Federación de identidades: Productos y limitaciones

• Tarjetas de resumen de rendimiento y copias de seguridad
• Datos en la tabla de clústeres, como el porcentaje de CPU y la memoria disponible

• Las funciones en versión preliminar no son compatibles con los usuarios de la federación de identidades de personal. Esto incluye las siguientes funciones:

  • Integración de Data Studio
  • Evaluación de riesgos
  • Descubrimiento de API paralela

• El desarrollo local con Apigee en Cloud Code no es compatible con los usuarios de la federación de identidades de personal.

• Las APIs de API Management no admiten a los usuarios de la federación de identidades de personal.

• Las APIs de Apigee Connect no admiten a los usuarios de la federación de identidades de personal.

• No se admite la administración de clientes de OAuth.
• No se admite la administración de marca de OAuth.

• Container Registry no admite la federación de identidades. Hay un banner de información en la página de configuración, en Transición de Container Registry.

• Las siguientes características no admiten la federación de identidades de personal con BigQuery:
  • Hojas conectadas
  • Google Drive
  • Recomendaciones
  • Estimador de ranuras
• Las siguientes operaciones no admiten la federación de identidades de personal:
  • Carga datos desde Amazon S3, Apache Spark o Azure Blob Storage a través de la API de Connection
  • Cargando datos desde Google Drive

analyzeMove no es compatible con la federación de identidades.

• Los usuarios de la federación de identidades de personal deben administrar la facturación con las páginas de facturación de la consola (federada) o el centro de pagos de Google (federado).

• La preferencia de idioma se selecciona durante el acceso y no se puede actualizar en la consola (federada).
• Las notificaciones, actualizaciones y ofertas de productos no se pueden habilitar en la página de preferencias de comunicación.
• No se admite la personalización basada en la actividad de la Cloud de Confiance consola.
• La página del Centro de transparencia y control no está disponible.

• Los usuarios de la federación de identidades de personal pueden crear casos de _asistencia técnica_ solo a través del _canal de correo electrónico_, pero no pueden usar el canal de asistencia por chat en vivo. Cuando se crean casos de _asistencia para la facturación_, todos los canales están disponibles, incluidos el autoservicio, el correo electrónico y el chat en vivo, aunque es posible que se les solicite a los usuarios que vuelvan a verificar su dirección de correo electrónico. Una vez que comience la interacción con el equipo de asistencia, no se podrán cambiar los detalles de contacto (por ejemplo, la dirección de correo electrónico) de los usuarios de la federación de identidades de personal.
• El Servicio de administración de eventos de la Asistencia premium no está disponible para los usuarios federados.

• El permiso de IAM run.routes.invoke, que puede administrar el acceso a los extremos del servicio de Cloud Run, no admite la federación de identidades de personal. Habilita Identity-Aware Proxy para Cloud Run para usarlo.
• Cloud Run no admite el acceso directo a recursos de la federación de identidades para cargas de trabajo. Para permitir el acceso, usa la identidad temporal como cuenta de servicio.

• El permiso de IAM run.routes.invoke, que administra el acceso a los extremos del servicio de Cloud Run, no admite la federación de identidades de personal. Habilita Identity-Aware Proxy para Cloud Run para usarlo.
• Cloud Run no admite la federación de identidades para cargas de trabajo. Para permitir el acceso, usa la identidad temporal como cuenta de servicio.

• La pestaña Trabajos cron de App Engine no está disponible para los usuarios de la federación de identidades de personal.
• La opción de App Engine en la configuración del tipo de destino no está disponible para los usuarios de la federación de identidades de personal.

• No se admite el Asistente de ayuda.
• La autenticación de la base de datos de IAM para los accesos de los usuarios no es compatible con las bases de datos de Cloud SQL para MySQL ni Cloud SQL para PostgreSQL.
• No se admiten las estadísticas de consultas.

• La visualización de los detalles del objeto requiere que se habilite el acceso uniforme a nivel de bucket para el bucket.
• No se admite el proceso con Cloud Run Functions.
• No se admite el análisis con Cloud Data Loss Prevention.

• La federación de identidades con todas las APIs de Cloud Storage solo es compatible con los buckets de acceso uniforme a nivel del bucket. Se rechaza el acceso de la federación de identidades a los buckets con listas de control de acceso (LCA) detalladas.
• Aunque todos los usuarios y las cargas de trabajo pueden usar URLs firmadas existentes, los usuarios y las cargas de trabajo de la federación de identidades no pueden generar URLs firmadas.

• Colas de App Engine: Dado que las colas de App Engine (colas que se crean con un archivo queue.yaml o queue.xml) contienen solo tareas con objetivos de App Engine, las tareas de estas colas no son compatibles.
• Colas regulares: Para las colas normales de Cloud Tasks, se admiten tareas con destinos HTTP. Las tareas con objetivos de App Engine no son compatibles (aunque la cola no sea una cola de App Engine).

• La importación de imágenes desde un bucket de Cloud Storage y la exportación de imágenes a un bucket de Cloud Storage requiere que se habilite el acceso uniforme a nivel de bucket para el bucket.
• No se admite la solución Bare Metal.

• En Agrega principales a la consola de Cloud de Confiance y a las APIs, el campo de texto ID de grupo no admite el autocompletado ni proporciona validación para los usuarios de la federación de identidades de personal.
• Los grupos de la federación de identidades de personal se identifican por sus IDs en lugar de sus nombres.

• Dataplex Explore Workbench no admite la federación de identidades de personal.
• Las secuencias de comandos y los notebooks programados a través de Explore Workbench no admiten la federación de identidades de personal.
• La vista segura no admite la federación de identidades de personal.

• Los usuarios de la federación de identidades de personal pueden realizar operaciones de creación, vista, actualización y eliminación en las páginas de listas de clústeres, trabajos y lotes. Los flujos de trabajo, las políticas de ajuste de escala automático y el intercambio de componentes no están disponibles para la federación de identidades de personal.
• La funcionalidad de creación de clústeres está disponible, excepto para la creación de clústeres de Managed Service para Apache Spark en GKE, clústeres de Managed Service para Apache Spark Compute Engine con autenticación personal o con la puerta de enlace de componentes habilitada.
• La sección Output en la página de detalles de lotes y trabajos no está disponible para los usuarios de la federación de identidades de personal.
• La sección Alerta de recomendación en la página de lista de clústeres y trabajos no está disponible para los usuarios de la federación de identidades de personal.

• Dataproc en GKE
• Autenticación de clúster personal de Managed Service para Apache Spark
• Multiusuario seguro basado en la cuenta de servicio de Managed Service para Apache Spark

• Cloud Marketplace contiene vínculos a dominios de Google que podrían no admitir la federación de identidades de personal.
• El botón Iniciar está inhabilitado para todos los productos de VM que usan Deployment Manager, ya que Deployment Manager no admite la federación de identidades de personal.
• El registro de SaaS y el acceso a SSO no son compatibles con la federación de identidades de personal.
• Producer Portal no admite la federación de identidades de personal.
• Adquisiciones de solicitudes no admite la federación de identidades de personal.
• El catálogo de servicios no admite la federación de identidades de personal.

• La exportación de informes de costo total de propiedad (Informes de TCO) no es compatible con los usuarios de la federación de identidades de personal.
• La exportación de recursos no es compatible con los usuarios de la federación de identidades de personal.

• La exportación de datos a Google Drive desde las APIs de Earth Engine no es compatible con la federación de identidades de personal.
• Los recursos heredados de Earth Engine que no se administran con proyectos de Cloud de Confiance no son compatibles con los usuarios de la federación de identidades de personal.

• Cuando accedes a cualquier clúster adjunto, clúster de GKE on AWS o clúster de GKE on Azure, la opción Usa tu identidad de Google no está disponible para la federación de identidades de personal.
• Cuando crees o adjuntes cualquier clúster conectado, clúster de GKE en AWS o clúster de GKE en Azure, no se te agregará automáticamente como administrador para la federación de identidades de personal.

• La columna Nombre en la tabla de IAM no muestra los nombres visibles de las identidades de Google.
• Cuando agregas nuevas principales para permitir políticas, el campo de texto Agregar principales solo admite el autocompletado de las cuentas de servicio.
• El campo de texto Agregar principal exenta en la página Registros de auditoría solo admite autocompletado para cuentas de servicio.

• En la pestaña Aplicaciones, la columna Método está inhabilitada y los usuarios no pueden usar identidades externas para la autorización.
• En la pestaña Aplicaciones, los recursos de App Engine no se pueden enumerar.
• El elemento Ir a la configuración de OAuth en el menú de acción more_vert no está disponible.
• En la pestaña Aplicaciones, no se pueden agregar ni enumerar conectores locales.

• La implementación continua con Cloud Build no admite la federación de identidades de personal.
• Registrar un dominio con Cloud Domains no admite la federación de identidades de personal.

• Memorystore for Redis
• Memorystore for Redis Cluster
• Memorystore for Memcached
• Memorystore for Valkey

Las siguientes funciones de Policy Intelligence tienen limitaciones para los usuarios de la federación de identidades de personal que usan la consola de la Cloud de Confiance by S3NS federación de identidades de personal:

• Solucionador de problemas de políticas: Los usuarios de la federación de identidades de personal no pueden solucionar problemas de acceso en la consola (federada).
• Analizador de políticas: Los usuarios de la federación de identidades de personal no pueden analizar el acceso en la consola (federada).
• Policy Simulator: Los usuarios de la federación de identidades de personal no pueden simular cambios en una política de permisos dentro de la consola (federada).
• Recomendador de IAM: Los usuarios de la federación de identidades de personal no pueden ver las recomendaciones en la consola (federada).

Las siguientes funciones de Policy Intelligence tienen limitaciones de API para las identidades federadas:

• Solucionador de problemas de políticas: Las identidades federadas no pueden verificar la membresía de los Grupos de Google en las políticas de permiso y rechazo, o la membresía de las cuentas (dominios) de Cloud Identity en las políticas de rechazo. Cuando las identidades federadas llaman al método iam.troubleshoot, las vinculaciones de roles y las reglas de denegación que contienen grupos o dominios tienen un resultado de acceso Desconocido, a menos que la regla de denegación o vinculación de roles también incluya la principal de forma explícita.

• Analizador de políticas: Cuando se llama al método analyzeIamPolicy o analyzeIamPolicyLongrunning, las identidades federadas pueden recibir resultados de análisis incompletos debido a los siguientes motivos:

  • Las identidades federadas no pueden verificar la membresía de los Grupos de Google en las políticas de permisos. Como resultado, cuando las identidades federadas analizan el acceso a una principal, los resultados de la consulta no incluyen los permisos ni las funciones que la principal tiene debido a su membresía en un grupo.
  • Cuando se analiza el acceso, las identidades federadas no pueden habilitar la opción expand-groups.

  Las identidades federadas no pueden usar los siguientes métodos de API:

  • analyzeMove
• Policy Simulator: Las identidades federadas no pueden usar la API de Policy Simulator (policysimulator.googleapis.com).
• Analizador de actividad: Las identidades federadas no pueden usar la API de Policy Analyzer (policyanalyzer.googleapis.com).
• Recomendador de IAM: Las identidades federadas no pueden usar la API de Recommender (recommender.googleapis.com).

• Los usuarios de la federación de identidades de personal no pueden configurar la autenticación de varios factores con un correo electrónico. Para obtener ayuda, comunícate con el equipo de Ventas.
• El sitio web de demostración en Cloud Shell no es compatible con los usuarios de la federación de identidades de personal.

• La información de eventos del usuario está oculta para los usuarios de la federación de identidades de personal.
• Las cuentas de Merchant Center no son compatibles con los usuarios de la federación de personal.
• Las estadísticas y el recuento de uso de los parámetros de configuración de entrega están ocultos para los usuarios de la federación de identidades de personal.
• Los requisitos de datos del modelo están ocultos para los usuarios de federación de identidades de personal.

• UpdateCatalog
• ImportCompletionData
• TuneModel
• ImportProducts
• PurgeProducts
• ImportUserEvents
• PurgeUserEvents
• RejoinUserEvents

• Los usuarios de la federación de identidades deben acceder a través de la interfaz web de la instancia de Secure Source Manager antes de ejecutar cualquiera de los siguientes comandos:
  • Comandos de la CLI de Git
  • Llamadas a la API a los extremos del plano de datos
• Los usuarios de la federación de identidades deben acceder a través de la interfaz web de la instancia de Secure Source Manager después de cada vencimiento de la sesión para seguir usando los comandos de la CLI de Git SSH con las claves SSH del usuario.

• Se debe crear una nueva instancia de Secure Source Manager para usar la federación de identidades de personal. No se pueden actualizar las instancias existentes.
• Los proveedores de grupos de identidades de la fuerza laboral que se usan para Secure Source Manager deben proporcionar asignaciones de atributos google.subject y google.email.
• Solo puedes usar tu identidad federada para acceder a una instancia de Secure Source Manager que esté configurada para usar la federación de identidades de personal.
• Las notificaciones por correo electrónico de Secure Source Manager no son compatibles con las instancias configuradas de la federación de identidades de personal.

• El servicio de postura de seguridad no se puede administrar con la Cloud de Confiance consola.

1. Agrega una cuenta de servicio a los propietarios de dominios con la API de Site Verification.
2. Usa la identidad de esta cuenta de servicio para crear un servicio administrado.

• No se admiten la creación ni la vista previa de los agentes de Vertex AI.
• No se admite la creación de almacenes de datos de Google Drive.

• Los notebooks administrados de Vertex AI Workbench (obsoletos) no admiten la federación de identidades de personal.
• Los notebooks administrados por el usuario de Vertex AI Workbench (obsoletos) no admiten la federación de identidades de personal.

• Políticas de acceso
• Reglas de entrada y salida en perímetros de servicio

• Las APIs de v1alpha no están disponibles para las identidades federadas.
• Los Controles del servicio de VPC solo admiten identificadores principales específicos de la federación de identidades de personal y la federación de identidades para cargas de trabajo. Puedes usar estos identificadores principales para configurar grupos de identidades e identidades de terceros en reglas de entrada y salida.