身分聯盟：產品和限制

• 「效能」和「備份」摘要資訊卡
• 叢集資料表中的資料，例如 CPU 百分比和可用記憶體

• 員工身分聯盟使用者不支援預先發布版功能。這包括下列功能：

  • 與數據分析整合
  • 風險評估
  • Shadow API Discovery

• 員工身分聯盟使用者無法 透過 Cloud Code 使用 Apigee 進行本機開發 。

• API Management API 不支援員工身分聯盟使用者。

• Apigee Connect API 不支援員工身分聯盟使用者。

• 不支援 OAuth 用戶端管理。
• 不支援 OAuth 品牌管理。

• Container Registry 不支援身分聯盟。「Container Registry 轉換」設定頁面會顯示資訊橫幅。

• 下列功能不支援搭配 BigQuery 使用 Workforce Identity Federation：
  • 連結試算表
  • Google 雲端硬碟
  • 建議
  • 運算單元估算器
  • 使用 Gemini 生成 SQL 程式碼
  • 使用 Gemini 生成 Python 程式碼
• 下列作業不支援員工身分聯盟：
  • 透過 Connection API 從 Amazon S3、Apache Spark 或 Azure Blob 儲存體載入資料
  • 從 Google 雲端硬碟載入資料

身分聯盟不支援 analyzeMove。

• 員工身分聯盟使用者必須透過控制台 (聯合) 帳單頁面或 Google 付款中心 (聯合) 管理帳單。

• Airflow 傳送的電子郵件訊息只會包含 Google 帳戶可存取的 Airflow UI 連結。如要以員工身分聯盟使用者身分存取 Airflow UI，必須手動更新連結 (變更為員工身分聯盟網址)。
• 不支援 VPC Service Controls 輸入和輸出規則中的第三方 ID。

• 登入時選取的語言偏好設定無法在控制台 (聯盟) 中更新。
• 你無法在「通訊偏好設定」頁面啟用產品通知、最新消息和優惠。
• 系統不支援根據 Cloud de Confiance 控制台活動提供個人化內容。
• 無法使用「資訊公開和控制中心」頁面。

• 建立帳單支援案件時，使用者可能需要重新驗證電子郵件地址。 與支援團隊開始互動後，員工身分聯盟使用者就無法變更聯絡資料 (例如電子郵件地址)。
• Premium 支援活動管理服務不適用於員工身分聯盟使用者。

• IAM 權限 run.routes.invoke 可管理 Cloud Run 服務端點的存取權，但不支援員工身分聯盟。啟用 Cloud Run 適用的 Identity-Aware Proxy 即可使用。
• Cloud Run 不支援 Workload Identity Federation 直接存取資源。如要允許存取，請使用服務帳戶模擬功能。

• IAM 權限 run.routes.invoke 可管理 Cloud Run 服務端點的存取權，但不支援員工身分聯盟。啟用 Cloud Run 適用的 Identity-Aware Proxy 即可使用。
• Cloud Run 不支援 Workload Identity Federation。如要允許存取，請使用服務帳戶模擬功能。

• 員工身分聯盟使用者無法使用「App Engine Cron 工作」分頁。
• 員工身分聯盟使用者無法在目標類型設定中，選取 App Engine 選項。

• 不支援使用說明助理。
• 不支援查詢洞察。

• 如要查看物件詳細資料，必須為 bucket 啟用統一 bucket 層級存取權。
• 不支援透過 Cloud Run 函式處理。
• 不支援透過 Cloud Data Loss Prevention 掃描。

• 只有統一 bucket 層級存取權 bucket 支援與所有 Cloud Storage API 進行身分同盟。如果值區設有精細的存取控制清單 (ACL)，系統會拒絕身分聯合存取要求。
• 雖然所有使用者和工作負載都能使用現有的經簽署的網址，但身分聯盟使用者和工作負載無法產生經簽署的網址。

• App Engine 佇列：由於 App Engine 佇列 (使用 queue.yaml 或 queue.xml 檔案建立的佇列) 只包含以 App Engine 為目標的工作，因此系統不支援這些佇列中的工作。
• 一般佇列：一般 Cloud Tasks 佇列支援具有 HTTP 目標的工作。不支援 App Engine 目標的工作 (即使佇列並非 App Engine 佇列)。

• 如要使用 Cloud Storage bucket 匯入及匯出映文件和磁碟，必須為 bucket 啟用統一 bucket 層級存取權。如要避開這項限制，請採取下列任一做法：
  • 如果不需要精細的物件存取控管清單 (ACL)，請在受影響的 Cloud Storage bucket 啟用統一 bucket 層級存取權：
    gcloud storage buckets update gs://BUCKET_NAME --uniform-bucket-level-access
  • 使用服務帳戶模擬，匯入及匯出映像檔和磁碟，並搭配未啟用統一值區層級存取權的值區。Google 服務帳戶是第一方憑證，不受身分聯合限制。如要模擬服務帳戶，請執行下列指令：
    gcloud config set auth/impersonate_service_account SERVICE_ACCOUNT_EMAIL
• 不支援 Bare Metal 解決方案。

• 在「Add principals to the Cloud de Confiance console & APIs」(將主體新增至 控制台和 API) 中，「Group ID」(群組 ID) 文字欄位不支援自動完成功能，也不會為員工身分聯盟使用者提供驗證。
• 員工身分聯盟群組是以 ID 識別，而非名稱。

• Dataplex Explore 工作台不支援員工身分聯盟。
• 透過探索工作台排定的指令碼和筆記本不支援員工身分聯盟。
• 安全檢視不支援員工身分聯盟。

• Workforce Identity Federation 使用者可以在「叢集」、「工作」和「批次」清單頁面中，執行建立、查看、更新和刪除作業。員工身分聯盟無法使用工作流程、自動調度資源政策和元件交換。
• 叢集建立功能可供使用，但無法在 GKE 叢集上建立 Managed Service for Apache Spark、建立採用個人驗證機制的 Managed Service for Apache Spark Compute Engine 叢集，或啟用元件閘道。
• 員工身分聯盟使用者無法查看批次和工作詳細資料頁面的「輸出」部分。
• 員工身分聯盟使用者無法查看叢集和工作清單頁面的「建議的快訊」部分。

• Dataproc on GKE
• Managed Service for Apache Spark 個人叢集驗證
• 以 Managed Service for Apache Spark 服務帳戶為基礎的安全多租戶架構

• Cloud Marketplace 包含 Google 網域連結，這些網域可能不支援員工身分聯盟。
• Deployment Manager 不支援員工身分聯盟，因此所有使用 Deployment Manager 的 VM 產品都會停用「Launch」(啟動) 按鈕。
• SaaS 註冊和單一登入登入功能不支援員工身分聯盟。
• Producer Portal 不支援員工身分聯盟。
• Request Procurement 不支援員工身分聯盟。
• Service Catalog 不支援員工身分聯盟。

• 員工身分聯盟使用者無法匯出總持有成本報表 (TCO 報表)。
• 員工身分聯盟使用者無法匯出資產。

• 員工身分聯盟不支援透過 Earth Engine API 將資料匯出至 Google 雲端硬碟。
• 員工身分聯盟使用者不支援非由 Cloud de Confiance 專案管理的舊版 Earth Engine 資產。

• 登入任何附加叢集、AWS 上的 GKE 叢集或 Azure 上的 GKE 叢集時，員工身分聯盟不提供「使用 Google 身分」選項。
• 建立或附加任何附加叢集、AWS 上的 GKE 叢集或 Azure 上的 GKE 叢集時，系統不會自動將您新增為 Workforce Identity Federation 的管理員。

• IAM 表格中的「Name」(名稱) 欄不會顯示 Google Identity 的顯示名稱。
• 在允許政策中新增主體時，「Add principals」(新增主體) 文字欄位僅支援服務帳戶的自動完成功能。
• 「稽核記錄」頁面的「新增豁免主體」文字欄位僅支援服務帳戶的自動完成功能。

• 在「應用程式」分頁中，「方法」欄會停用，使用者無法使用外部身分進行授權。
• 「應用程式」分頁無法列出 App Engine 資源。
• more_vert 動作選單中的「前往 OAuth 設定」項目無法使用。
• 在「應用程式」分頁中，無法新增或列出地端部署連接器。

• 使用 Cloud Build 持續部署不支援員工身分聯盟。
• 使用 Cloud Domains 註冊網域不支援員工身分聯盟。

• Memorystore for Redis
• Memorystore for Redis Cluster
• Memorystore for Memcached
• Memorystore for Valkey

下列 Policy Intelligence 功能對使用 Cloud de Confiance by S3NS 員工身分聯盟控制台的員工身分聯盟使用者有限制：

• 政策疑難排解工具：員工身分聯盟使用者無法在控制台 (聯合) 排解存取權問題。
• 政策分析工具：員工身分聯盟使用者無法在控制台 (聯合) 分析存取權。
• 政策模擬器： 員工身分聯盟使用者無法在控制台 (已聯合) 中，模擬允許政策的變更。
• IAM 建議工具：員工身分聯盟使用者無法在控制台 (聯合) 查看建議。

下列 Policy Intelligence 功能對聯合身分有 API 限制：

• 政策疑難排解工具：聯合身分無法檢查允許和拒絕政策中的 Google 群組成員資格，也無法檢查拒絕政策中的 Cloud Identity 帳戶 (網域) 成員資格。當聯合身分呼叫 iam.troubleshoot 方法時，如果角色繫結和拒絕規則包含群組或網域，存取結果會是「Unknown」，除非角色繫結或拒絕規則也明確包含主體。

• 政策分析工具：呼叫 analyzeIamPolicy 或 analyzeIamPolicyLongrunning 方法時，聯合身分可能會收到不完整的分析結果，原因如下：

  • 聯合身分無法查看允許政策中 Google 群組的成員資格。因此，當同盟身分分析主體的存取權時，查詢結果不會包含主體因群組成員資格而擁有的權限和角色。
  • 分析存取權時，聯合身分無法啟用 expand-groups 選項。

  聯合身分無法使用下列 API 方法：

  • analyzeMove
• Policy Simulator：聯合身分無法使用 Policy Simulator API (policysimulator.googleapis.com)。
• 活動分析工具：同盟身分無法使用政策分析工具 API (policyanalyzer.googleapis.com)。
• IAM 建議工具：聯合身分無法使用 Recommender API (recommender.googleapis.com)。

• 員工身分聯盟使用者無法透過電子郵件設定多重驗證。如需協助，請聯絡銷售人員。
• 員工身分聯盟使用者無法使用 Cloud Shell 中的示範網站。

• 員工身分聯盟使用者無法查看使用者事件資訊。
• 員工身分聯盟使用者不支援 Merchant Center 帳戶。
• 員工身分聯盟使用者無法查看放送設定的分析資料和使用次數。
• 員工身分聯盟使用者不會看到模型資料需求。

• UpdateCatalog
• ImportCompletionData
• TuneModel
• ImportProducts
• PurgeProducts
• ImportUserEvents
• PurgeUserEvents
• RejoinUserEvents

• 身分聯合使用者必須先透過 Secure Source Manager 執行個體網頁介面登入，才能執行下列任一指令：
  • Git CLI 指令
  • 對資料平面端點的 API 呼叫
• 每次工作階段到期後，身分聯合使用者必須透過 Secure Source Manager 執行個體網頁介面登入，才能繼續使用 Git SSH CLI 指令和使用者安全殼層金鑰。

• 如要使用員工身分聯盟，必須建立新的 Secure Source Manager 執行個體。現有執行個體無法更新。
• 用於 Secure Source Manager 的工作團隊身分集區提供者，必須提供 google.subject 和 google.email 屬性對應。
• 您只能使用聯合身分，登入已設定使用員工身分聯盟的 Secure Source Manager 執行個體。
• 如果執行個體已設定員工身分聯盟，則不支援 Secure Source Manager 的電子郵件通知。

• 無法使用 Cloud de Confiance 控制台管理資安態勢服務。

1. 使用 Site Verification API，將服務帳戶新增至網域擁有者。
2. 模擬這個服務帳戶，建立代管服務。

• 員工身分聯盟使用者建立新的模型監控工作時，Agent Platform 不會預先填入快訊電子郵件地址。
• Vertex AI Pipelines 不支援控制台 (聯合) 中的員工身分聯盟。請改用 Vertex AI SDK for Python 或 Vertex AI API。

• 不支援建立及預覽 Vertex AI 代理。
• 系統不支援建立 Google 雲端硬碟資料儲存庫。

• Vertex AI Workbench 代管筆記本 (已淘汰) 不支援員工身分聯盟。
• Vertex AI Workbench 使用者自行管理的筆記本 (已淘汰) 不支援員工身分聯盟。

• 存取政策
• service perimeter 的輸入和輸出規則

• v1alpha API 不適用於聯合身分。
• VPC Service Controls 僅支援特定的員工身分聯盟和 Workload Identity Federation 主體 ID。您可以使用這些主體 ID，在輸入和輸出規則中設定身分群組和第三方身分。