Gestionar grupos y proveedores de Workload Identity

En esta página se explica cómo gestionar los grupos de identidades de carga de trabajo y sus proveedores de identidades.

Puedes gestionar los grupos y los proveedores con la consola Trusted Cloud , Google Cloud CLI o la API REST.

Antes de empezar

Crea un grupo de identidades de carga de trabajo. Consulta una de las siguientes páginas para saber cómo hacerlo:

• Acceder a recursos de AWS
• Acceder a recursos desde Microsoft Azure
• Acceder a recursos desde un proveedor de identidades OIDC
• Acceder a recursos desde un proveedor de identidades SAML 2.0

Roles obligatorios

Para obtener los permisos que necesitas para gestionar grupos y proveedores de Workload Identity, pide a tu administrador que te conceda los siguientes roles de gestión de identidades y accesos en el proyecto:

• Para ver grupos y proveedores, haz lo siguiente: Visor de grupos de Workload Identity de IAM (roles/iam.workloadIdentityPoolViewer)
• Para ver, crear, actualizar y eliminar grupos y proveedores: Administrador de grupos de Workload Identity de IAM (roles/iam.workloadIdentityPoolAdmin)

Para obtener más información sobre cómo conceder roles, consulta el artículo Gestionar el acceso a proyectos, carpetas y organizaciones.

Estos roles predefinidos contienen los permisos necesarios para gestionar grupos y proveedores de Workload Identity. Para ver los permisos exactos que se necesitan, despliega la sección Permisos necesarios:

También puedes obtener estos permisos con roles personalizados u otros roles predefinidos.

Gestionar grupos de identidades de carga de trabajo

En esta sección se explica cómo gestionar grupos de identidades de carga de trabajo.

Crear grupos

Para crear grupos de identidades de carga de trabajo en un proyecto, haz lo siguiente:

Mostrar grupos

Para enumerar todos los grupos de identidades de carga de trabajo de un proyecto, haz lo siguiente:

Obtener un grupo

Para obtener los detalles de un grupo de identidades de carga de trabajo específico, haz lo siguiente:

Actualizar un grupo

Puedes habilitar o inhabilitar un grupo de identidades de carga de trabajo. También puedes cambiar su nombre visible o su descripción.

Para actualizar un grupo de identidades de carga de trabajo, sigue estos pasos:

Eliminar un grupo

Cuando eliminas un grupo de identidades de carga de trabajo, también se eliminan sus proveedores. Como resultado, las identidades del grupo pierden el acceso a los recursos deTrusted Cloud .

Puedes restaurar un grupo hasta 30 días después de eliminarlo. Transcurridos 30 días, la eliminación es permanente. Hasta que no se elimine definitivamente un grupo, no podrá reutilizar su nombre al crear un nuevo grupo de identidades de carga de trabajo.

Para eliminar un grupo de identidades de carga de trabajo y sus proveedores de identidades, sigue estos pasos:

Recuperar un grupo

Puedes recuperar un grupo de identidades de carga de trabajo eliminado hasta 30 días después de la eliminación.

Para restaurar un grupo, haz lo siguiente:

Gestionar proveedores de grupos de identidades de carga de trabajo

En esta sección se explica cómo gestionar proveedores de grupos de identidades de carga de trabajo.

Crear un proveedor

Para crear un proveedor de grupos de identidades de carga de trabajo en un grupo de identidades de carga de trabajo, haz lo siguiente:

Mostrar proveedores

Para enumerar los proveedores de grupos de identidades de carga de trabajo de un proyecto, haz lo siguiente:

Obtener un proveedor

Para obtener los detalles de un proveedor de grupos de identidades de carga de trabajo específico, haz lo siguiente:

Actualizar un proveedor

Puede habilitar o inhabilitar un proveedor de grupos de identidades de carga de trabajo. También puedes actualizar la información de la cuenta, la asignación de atributos, el nombre visible y la descripción.

Para actualizar un proveedor de grupos de identidades de carga de trabajo, sigue estos pasos:

Eliminar un proveedor

Cuando eliminas un proveedor de grupos de identidades de carga de trabajo, las identidades del proveedor pierden el acceso a los recursos. Trusted Cloud

Puedes restaurar un proveedor hasta 30 días después de eliminarlo. Transcurridos 30 días, la eliminación es permanente. Hasta que un proveedor se elimine de forma permanente, no podrá reutilizar su nombre al crear otro.

Para eliminar un proveedor de grupos de identidades de carga de trabajo, sigue estos pasos:

Restaurar un proveedor

Puedes recuperar un proveedor de grupos de identidades de carga de trabajo eliminado hasta 30 días después de la eliminación. Para restaurar un proveedor, sigue estos pasos:

Gestionar las restricciones de la federación de identidades de cargas de trabajo

Puedes usar restricciones de políticas de organización para restringir cómo se pueden usar los recursos de tu organización Trusted Cloud by S3NS .

En esta sección se describen las restricciones recomendadas al usar la federación de identidades de carga de trabajo.

Restringir la configuración del proveedor de identidades

Como administrador de una organización, puedes decidir con qué proveedores de identidades puede federarse tu organización.

Para gestionar los proveedores de identidades permitidos, habilita la restricción de lista constraints/iam.workloadIdentityPoolProviders en la política de organización de tu organización. Esta restricción especifica los URIs del emisor de los proveedores permitidos. Puedes usar la Trusted Cloud consola o Google Cloud CLI para habilitar esta restricción.

Para permitir solo la federación de AWS, crea una sola restricción con el URI https://sts.amazonaws.com. En el siguiente ejemplo se muestra cómo crear esta restricción con la CLI de gcloud:

gcloud resource-manager org-policies allow constraints/iam.workloadIdentityPoolProviders \
     https://sts.amazonaws.com --organization=ORGANIZATION_NUMBER

También puede especificar qué IDs de cuenta de AWS tienen acceso a sus Trusted Cloud by S3NS recursos. Para especificar los IDs de cuenta, usa la restricción de lista constraints/iam.workloadIdentityPoolAwsAccounts:

gcloud resource-manager org-policies allow constraints/iam.workloadIdentityPoolAwsAccounts \
    ACCOUNT_ID --organization=ORGANIZATION_NUMBER

Para permitir la federación solo desde un proveedor de OIDC, cree una sola restricción con el issuer_uri del proveedor permitido. Por ejemplo, lo siguiente solo permite la federación desde un inquilino de Azure específico:

gcloud resource-manager org-policies allow constraints/iam.workloadIdentityPoolProviders \
     https://sts.windows.net/AZURE_TENANT_ID --organization=ORGANIZATION_NUMBER

La federación de un proveedor de identidades SAML es un caso especial, ya que las claves públicas que se usan para validar la aserción se proporcionan en el momento de la configuración en lugar de obtenerse directamente del proveedor de identidades. Por lo tanto, es posible que un usuario malintencionado intente subir un documento de metadatos SAML con el ID de entidad del proveedor de identidades de tu organización, pero con una clave pública a la que tenga acceso a la clave privada. Restringir la federación por el ID de entidad en este caso solo da una ilusión de seguridad. Por este motivo, te recomendamos que solo permitas la creación de un grupo de identidades de carga de trabajo que permita la federación SAML en un Trusted Cloud proyecto que tu organización gestione de forma centralizada. Después, puedes conceder acceso a los recursos de tu organización a las identidades externas de ese grupo de identidades de carga de trabajo.

Para permitir la federación de proveedores de identidades SAML, cree una restricción que permita la palabra clave especial KEY_UPLOAD.

gcloud resource-manager org-policies allow constraints/iam.workloadIdentityPoolProviders \
     KEY_UPLOAD --organization=ORGANIZATION_NUMBER

Puedes repetir estos comandos para permitir la federación de otros proveedores.

Para bloquear la federación de todos los proveedores, sigue estos pasos:

1. Crea un archivo YAML con el siguiente contenido:

   constraint: constraints/iam.workloadIdentityPoolProviders
   listPolicy:
     allValues: DENY

2. Envía el archivo al comando gcloud resource-manager org-policies set-policy:

   gcloud resource-manager org-policies set-policy FILE_NAME.yaml \
       --organization=ORGANIZATION_NUMBER

Restringir la creación de claves de cuentas de servicio

Workload Identity Federation te permite acceder a Trusted Cloud recursos desde fuera Trusted Cloud sin usar una clave de cuenta de servicio. Si nunca usas claves de cuentas de servicio para autenticarte, puedes reducir el riesgo inhabilitando la creación de claves.

Para inhabilitar la creación de claves de cuentas de servicio, aplica la restricción booleana iam.disableServiceAccountKeyCreation en la política de organización de tu organización. También puedes aplicar la restricción booleana iam.disableServiceAccountKeyUpload, que inhabilita la subida de claves públicas a las cuentas de servicio.

Puedes usar la Trusted Cloud consola o gcloud CLI para habilitar estas restricciones. Por ejemplo, los siguientes comandos de la CLI de gcloud habilitan ambas restricciones:

gcloud resource-manager org-policies enable-enforce \
    constraints/iam.disableServiceAccountKeyCreation \
    --organization=ORGANIZATION_NUMBER
gcloud resource-manager org-policies enable-enforce \
    constraints/iam.disableServiceAccountKeyUpload \
    --organization=ORGANIZATION_NUMBER

Monitorizar la federación de identidades de cargas de trabajo

Puedes usar las métricas de Cloud Monitoring para monitorizar los eventos de autenticación de tus grupos y proveedores de identidades de carga de trabajo. Para ver una lista de las métricas disponibles, consulta Métricas de gestión de identidades y accesos.

Siguientes pasos

Más información sobre la federación de identidades de cargas de trabajo