Workforce Identity プール プロバイダを管理する

コードフロー

ウェブログインに認可コードフローを使用する OIDC プロバイダを作成するには、次のコマンドを実行します。

gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
    --client-secret-value="OIDC_CLIENT_SECRET" \
    --web-sso-response-type="code" \
    --web-sso-assertion-claims-behavior="merge-user-info-over-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --detailed-audit-logging \
    --location=global

次のように置き換えます。

• WORKFORCE_PROVIDER_ID: 一意の Workforce Identity プール プロバイダ ID。接頭辞 gcp- は予約されているため、Workforce Identity プールまたは Workforce Identity プール プロバイダ ID では使用できません。
• WORKFORCE_POOL_ID: IdP を接続する Workforce Identity プール ID。
• DISPLAY_NAME: プロバイダのわかりやすい表示名。省略可能です。例: idp-eu-employees
• DESCRIPTION: Workforce プロバイダの説明。省略可能です。例: IdP for Partner Example Organization employees
• ISSUER_URI: https で始まる有効な URI 形式の OIDC 発行者 URI。例: https://example.com/oidc注: セキュリティ上の理由により、ISSUER_URI では HTTPS スキームを使用する必要があります。
• OIDC_CLIENT_ID: OIDC IdP に登録されている OIDC クライアント ID。ID は、IdP によって発行された JWT の aud クレームと一致する必要があります。
• OIDC_CLIENT_SECRET: OIDC クライアント シークレット。
• WEB_SSO_ADDITIONAL_SCOPES: コンソール（連携）または gcloud CLI ブラウザベースのログイン用に OIDC IdP に送信する任意の追加スコープ
• ATTRIBUTE_MAPPING: 属性マッピング。属性マッピングの例を次に示します。

  google.subject=assertion.sub,
  google.groups=assertion.group1,
  attribute.costcenter=assertion.costcenter

  この例では、OIDC アサーションの IdP 属性 subject、group1、costcenter をそれぞれ google.subject、google.groups、attribute.costcenter の各属性にマッピングしています。
• ATTRIBUTE_CONDITION: 属性条件。例: assertion.role == 'gcp-users'この例の条件により、ロール gcp-users を持つユーザーのみがこのプロバイダを使用してログインできます。
• JWK_JSON_PATH: ローカルにアップロードされた OIDC JWK へのパス（省略可）。このパラメータを指定しない場合、代わりに Trusted Cloud は IdP の /.well-known/openid-configuration パスを使用して公開鍵を含む JWK を取得します。ローカルにアップロードされた OIDC JWK の詳細については、OIDC JWK を管理するをご覧ください。

• Workforce Identity 連携の詳細な監査ロギングでは、IdP から受信した情報が Logging に記録されます。詳細な監査ロギングは、Workforce Identity プール プロバイダの構成のトラブルシューティングに役立ちます。詳細な監査ロギングを使用して属性マッピング エラーのトラブルシューティングを行う方法については、一般的な属性マッピング エラーをご覧ください。Logging の料金については、Google Cloud Observability の料金をご覧ください。

  Workforce Identity プール プロバイダの詳細な監査ロギングを無効にするには、gcloud iam workforce-pools providers create の実行時に --detailed-audit-logging フラグを省略します。詳細な監査ロギングを無効にするには、プロバイダを更新することもできます。

暗黙的フロー

ウェブログインに暗黙的フローを使用する OIDC Workforce Identity プール プロバイダを作成するには、次のコマンドを実行します。

gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
    --web-sso-response-type="id-token" \
    --web-sso-assertion-claims-behavior="only-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --detailed-audit-logging \
    --location=global

次のように置き換えます。

• WORKFORCE_PROVIDER_ID: 一意の Workforce Identity プール プロバイダ ID。接頭辞 gcp- は予約されているため、Workforce Identity プールまたは Workforce Identity プール プロバイダ ID では使用できません。
• WORKFORCE_POOL_ID: IdP を接続する Workforce Identity プール ID。
• DISPLAY_NAME: プロバイダのわかりやすい表示名。省略可能です。例: idp-eu-employees
• DESCRIPTION: Workforce プロバイダの説明。省略可能です。例: IdP for Partner Example Organization employees
• ISSUER_URI: https で始まる有効な URI 形式の OIDC 発行者 URI。例: https://example.com/oidc注: セキュリティ上の理由により、ISSUER_URI では HTTPS スキームを使用する必要があります。
• OIDC_CLIENT_ID: OIDC IdP に登録されている OIDC クライアント ID。ID は、IdP によって発行された JWT の aud クレームと一致する必要があります。
• WEB_SSO_ADDITIONAL_SCOPES: コンソール（連携）または gcloud CLI ブラウザベースのログイン用に OIDC IdP に送信する任意の追加スコープ
• ATTRIBUTE_MAPPING: 属性マッピング。属性マッピングの例を次に示します。

  google.subject=assertion.sub,
  google.groups=assertion.group1,
  attribute.costcenter=assertion.costcenter

  この例では、OIDC アサーションの IdP 属性 subject、group1、costcenter をそれぞれ google.subject、google.groups、attribute.costcenter の各属性にマッピングしています。
• ATTRIBUTE_CONDITION: 属性条件。例: assertion.role == 'gcp-users'この例の条件により、ロール gcp-users を持つユーザーのみがこのプロバイダを使用してログインできます。
• JWK_JSON_PATH: ローカルにアップロードされた OIDC JWK へのパス（省略可）。このパラメータを指定しない場合、代わりに Trusted Cloud は IdP の /.well-known/openid-configuration パスを使用して公開鍵を含む JWK を取得します。ローカルにアップロードされた OIDC JWK の詳細については、OIDC JWK を管理するをご覧ください。

• Workforce Identity 連携の詳細な監査ロギングでは、IdP から受信した情報が Logging に記録されます。詳細な監査ロギングは、Workforce Identity プール プロバイダの構成のトラブルシューティングに役立ちます。詳細な監査ロギングを使用して属性マッピング エラーのトラブルシューティングを行う方法については、一般的な属性マッピング エラーをご覧ください。Logging の料金については、Google Cloud Observability の料金をご覧ください。

  Workforce Identity プール プロバイダの詳細な監査ロギングを無効にするには、gcloud iam workforce-pools providers create の実行時に --detailed-audit-logging フラグを省略します。詳細な監査ロギングを無効にするには、プロバイダを更新することもできます。

コードフロー

1. Trusted Cloud コンソールで、[Workforce Identity プール] ページに移動します。

   [Workforce Identity プール] に移動

2. [Workforce Identity プール] テーブルで、プロバイダを作成するプールを選択します。

3. [プロバイダ] テーブルで [プロバイダを追加] をクリックします。

4. [プロトコルを選択] で、[Open ID Connect（OIDC）] を選択します。

5. [プール プロバイダの作成] で、次の操作を行います。

   1. [名前] にプロバイダの名前を入力します。
   2. [発行元（URL）] に発行元 URI を入力します。OIDC 発行元 URI は有効な URI 形式で、https で始まる必要があります。（例: https://example.com/oidc）。
   3. クライアント ID（OIDC IdP に登録されている OIDC クライアント ID）を入力します。ID は、IdP によって発行された JWT の aud クレームと一致する必要があります。
   4. 有効なプロバイダを作成するには、[有効なプロバイダ] がオンになっていることを確認します。
   5. [続行] をクリックします。

6. [フロータイプ] で、次の操作を行います。フロータイプは、ウェブベースのシングル サインオン フローでのみ使用されます。

   1. [フロータイプ] で [コード] を選択します。
   2. [クライアント シークレット] に、IdP のクライアント シークレットを入力します。

   3. [アサーション クレームの動作] で、次のいずれかを選択します。

      • ユーザー情報と ID トークン
      • ID トークンのみ

   4. [続行] をクリックします。

7. [プロバイダの構成] で、属性のマッピングと属性条件を構成できます。属性のマッピングを作成する手順は次のとおりです。IdP フィールド名、または文字列を返す CEL 形式の式を指定できます。

   1. 必須: [OIDC 1] に、IdP からの件名を入力します（例: assertion.sub）。

   2. 省略可: 属性のマッピングを追加する手順は次のとおりです。

      1. [マッピングを追加] をクリックします。
      2. [Google n]（n は数値）で、Trusted Cloudでサポートされている鍵のいずれかを入力します。
      3. 対応する [OIDC n] フィールドに、マッピングする IdP 固有のフィールドの名前を CEL 形式で入力します。

   3. 属性条件を作成するには、次の操作を行います。

      1. [条件を追加] をクリックします。
      2. [属性条件] で、CEL 形式で条件を入力します（例: assertion.role == 'gcp-users'）。この例の条件により、ロール gcp-users を持つユーザーのみがこのプロバイダを使用してログインできます。

   4. 詳細な監査ロギングを有効にするには、[詳細なロギング] で [詳細な属性値のロギングを有効にする] 切り替えボタンをクリックします。

      Workforce Identity 連携の詳細な監査ロギングでは、IdP から受信した情報が Logging に記録されます。詳細な監査ロギングは、Workforce Identity プール プロバイダの構成のトラブルシューティングに役立ちます。詳細な監査ロギングを使用して属性マッピング エラーのトラブルシューティングを行う方法については、一般的な属性マッピング エラーをご覧ください。Logging の料金については、Google Cloud Observability の料金をご覧ください。

      Workforce Identity プール プロバイダの詳細な監査ロギングを無効にするには、gcloud iam workforce-pools providers create の実行時に --detailed-audit-logging フラグを省略します。詳細な監査ロギングを無効にするには、プロバイダを更新することもできます。

8. プロバイダを作成するには、[送信] をクリックします。

暗黙的フロー

1. Trusted Cloud コンソールで、[Workforce Identity プール] ページに移動します。

   [Workforce Identity プール] に移動

2. [Workforce Identity プール] テーブルで、プロバイダを作成するプールを選択します。

3. [プロバイダ] テーブルで [プロバイダを追加] をクリックします。

4. [プロトコルを選択] で、[Open ID Connect（OIDC）] を選択します。

5. [プール プロバイダの作成] で、次の操作を行います。

   1. [名前] にプロバイダの名前を入力します。
   2. [発行元（URL）] に発行元 URI を入力します。OIDC 発行元 URI は有効な URI 形式で、https で始まる必要があります。（例: https://example.com/oidc）。
   3. クライアント ID（OIDC IdP に登録されている OIDC クライアント ID）を入力します。ID は、IdP によって発行された JWT の aud クレームと一致する必要があります。
   4. 有効なプロバイダを作成するには、[有効なプロバイダ] がオンになっていることを確認します。
   5. [続行] をクリックします。

6. [フロータイプ] で、次の操作を行います。フロータイプは、ウェブベースのシングル サインオン フローでのみ使用されます。

   1. [フロータイプ] で [ID トークン] を選択します。
   2. [続行] をクリックします。

7. [プロバイダの構成] で、属性のマッピングと属性条件を構成できます。属性のマッピングを作成する手順は次のとおりです。IdP フィールド名、または文字列を返す CEL 形式の式を指定できます。

   1. 必須: [OIDC 1] に、IdP からの件名を入力します（例: assertion.sub）。

   2. 省略可: 属性のマッピングを追加する手順は次のとおりです。

      1. [マッピングを追加] をクリックします。
      2. [Google n]（n は数値）で、Trusted Cloudでサポートされている鍵のいずれかを入力します。
      3. 対応する [OIDC n] フィールドに、マッピングする IdP 固有のフィールドの名前を CEL 形式で入力します。

   3. 属性条件を作成するには、次の操作を行います。

      1. [条件を追加] をクリックします。

      2. [属性条件] で、CEL 形式で条件を入力します（例: assertion.role == 'gcp-users'）。この例の条件により、ロール gcp-users を持つユーザーのみがこのプロバイダを使用してログインできます。

   4. 詳細な監査ロギングを有効にするには、[詳細なロギング] で [詳細な属性値のロギングを有効にする] 切り替えボタンをクリックします。

      Workforce Identity 連携の詳細な監査ロギングでは、IdP から受信した情報が Logging に記録されます。詳細な監査ロギングは、Workforce Identity プール プロバイダの構成のトラブルシューティングに役立ちます。詳細な監査ロギングを使用して属性マッピング エラーのトラブルシューティングを行う方法については、一般的な属性マッピング エラーをご覧ください。Logging の料金については、Google Cloud Observability の料金をご覧ください。

      Workforce Identity プール プロバイダの詳細な監査ロギングを無効にするには、gcloud iam workforce-pools providers create の実行時に --detailed-audit-logging フラグを省略します。詳細な監査ロギングを無効にするには、プロバイダを更新することもできます。

8. プロバイダを作成するには、[送信] をクリックします。