comprobar la pertenencia a grupos de Google en las políticas de permisos. Por lo tanto, cuando las identidades federadas analizan el acceso de una entidad de seguridad, los resultados de la consulta no incluyen los permisos ni los roles que tiene la entidad de seguridad debido a su pertenencia a un grupo.
  • Al analizar el acceso, las identidades federadas no pueden habilitar la opción expand-groups .

  Las identidades federadas no pueden usar los siguientes métodos de la API:

  • analyzeMove
• Simulador de política : las identidades federadas no pueden usar la API Policy Simulator ( policysimulator.googleapis.com ).
• Analizador de actividad : las identidades federadas no pueden usar la API Analizador de políticas ( policyanalyzer.googleapis.com ).
• Recomendador de IAM : las identidades federadas no pueden usar la API Recommender ( recommender.googleapis.com ).

• Los usuarios de Workforce Identity Federation no pueden configurar la autenticación multifactor por correo electrónico. Para obtener ayuda, ponte en contacto con el equipo de Ventas .
• El sitio web de demostración de Cloud Shell no es compatible con los usuarios de Workforce Identity Federation.

• Los usuarios de Workforce Identity Federation solo pueden ver y operar en la organización para la que se ha configurado Workforce Identity Federation. Las otras organizaciones a las que se añaden los usuarios no se muestran en la consola de Trusted Cloud .
• Los tiempos de espera para que determinadas operaciones se reflejen en la interfaz de usuario son largos. Por ejemplo, crear un proyecto o una carpeta.

• La información de eventos de usuario está oculta para los usuarios de la federación de identidades de la plantilla.
• Las cuentas de Merchant Center no se admiten para los usuarios de federación de la plantilla.
• Configuraciones de servicio La analítica y el recuento de uso están ocultos para los usuarios de Workforce Identity Federation.
• Requisitos de datos del modelo están ocultos para los usuarios de la federación de identidades de la plantilla.

• UpdateCatalog
• ImportCompletionData
• TuneModel
• ImportProducts
• PurgeProducts
• ImportUserEvents
• ImportUserEvents
• PurgeUserEvents
• RejoinUserEvents

• Los usuarios de la federación de identidades deben iniciar sesión a través de la instancia de Secure Source Manager interfaz web antes de ejecutar cualquiera de los siguientes comandos:
  • Comandos de la CLI de Git
  • Llamadas a la API a endpoints del plano de datos
• Los usuarios de la federación de identidades deben iniciar sesión a través de la instancia de Secure Source Manager interfaz web después de cada vencimiento de sesión para seguir usando los comandos de la CLI de Git SSH con las llaves SSH de usuario.

• Para usar Workforce Identity Federation, debes crear una instancia de Secure Source Manager. Las instancias no se pueden actualizar.
• Los proveedores de grupos de identidades de empleados que se usen en Gestor de fuentes seguras deben proporcionar asignaciones de atributos google.subject y google.email .
• Solo puedes usar tu identidad federada para iniciar sesión en una instancia de Secure Source Manager que esté configurada para usar Workforce Identity Federation.
• Las notificaciones por correo electrónico de Secure Source Manager no se admiten en las instancias configuradas de la federación de identidades de los empleados.

• Exportar hallazgos a un archivo CSV
• Exportar resultados a Cloud Storage
• Botón Enviar comentarios
• Los ajustes de exportación de Google SecOps no se pueden gestionar en el entorno federado, por lo que el banner Google SecOps no está disponible en la página Exportaciones continuas .
• Cuadro de diálogo de advertencia que indica que el estado de habilitación se hereda de forma predeterminada en la página Habilitación de servicios
• El servicio Postura de seguridad no se puede gestionar mediante la consola de Trusted Cloud .

1. Añade una cuenta de servicio a los propietarios de dominios mediante la API Site Verification .
2. Usar la identidad de esta cuenta de servicio para crear un servicio gestionado.

• No se admite la creación y la vista previa de agentes de Vertex AI .
• No se admite la creación de almacenes de datos de Google Drive .

• Los cuadernos gestionados de Vertex AI Workbench ( Obsoleto ) no admiten la federación de identidades de Workforce.
• Los cuadernos gestionados por el usuario de Vertex AI Workbench ( obsoleto ) no admiten la federación de identidades de la plantilla.

• Políticas de acceso
• Reglas de entrada y salida en perímetros de servicio

• v1alpha Las APIs no están disponibles para identidades federadas.
• Controles de Servicio de VPC solo admite las entidades principales de v1 Federación de Identidades de los Empleados y de Federación de Identidades de Cargas de Trabajo que empiezan por los prefijos principal y principalSet en los identificadores de entidades principales de la API IAM v1 . Puedes usar estos identificadores principales en las reglas de entrada y salida del perímetro de servicio .