Configure a federação de identidade da força de trabalho com o Microsoft Entra ID e inicie sessão nos utilizadores

Este documento mostra como configurar a federação de identidades de força de trabalho com o fornecedor de identidade (IdP) do Microsoft Entra ID e gerir o acesso aoTrusted Cloud by S3NS. Os utilizadores federados podem, em seguida, aceder aos Trusted Cloud serviços que suportam a federação de identidade da força de trabalho. Pode usar o protocolo OIDC ou o protocolo SAML 2.0 para federar identidades.

Antes de começar

1. Certifique-se de que tem uma organização do Trusted Cloud configurada.
2. Defina a variável de ambiente GOOGLE_CLOUD_UNIVERSE_DOMAIN para s3nsapis.fr.

3. Instale a CLI Google Cloud e, em seguida, inicie sessão na CLI gcloud com a sua identidade federada. Depois de iniciar sessão, inicialize a CLI gcloud executando o seguinte comando:

   gcloud init

4. No Microsoft Entra ID, certifique-se de que os tokens de ID estão ativados para o fluxo implícito. Para mais informações, consulte o artigo Ative a concessão implícita do token de ID.
5. Para iniciar sessão, o seu IDP tem de fornecer informações de autenticação assinadas: os IDPs OIDC têm de fornecer um JWT e as respostas do IDP SAML têm de ser assinadas.
6. Para receber informações importantes sobre alterações à sua organização ou aos Trusted Cloud produtos, tem de indicar contactos essenciais. Para mais informações, consulte a vista geral da federação de identidades da força de trabalho.

Custos

A federação de identidade da força de trabalho está disponível como uma funcionalidade sem custos financeiros. No entanto, o registo de auditoria detalhado da federação de identidades da força de trabalho usa o Cloud Logging. Para saber mais sobre os preços do Logging, consulte os preços da observabilidade do Google Cloud.

Funções necessárias

Para receber as autorizações de que precisa para configurar a Workforce Identity Federation, peça ao seu administrador para lhe conceder a função de administrador do Workforce Pool da IAM (roles/iam.workforcePoolAdmin) na organização. Para mais informações sobre a atribuição de funções, consulte o artigo Faça a gestão do acesso a projetos, pastas e organizações.

Também pode conseguir as autorizações necessárias através de funções personalizadas ou outras funções predefinidas.

Se estiver a configurar autorizações num ambiente de desenvolvimento ou de teste, mas não num ambiente de produção, pode conceder a função básica de proprietário da IAM (roles/owner), que também inclui autorizações para a federação de identidades da força de trabalho.

Crie uma aplicação do Microsoft Entra ID

Os Workforce Identity Pools suportam a federação através dos protocolos OIDC e SAML.

Crie um Workforce Identity Pool

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Crie o fornecedor do Workload Identity Pool do Microsoft Entra ID

Esta secção descreve como criar um fornecedor do pool de identidades da força de trabalho para permitir que os utilizadores do IdP acedam ao Trusted Cloud. Pode configurar o fornecedor para usar o protocolo OIDC ou SAML.

Crie um fornecedor do Workforce Identity Pool OIDC

Para criar um fornecedor do Workload Identity Pool para a integração da aplicação do Microsoft Entra ID, através do protocolo OIDC, faça o seguinte:

1. Para obter o URI do emissor da sua aplicação do Microsoft Entra ID, faça o seguinte:

   1. Aceda ao registo da aplicação do Microsoft Entra ID.
   2. Clique em Pontos finais.
   3. Abra o documento de metadados do OpenID Connect num novo separador.
   4. No JSON, copie o valor de issuer.

2. Para obter o ID de cliente da sua aplicação do Microsoft Entra ID, faça o seguinte:

   1. Aceda ao registo da aplicação do Microsoft Entra ID.
   2. Em ID (de cliente) da aplicação, copie o valor.

3. Para criar um fornecedor do Workload Identity Pool de OIDC para início de sessão baseado na Web, faça o seguinte:

   gcloud

   Para criar um fornecedor que suporte o protocolo OIDC, faça o seguinte:

   Fluxo de código

   Para criar um fornecedor OIDC que use o fluxo de código de autorização para início de sessão baseado na Web, faça o seguinte:

   1. Na sua aplicação do Microsoft Entra ID, para obter o segredo do cliente, faça o seguinte:

      1. Aceda ao registo da app do Microsoft Entra ID.

      2. Em Certificados e segredos, clique no separador Segredos do cliente.

      3. Para adicionar um segredo do cliente, clique em + Novo segredo do cliente.

      4. Na caixa de diálogo Adicionar um segredo do cliente, introduza as informações necessárias.

      5. Para criar o segredo do cliente, clique em Adicionar.

      6. No separador Segredos do cliente, encontre o seu novo segredo do cliente.

      7. Na coluna Valor do novo segredo do cliente, clique em content_copy Copiar.

   2. Na Trusted Cloud consola, para criar um fornecedor OIDC que use o fluxo de código, faça o seguinte:

      gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
          --workforce-pool=WORKFORCE_POOL_ID \
          --display-name="DISPLAY_NAME" \
          --description="DESCRIPTION" \
          --issuer-uri="ISSUER_URI" \
          --client-id="OIDC_CLIENT_ID" \
          --client-secret-value="OIDC_CLIENT_SECRET" \
          --web-sso-response-type="code" \
          --web-sso-assertion-claims-behavior="merge-user-info-over-id-token-claims" \
          --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
          --attribute-mapping="ATTRIBUTE_MAPPING" \
          --attribute-condition="ATTRIBUTE_CONDITION" \
          --jwk-json-path="JWK_JSON_PATH" \
          --detailed-audit-logging \
          --location=global
      

      Substitua o seguinte:

      • WORKFORCE_PROVIDER_ID: um ID do fornecedor do Workload Identity Pool exclusivo. O prefixo gcp- está reservado e não pode ser usado num ID do Workload Identity Pool ou do fornecedor do Workload Identity Pool.
      • WORKFORCE_POOL_ID: o ID do Workforce Identity Pool para associar ao seu IdP.
      • DISPLAY_NAME: Um nome a apresentar opcional e fácil de usar para o fornecedor; por exemplo, idp-eu-employees.
      • DESCRIPTION: uma descrição opcional do fornecedor de mão de obra; por exemplo, IdP for Partner Example Organization employees.
      • ISSUER_URI: O URI do emissor OIDC, num formato de URI válido, que começa com https; por exemplo, https://example.com/oidc. Nota: por motivos de segurança, ISSUER_URI tem de usar o esquema HTTPS.
      • OIDC_CLIENT_ID: O ID de cliente do OIDC que está registado no seu IDP do OIDC; o ID tem de corresponder à reivindicação aud do JWT emitido pelo seu IDP.
      • OIDC_CLIENT_SECRET: O segredo do cliente OIDC.
      • WEB_SSO_ADDITIONAL_SCOPES: Âmbitos adicionais opcionais a enviar para o IdP do OIDC para início de sessão baseado no navegador da consola (federado) ou da CLI gcloud.
      • ATTRIBUTE_MAPPING: um mapeamento de atributos. Para o Microsoft Entra ID com autenticação OIDC, recomendamos os seguintes mapeamentos de atributos:

        google.subject=assertion.sub,
        google.groups=assertion.groups,
        google.display_name=assertion.preferred_username
        

        Este exemplo mapeia os atributos do IdP subject, groups e preferred_username para os atributos Trusted Cloud google.subject, google.groups e google.display_name, respetivamente.

      • ATTRIBUTE_CONDITION: Uma condição de atributo; por exemplo, para limitar o atributo ipaddr a um determinado intervalo de IP, pode definir a condição assertion.ipaddr.startsWith('98.11.12.') .
      • JWK_JSON_PATH: um caminho opcional para um JWKs OIDC carregado localmente. Se este parâmetro não for fornecido, Trusted Cloud usa o caminho do seu IdP/.well-known/openid-configuration para obter os JWKs que contêm as chaves públicas. Para mais informações sobre os JWKs OIDC carregados localmente, consulte o artigo Faça a gestão dos JWKs OIDC.

      • A Workforce Identity Federation registra em registos de auditoria detalhados as informações recebidas do seu IdP no Logging. O registo de auditoria detalhado pode ajudar a resolver problemas de configuração do fornecedor do conjunto de identidades da força de trabalho. Para saber como resolver problemas de erros de mapeamento de atributos com registo de auditoria detalhado, consulte o artigo Erros gerais de mapeamento de atributos. Para saber mais sobre os preços do Logging, consulte os preços da observabilidade do Google Cloud.

        Para desativar o registo de auditoria detalhado para um fornecedor do Workload Identity Pool, omita a flag --detailed-audit-logging quando executar gcloud iam workforce-pools providers create. Para desativar o registo de auditoria detalhado, também pode atualizar o fornecedor.

      Na resposta ao comando, POOL_RESOURCE_NAME é o nome do conjunto; por exemplo, locations/global/workforcePools/enterprise-example-organization-employees.

   Fluxo implícito

   Para criar um fornecedor OIDC que use o fluxo implícito para o início de sessão na Web, faça o seguinte:

   1. Para ativar o token de ID na sua aplicação do Microsoft Entra ID, faça o seguinte:

      1. Aceda ao registo da aplicação do Microsoft Entra ID.
      2. Em Autenticação, selecione a caixa de verificação Token de ID.
      3. Clique em Guardar.

   2. Para criar o fornecedor, execute o seguinte comando:

      gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
          --workforce-pool=WORKFORCE_POOL_ID \
          --display-name="DISPLAY_NAME" \
          --description="DESCRIPTION" \
          --issuer-uri="ISSUER_URI" \
          --client-id="OIDC_CLIENT_ID" \
          --web-sso-response-type="id-token" \
          --web-sso-assertion-claims-behavior="only-id-token-claims" \
          --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
          --attribute-mapping="ATTRIBUTE_MAPPING" \
          --attribute-condition="ATTRIBUTE_CONDITION" \
          --jwk-json-path="JWK_JSON_PATH" \
          --detailed-audit-logging \
          --location=global
      

      Substitua o seguinte:

      • WORKFORCE_PROVIDER_ID: um ID do fornecedor do Workload Identity Pool exclusivo. O prefixo gcp- está reservado e não pode ser usado num ID do Workload Identity Pool ou do fornecedor do Workload Identity Pool.
      • WORKFORCE_POOL_ID: o ID do Workforce Identity Pool para associar ao seu IdP.
      • DISPLAY_NAME: Um nome a apresentar opcional e fácil de usar para o fornecedor; por exemplo, idp-eu-employees.
      • DESCRIPTION: uma descrição opcional do fornecedor de mão de obra; por exemplo, IdP for Partner Example Organization employees.
      • ISSUER_URI: O URI do emissor OIDC, num formato de URI válido, que começa com https; por exemplo, https://example.com/oidc. Nota: por motivos de segurança, ISSUER_URI tem de usar o esquema HTTPS.
      • OIDC_CLIENT_ID: O ID de cliente do OIDC que está registado no seu IDP do OIDC; o ID tem de corresponder à reivindicação aud do JWT emitido pelo seu IDP.
      • WEB_SSO_ADDITIONAL_SCOPES: Âmbitos adicionais opcionais a enviar para o IdP do OIDC para início de sessão baseado no navegador da consola (federado) ou da CLI gcloud.
      • ATTRIBUTE_MAPPING: um mapeamento de atributos. Para o Microsoft Entra ID com autenticação OIDC, recomendamos os seguintes mapeamentos de atributos:

        google.subject=assertion.sub,
        google.groups=assertion.groups,
        google.display_name=assertion.preferred_username
        

        Este exemplo mapeia os atributos do IdP subject, groups e preferred_username para os atributos Trusted Cloud google.subject, google.groups e google.display_name, respetivamente.

      • ATTRIBUTE_CONDITION: Uma condição de atributo; por exemplo, para limitar o atributo ipaddr a um determinado intervalo de IP, pode definir a condição assertion.ipaddr.startsWith('98.11.12.') .
      • JWK_JSON_PATH: um caminho opcional para um JWKs OIDC carregado localmente. Se este parâmetro não for fornecido, Trusted Cloud usa o caminho do seu IdP/.well-known/openid-configuration para obter os JWKs que contêm as chaves públicas. Para mais informações sobre os JWKs OIDC carregados localmente, consulte o artigo Faça a gestão dos JWKs OIDC.

      • A Workforce Identity Federation registra em registos de auditoria detalhados as informações recebidas do seu IdP no Logging. O registo de auditoria detalhado pode ajudar a resolver problemas de configuração do fornecedor do conjunto de identidades da força de trabalho. Para saber como resolver problemas de erros de mapeamento de atributos com registo de auditoria detalhado, consulte o artigo Erros gerais de mapeamento de atributos. Para saber mais sobre os preços do Logging, consulte os preços da observabilidade do Google Cloud.

        Para desativar o registo de auditoria detalhado para um fornecedor do Workload Identity Pool, omita a flag --detailed-audit-logging quando executar gcloud iam workforce-pools providers create. Para desativar o registo de auditoria detalhado, também pode atualizar o fornecedor.

      Na resposta ao comando, POOL_RESOURCE_NAME é o nome do conjunto; por exemplo, locations/global/workforcePools/enterprise-example-organization-employees.

   Consola

   Fluxo de código

   Para criar um fornecedor OIDC que use o fluxo de código de autorização para início de sessão baseado na Web, faça o seguinte:

   1. Para obter o segredo do cliente do Microsoft Entra ID, faça o seguinte:

      1. Aceda ao registo da app do Microsoft Entra ID.

      2. Em Certificados e segredos, clique no separador Segredos do cliente.

      3. Para adicionar um segredo do cliente, clique em + Novo segredo do cliente.

      4. Na caixa de diálogo Adicionar um segredo do cliente, introduza as informações necessárias.

      5. Para criar o segredo do cliente, clique em Adicionar.

      6. No separador Segredos do cliente, encontre o seu novo segredo do cliente.

      7. Na coluna Valor do novo segredo do cliente, clique em content_copy Copiar.

   2. Na Trusted Cloud consola, para criar um fornecedor OIDC que use o fluxo de código de autorização, faça o seguinte:

      1. Na Trusted Cloud consola, aceda à página Workforce Identity Pools:

         Aceda aos Workforce Identity Pools

      2. Na tabela Workforce Identity Pools, selecione o pool para o qual quer criar o fornecedor.

      3. Na tabela Fornecedores, clique em Adicionar fornecedor.

      4. Em Selecionar um protocolo, selecione Open ID Connect (OIDC).

      5. Em Crie um fornecedor de pool, faça o seguinte:

         1. Em Nome, introduza o nome do fornecedor.
         2. Em Emissor (URL), introduza o URI do emissor. O URI do emissor do OIDC tem de estar num formato de URI válido e começar por https; por exemplo, https://example.com/oidc.
         3. Introduza o ID de cliente, o ID de cliente OIDC registado no seu IdP OIDC. O ID tem de corresponder à reivindicação aud do JWT emitido pelo seu IdP.
         4. Para criar um fornecedor ativado, certifique-se de que a opção Fornecedor ativado está ativada.
         5. Clique em Continuar.

      6. Em Tipo de fluxo, faça o seguinte. O tipo de fluxo é usado apenas para um fluxo de início de sessão único baseado na Web.

         1. Em Tipo de fluxo, selecione Código.
         2. Em Segredo do cliente, introduza o segredo do cliente do seu IdP.

         3. Em Comportamento das reivindicações de afirmação, selecione uma das seguintes opções:

            • Informações do utilizador e token de ID
            • Apenas token de ID

         4. Clique em Continuar.

      7. Em Configurar fornecedor, pode configurar um mapeamento de atributos e uma condição de atributo. Para criar um mapeamento de atributos, faça o seguinte. Pode indicar o nome do campo do IdP ou uma expressão formatada em CEL que devolva uma string.

         1. Obrigatório: no OIDC 1, introduza o assunto do IdP; por exemplo, assertion.sub.

            Para o Microsoft Entra ID com autenticação OIDC, recomendamos os seguintes mapeamentos de atributos:

            google.subject=assertion.sub,
            google.groups=assertion.groups,
            google.display_name=assertion.preferred_username
            

            Este exemplo mapeia os atributos do IdP subject, groups e preferred_username para os atributos Trusted Cloud google.subject, google.groups e google.display_name, respetivamente.

         2. Opcional: para adicionar mapeamentos de atributos adicionais, faça o seguinte:

            1. Clique em Adicionar mapeamento.
            2. No Google n, em que n é um número, introduza uma das teclas suportadas.Trusted Cloud
            3. No campo OIDC n correspondente, introduza o nome do campo específico do IdP a mapear, no formato CEL.

         3. Para criar uma condição de atributo, faça o seguinte:

            1. Clique em Adicionar condição.
            2. Em Condições de atributos, introduza uma condição no formato CEL; por exemplo, para limitar o atributo ipaddr a um determinado intervalo de IPs, pode definir a condição assertion.ipaddr.startsWith('98.11.12.') .

         4. Para ativar o registo de auditoria detalhado, em Registo detalhado, clique no botão para ativar/desativar Ativar registo detalhado de valores de atributos.

            A Workforce Identity Federation registra em registos de auditoria detalhados as informações recebidas do seu IdP no Logging. O registo de auditoria detalhado pode ajudar a resolver problemas de configuração do fornecedor do conjunto de identidades da força de trabalho. Para saber como resolver problemas de erros de mapeamento de atributos com registo de auditoria detalhado, consulte o artigo Erros gerais de mapeamento de atributos. Para saber mais sobre os preços do Logging, consulte os preços da observabilidade do Google Cloud.

            Para desativar o registo de auditoria detalhado para um fornecedor do Workload Identity Pool, omita a flag --detailed-audit-logging quando executar gcloud iam workforce-pools providers create. Para desativar o registo de auditoria detalhado, também pode atualizar o fornecedor.

      8. Para criar o fornecedor, clique em Enviar.

   Fluxo implícito

   Para criar um fornecedor OIDC que use o fluxo implícito para o início de sessão baseado na Web, faça o seguinte:

   1. Para ativar o token de ID na sua aplicação do Microsoft Entra ID, faça o seguinte:

      1. Aceda ao registo da aplicação do Microsoft Entra ID.
      2. Em Autenticação, selecione a caixa de verificação Token de ID.
      3. Clique em Guardar.

   1. Na Trusted Cloud consola, aceda à página Workforce Identity Pools:

      Aceda aos Workforce Identity Pools

   2. Na tabela Workforce Identity Pools, selecione o pool para o qual quer criar o fornecedor.

   3. Na tabela Fornecedores, clique em Adicionar fornecedor.

   4. Em Selecionar um protocolo, selecione Open ID Connect (OIDC).

   5. Em Crie um fornecedor de pool, faça o seguinte:

      1. Em Nome, introduza um nome para o fornecedor.
      2. Em Emissor (URL), introduza o URI do emissor. O URI do emissor do OIDC tem de estar num formato de URI válido e começar por https; por exemplo, https://example.com/oidc.
      3. Introduza o ID de cliente, o ID de cliente OIDC registado no seu IdP OIDC. O ID tem de corresponder à reivindicação aud do JWT emitido pelo seu IdP.
      4. Para criar um fornecedor ativado, certifique-se de que a opção Fornecedor ativado está ativada.
      5. Clique em Continuar.

   6. Em Tipo de fluxo, faça o seguinte. O tipo de fluxo é usado apenas para um fluxo de início de sessão único baseado na Web.

      1. Em Tipo de fluxo, selecione Token de ID.
      2. Clique em Continuar.

   7. Em Configurar fornecedor, pode configurar um mapeamento de atributos e uma condição de atributo. Para criar um mapeamento de atributos, faça o seguinte. Pode indicar o nome do campo do IdP ou uma expressão formatada em CEL que devolva uma string.

      1. Obrigatório: no OIDC 1, introduza o assunto do IdP; por exemplo, assertion.sub.

         Para o Microsoft Entra ID com autenticação OIDC, recomendamos os seguintes mapeamentos de atributos:

         google.subject=assertion.sub,
         google.groups=assertion.groups,
         google.display_name=assertion.preferred_username
         

         Este exemplo mapeia os atributos do IdP subject, groups e preferred_username para os atributos Trusted Cloud google.subject, google.groups e google.display_name, respetivamente.

      2. Opcional: para adicionar mapeamentos de atributos adicionais, faça o seguinte:

         1. Clique em Adicionar mapeamento.
         2. No Google n, em que n é um número, introduza uma das teclas suportadas.Trusted Cloud
         3. No campo OIDC n correspondente, introduza o nome do campo específico do IdP a mapear, no formato CEL.

      3. Para criar uma condição de atributo, faça o seguinte:

         1. Clique em Adicionar condição.

         2. Em Condições de atributos, introduza uma condição no formato CEL; por exemplo, para limitar o atributo ipaddr a um determinado intervalo de IPs, pode definir a condição assertion.ipaddr.startsWith('98.11.12.') .

      4. Para ativar o registo de auditoria detalhado, em Registo detalhado, clique no botão para ativar/desativar Ativar registo detalhado de valores de atributos.

         A Workforce Identity Federation registra em registos de auditoria detalhados as informações recebidas do seu IdP no Logging. O registo de auditoria detalhado pode ajudar a resolver problemas de configuração do fornecedor do conjunto de identidades da força de trabalho. Para saber como resolver problemas de erros de mapeamento de atributos com registo de auditoria detalhado, consulte o artigo Erros gerais de mapeamento de atributos. Para saber mais sobre os preços do Logging, consulte os preços da observabilidade do Google Cloud.

         Para desativar o registo de auditoria detalhado para um fornecedor do Workload Identity Pool, omita a flag --detailed-audit-logging quando executar gcloud iam workforce-pools providers create. Para desativar o registo de auditoria detalhado, também pode atualizar o fornecedor.

   8. Para criar o fornecedor, clique em Enviar.

Crie um fornecedor do Workforce Identity Pool SAML 2.0

1. No seu IdP SAML, registe uma nova aplicação para a Trusted Cloud federação de identidade da força de trabalho.

2. Defina o público-alvo para as afirmações SAML. Normalmente, é o campo SP Entity ID na configuração do IdP. Tem de defini-lo para o seguinte URL:

   https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

3. Defina o URL de redirecionamento, também conhecido como URL do serviço de consumo de declarações (ACS). Para definir o URL de redirecionamento, localize o campo do URL de redirecionamento no seu IdP SAML e faça uma das seguintes ações:

   • Para configurar o início de sessão baseado no navegador através da Trusted Cloud consola ou outro método de início de sessão baseado no navegador, introduza o seguinte URL:

     https://auth.cloud.s3nscloud.fr/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
     

     Substitua o seguinte:

     • WORKFORCE_POOL_ID: o ID do Workforce Identity Pool

     • WORKFORCE_PROVIDER_ID: o ID do fornecedor do Workload Identity Pool que cria mais tarde neste documento.

   • Para configurar o início de sessão programático através do seu IdP, introduza o seguinte URL:

     localhost
     

   Consulte o artigo Configure o acesso dos utilizadores à consola para ver mais detalhes sobre a configuração do início de sessão na consola.

4. No Trusted Cloud, crie um fornecedor do Workload Identity Pool SAML com o documento de metadados SAML do seu IdP. Pode transferir o documento XML de metadados SAML do seu IdP. O documento tem de incluir, pelo menos, o seguinte:

   • Um ID da entidade SAML para o seu IdP.
   • O URL de Início de sessão único do seu IdP.
   • Pelo menos, uma chave pública de assinatura. Consulte os requisitos principais mais adiante neste guia para ver detalhes sobre as chaves de assinatura.

gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
    --workforce-pool="WORKFORCE_POOL_ID" \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --idp-metadata-path="XML_METADATA_PATH" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --detailed-audit-logging \
    --location=global

gcloud iam workforce-pools providers keys create KEY_ID \
    --workforce-pool WORKFORCE_POOL_ID \
    --provider WORKFORCE_PROVIDER_ID \
    --location global \
    --use encryption \
    --spec KEY_SPECIFICATION

gcloud iam workforce-pools providers keys describe KEY_ID \
    --workforce-pool WORKFORCE_POOL_ID \
    --provider WORKFORCE_PROVIDER_ID \
    --location global \
    --format "value(keyData.key)" \
    > CERTIFICATE_PATH

  gcloud iam workforce-pools providers keys delete KEY_ID \
      --workforce-pool WORKFORCE_POOL_ID \
      --provider WORKFORCE_PROVIDER_ID \
      --location global

Faça a gestão do acesso aos recursos do Trusted Cloud

Esta secção fornece um exemplo que mostra como gerir o acesso aos recursos por parte dos utilizadores da Workforce Identity Federation.Trusted Cloud

Neste exemplo, concede uma função de gestão de identidade e de acesso (IAM) num projeto de exemplo. Em seguida, os utilizadores podem iniciar sessão e usar este projeto para aceder Trusted Cloud a produtos.

Pode gerir funções da IAM para identidades únicas, um grupo de identidades ou um conjunto completo. Para mais informações, consulte o artigo Represente utilizadores do Workforce Identity Pool em políticas do IAM.

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/SUBJECT_VALUE"

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.department/DEPARTMENT_VALUE"

Inicie sessão e teste o acesso

Nesta secção, inicia sessão como utilizador do Workload Identity Pool e testa se tem acesso aos recursos Trusted Cloud .

Iniciar sessão

Esta secção mostra-lhe como iniciar sessão como utilizador federado e aceder a Trusted Cloud recursos.

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/PROVIDER_ID \
    --output-file=LOGIN_CONFIG_FILE_PATH

{
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.s3nscloud.fr/authorize",
  "token_url": "https://sts.s3nsapis.fr/v1/oauthtoken",
  "token_info_url": "https://sts.s3nsapis.fr/v1/introspect",
}

Teste o acesso

Agora, tem acesso aos Trusted Cloud produtos que suportam a federação de identidade da força de trabalho e aos quais lhe é concedido acesso. Anteriormente, neste documento, concedeu a função de administrador de armazenamento (roles/storage.admin) a todas as identidades no identificador de grupo que especificou no gcloud projects add-iam-policy-binding para o projeto TEST_PROJECT_ID.

Agora, pode testar se tem acesso listando os contentores do Cloud Storage.

gcloud storage ls --project="TEST_PROJECT_ID"

Eliminar utilizadores

A federação de identidade da força de trabalho cria metadados e recursos do utilizador para identidades de utilizadores federadas. Se optar por eliminar utilizadores no seu IdP, também tem de eliminar explicitamente estes recursos no Trusted Cloud. Para o fazer, consulte o artigo Elimine utilizadores da Federação de identidades da força de trabalho e os respetivos dados.

Pode ver que os recursos continuam associados a um utilizador que foi eliminado. Isto deve-se ao facto de a eliminação de metadados e recursos do utilizador exigir uma operação de longa duração. Depois de iniciar a eliminação da identidade de um utilizador, os processos que o utilizador iniciou antes da eliminação podem continuar a ser executados até serem concluídos ou cancelados.

O que se segue?

• Elimine utilizadores da Workforce Identity Federation e os respetivos dados
• Saiba que Trusted Cloud produtos suportam a federação de identidade da força de trabalho
• Configure o acesso dos utilizadores à consola (federado)