הגדרה של איחוד שירותי אימות הזהות של כוח עבודה באמצעות Okta וכניסת משתמשים

במדריך הזה מוסבר איך להגדיר את איחוד שירותי אימות הזהויות של כוח העבודה באמצעות Okta כספק זהויות (IdP), לנהל את הגישה ולהכניס משתמשים לחשבון כדי שתהיה להם גישה לCloud de Confiance by S3NS שירותים שתומכים באיחוד שירותי אימות הזהויות של כוח העבודה.

לפני שמתחילים

1. מוודאים שיש לכם ארגון מוגדר ב- Cloud de Confiance .
2. מגדירים את משתנה הסביבה GOOGLE_CLOUD_UNIVERSE_DOMAIN לערך s3nsapis.fr.

3. התקינו את ה-CLI של Google Cloud ואז היכנסו ל-CLI של gcloud באמצעות הזהות המאוחדת שלכם. אחרי שנכנסתם לחשבון, אתחלו את ה-CLI של Google Cloud באמצעות הפקודה הבאה:

   gcloud init

4. כדי להיכנס לחשבון, ספק הזהויות שלכם צריך לספק פרטי אימות חתומים: ספקי זהויות שתומכים ב-OIDC צריכים לספק אסימון JWT, ותשובות שמגיעות מספקי זהויות שתומכים ב-SAML חייבות להיות חתומות.
5. כדי לקבל מידע חשוב על שינויים בארגון או במוצרים שלכם, אתם צריכים לספק אנשי קשר חיוניים.Cloud de Confiance מידע נוסף זמין במאמר סקירה כללית על איחוד שירותי אימות הזהות של כוח עבודה.

עלויות

איחוד שירותי אימות הזהות של כוח עבודה זמין כתכונה ללא עלות. עם זאת, רישום מפורט ביומני הביקורת של איחוד שירותי אימות הזהות של כוח עבודה מתבצע באמצעות Cloud Logging. למידע על התמחור של Logging, ראו תמחור של Google Cloud Observability.

התפקידים הנדרשים

כדי לקבל את ההרשאות שנדרשות להגדרת איחוד שירותי אימות הזהות של כוח העבודה, צריך לבקש מהאדמין להקצות לכם ב-IAM את התפקיד IAM Workforce Pool Admin (roles/iam.workforcePoolAdmin) בארגון. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

לחלופין, התפקיד הבסיסי ב-IAM 'בעלים' (roles/owner) כולל גם הרשאות להגדרה של איחוד שירותי אימות הזהות של כוח העבודה. בסביבת ייצור לא מומלץ להקצות תפקידים בסיסיים, אבל אפשר להעניק אותם בסביבת פיתוח או בסביבת בדיקה.

יצירת מאגר זהויות של כוח העבודה

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

יצירת שילוב אפליקציית Okta

בקטע הזה מתוארים השלבים ליצירת שילוב של אפליקציית Okta באמצעות מסוף ה-Admin של Okta. פרטים נוספים מופיעים במאמר יצירת שילובים לאפליקציות בהתאמה אישית.

מאגרי הזהויות של כוח העבודה תומכים באיחוד בעזרת הפרוטוקולים OIDC ו-SAML.

פרטים נוספים זמינים במאמרי העזרה בנושא שילוב של OIDC ושל SAML. ההגדרות האישיות הבסיסיות מתוארות בחלק הזה.

יצירת ספק של מאגר זהויות של כוח עבודה

בקטע הזה מוסבר איך ליצור ספק מאגר זהויות של כוח עבודה כדי לאפשר למשתמשים בספק הזהויות שלכם לגשת אל Cloud de Confiance. אתם יכולים להגדיר את הספק לשימוש בפרוטוקול OIDC או בפרוטוקול SAML.

יצירת ספק של מאגר זהויות של כוח העבודה ב-OIDC

כדי ליצור ספק של מאגר זהויות של כוח העבודה בשביל שילוב עם אפליקציית Okta באמצעות פרוטוקול OIDC, מבצעים את הפעולות הבאות:

1. כדי לקבל את מזהה הלקוח לשילוב עם אפליקציית ה-Okta, מבצעים את הפעולות הבאות:

   1. עוברים לשילוב אפליקציית ה-Okta.
   2. לוחצים על הכרטיסייה General.
   3. מעתיקים את התוכן של השדה Client ID.

2. כדי ליצור ספק של מאגר זהויות של כוח העבודה ב-OIDC בשביל כניסה לחשבון באינטרנט, מבצעים את הפעולות הבאות:

   gcloud

   זרימת קוד

   ב-Okta, מבצעים את הפעולות הבאות:

   1. ב-Client authentication, בוחרים Client secret.

   2. בטבלה Client Secrets מוצאים את הסוד ולוחצים על content_copy Copy.

   ב- Cloud de Confiance, כדי ליצור ספק OIDC שמשתמש בהרשאה באמצעות קוד לצורך כניסה לאינטרנט, מריצים את הפקודה הבאה:

   gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
       --workforce-pool=WORKFORCE_POOL_ID \
       --display-name="DISPLAY_NAME" \
       --description="DESCRIPTION" \
       --issuer-uri="ISSUER_URI" \
       --client-id="OIDC_CLIENT_ID" \
       --client-secret-value="OIDC_CLIENT_SECRET" \
       --web-sso-response-type="code" \
       --web-sso-assertion-claims-behavior="merge-user-info-over-id-token-claims" \
       --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --jwk-json-path="JWK_JSON_PATH" \
       --detailed-audit-logging \
       --location=global
   

   מחליפים את מה שכתוב בשדות הבאים:

   • WORKFORCE_PROVIDER_ID: מזהה ייחודי של ספק מאגר הזהויות של כוח העבודה. התוספת לשם המאפיין gcp- שמורה ואי אפשר להשתמש בה במזהה של מאגר זהויות של כוח עבודה או של ספק זהויות של כוח עבודה.
   • ‫WORKFORCE_POOL_ID: המזהה של מאגר הזהויות של כוח העבודה שאליו רוצים לחבר את ה-IdP.
   • ‫DISPLAY_NAME: שם תצוגה ידידותי למשתמש בשביל הספק (לא חובה); לדוגמה, idp-eu-employees.
   • ‫DESCRIPTION: תיאור של ספק כוח העבודה (לא חובה), לדוגמה, IdP for Partner Example Organization employees.
   • ‫ISSUER_URI: ה-URI של מנפיק OIDC, בפורמט URI תקין שמתחיל ב-https. לדוגמה: https://example.com/oidc. הערה: מטעמי אבטחה, ISSUER_URI צריך להשתמש בסכמת HTTPS.
   • ‫OIDC_CLIENT_ID: מזהה הלקוח ב-OIDC שרשום ב-IdP של OIDC. המזהה צריך להיות תואם להצהרת aud של ה-JWT שמונפקת על ידי ה-IdP.
   • OIDC_CLIENT_SECRET: סוד הלקוח ב-OIDC.
   • ‫WEB_SSO_ADDITIONAL_SCOPES: היקפי הרשאות אופציונליים לשליחה ל-IdP של OIDC בשביל המסוף (איחוד) או בשביל כניסה באמצעות הדפדפן ל-CLI של gcloud. לדוגמה, groups כדי לבקש את בקשת קבוצות המשתמשים מ-Okta אם עושים שימוש בשרת ההרשאות הארגוני של Okta.
   • ‫ATTRIBUTE_MAPPING: מיפוי מאפיינים. דוגמה למיפוי מאפיינים:
     ‫

     google.subject=assertion.oid
     google.groups=assertion.groups,
     attribute.costcenter=assertion.costcenter

     בדוגמה הזו, מאפייני ה-IdP‏ assertion.oid,‏ assertion.groups ו-assertion.costcenter בטענת הנכונות (assertion) של OIDC ממופים למאפיינים Cloud de Confiance ,‏ google.subject ו-google.groups בהתאמה.attribute.costcenter
   • ‫ATTRIBUTE_CONDITION: תנאי למאפיין; לדוגמה, assertion.subject.endsWith('@example.com') כשהערך של subject שמופה קודם מכיל כתובת אימייל שמסתיימת ב-@example.com.
   • ‫JWK_JSON_PATH: נתיב אופציונלי למפתחות JWK ב-OIDC שהועלו באופן מקומי. אם לא מוסיפים את הפרמטר הזה,המערכת של Cloud de Confiance תשתמש בנתיב /.well-known/openid-configuration של ה-IdP כדי למצוא את מפתחות ה-JWK שמכילים את המפתחות הציבוריים. למידע נוסף על מפתחות JWK של OIDC שהועלו באופן מקומי, אפשר לעיין במאמר ניהול מפתחות JWK של OIDC.

   • איחוד שירותי אימות הזהות של כוח עבודה רישום מפורט ביומן הביקורת רושם ביומן את המידע שמתקבל מ-IdP. רישום מפורט של ביקורת יכול לעזור לכם לפתור בעיות בהגדרות של ספק הזהויות של כוח העבודה. כדי ללמוד איך לפתור בעיות במיפוי מאפיינים באמצעות רישום מפורט ביומן הביקורת, אפשר לעיין במאמר בנושא בעיות כלליות במיפוי מאפיינים. למידע על התמחור של Logging, ראו תמחור של Google Cloud Observability.

     כדי להשבית את הרישום המפורט ביומן הביקורת של ספק מאגר זהויות של כוח עבודה, משמיטים את הדגל --detailed-audit-logging כשמריצים את הפקודה gcloud iam workforce-pools providers create. כדי להשבית את רישום הביקורת המפורט, אפשר גם לעדכן את הספק.

   בתשובה לפקודה, POOL_RESOURCE_NAME הוא שם המאגר. לדוגמה: locations/global/workforcePools/enterprise-example-organization-employees.

   זרם הענקת גישה משתמע

   כדי ליצור ספק OIDC שמשתמש בזרם הענקת גישה משתמע בשביל כניסה לאינטרנט, מריצים את הפקודה הבאה:

   gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
       --workforce-pool=WORKFORCE_POOL_ID \
       --display-name="DISPLAY_NAME" \
       --description="DESCRIPTION" \
       --issuer-uri="ISSUER_URI" \
       --client-id="OIDC_CLIENT_ID" \
       --web-sso-response-type="id-token" \
       --web-sso-assertion-claims-behavior="only-id-token-claims" \
       --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --jwk-json-path="JWK_JSON_PATH" \
       --detailed-audit-logging \
       --location=global
   

   מחליפים את מה שכתוב בשדות הבאים:

   • WORKFORCE_PROVIDER_ID: מזהה ייחודי של ספק מאגר הזהויות של כוח העבודה. התוספת לשם המאפיין gcp- שמורה ואי אפשר להשתמש בה במזהה של מאגר זהויות של כוח עבודה או של ספק זהויות של כוח עבודה.
   • ‫WORKFORCE_POOL_ID: המזהה של מאגר הזהויות של כוח העבודה שאליו רוצים לחבר את ה-IdP.
   • ‫DISPLAY_NAME: שם תצוגה ידידותי למשתמש בשביל הספק (לא חובה); לדוגמה, idp-eu-employees.
   • ‫DESCRIPTION: תיאור של ספק כוח העבודה (לא חובה), לדוגמה, IdP for Partner Example Organization employees.
   • ‫ISSUER_URI: ה-URI של מנפיק OIDC, בפורמט URI תקין שמתחיל ב-https. לדוגמה: https://example.com/oidc. הערה: מטעמי אבטחה, ISSUER_URI צריך להשתמש בסכמת HTTPS.
   • ‫OIDC_CLIENT_ID: מזהה הלקוח ב-OIDC שרשום ב-IdP של OIDC. המזהה צריך להיות תואם להצהרת aud של ה-JWT שמונפקת על ידי ה-IdP.
   • ‫WEB_SSO_ADDITIONAL_SCOPES: היקפי הרשאות אופציונליים לשליחה ל-IdP של OIDC בשביל המסוף (איחוד) או בשביל כניסה באמצעות הדפדפן ל-CLI של gcloud. לדוגמה, groups כדי לבקש את בקשת קבוצות המשתמשים מ-Okta אם עושים שימוש בשרת ההרשאות הארגוני של Okta.
   • ‫ATTRIBUTE_MAPPING: מיפוי מאפיינים. דוגמה למיפוי מאפיינים:
     ‫

     google.subject=assertion.oid
     google.groups=assertion.groups,
     attribute.costcenter=assertion.costcenter

     בדוגמה הזו, מאפייני ה-IdP‏ assertion.oid,‏ assertion.groups ו-assertion.costcenter בטענת הנכונות (assertion) של OIDC ממופים למאפיינים Cloud de Confiance ,‏ google.subject ו-google.groups בהתאמה.attribute.costcenter
   • ‫ATTRIBUTE_CONDITION: תנאי למאפיין; לדוגמה, assertion.subject.endsWith('@example.com') כשהערך של subject שמופה קודם מכיל כתובת אימייל שמסתיימת ב-@example.com.
   • ‫JWK_JSON_PATH: נתיב אופציונלי למפתחות JWK ב-OIDC שהועלו באופן מקומי. אם לא מוסיפים את הפרמטר הזה,המערכת של Cloud de Confiance תשתמש בנתיב /.well-known/openid-configuration של ה-IdP כדי למצוא את מפתחות ה-JWK שמכילים את המפתחות הציבוריים. למידע נוסף על מפתחות JWK של OIDC שהועלו באופן מקומי, אפשר לעיין במאמר ניהול מפתחות JWK של OIDC.

   • איחוד שירותי אימות הזהות של כוח עבודה רישום מפורט ביומן הביקורת רושם ביומן את המידע שמתקבל מ-IdP. רישום מפורט של ביקורת יכול לעזור לכם לפתור בעיות בהגדרות של ספק הזהויות של כוח העבודה. כדי ללמוד איך לפתור בעיות במיפוי מאפיינים באמצעות רישום מפורט ביומן הביקורת, אפשר לעיין במאמר בנושא בעיות כלליות במיפוי מאפיינים. למידע על התמחור של Logging, ראו תמחור של Google Cloud Observability.

     כדי להשבית את הרישום המפורט ביומן הביקורת של ספק מאגר זהויות של כוח עבודה, משמיטים את הדגל --detailed-audit-logging כשמריצים את הפקודה gcloud iam workforce-pools providers create. כדי להשבית את רישום הביקורת המפורט, אפשר גם לעדכן את הספק.

   בתשובה לפקודה, POOL_RESOURCE_NAME הוא שם המאגר. לדוגמה: locations/global/workforcePools/enterprise-example-organization-employees.

   המסוף

   זרימת קוד

   1. ב-Okta, מבצעים את הפעולות הבאות:

      1. ב-Client authentication, בוחרים Client secret.

      2. בטבלה Client Secrets מוצאים את הסוד ולוחצים על content_copy Copy.

   2. כדי ליצור ספק OIDC שמשתמש בהרשאה באמצעות קוד במסוף Cloud de Confiance :

      1. במסוף Cloud de Confiance , עוברים לדף Workforce Identity Pools:

         כניסה לדף Workforce Identity Pools

      2. בטבלה Workforce Identity Pools (מאגרי זהויות של כוח עבודה), בוחרים את המאגר שרוצים ליצור עבורו את הספק.
      3. בקטע ספקים, לוחצים על addהוספת ספק.
      4. ברשימה Select a Provider vendor בוחרים את ספק ה-IdP.

         אם ספק הזהויות שלכם לא מופיע ברשימה, בוחרים באפשרות ספק זהויות כללי.

      5. בקטע Select an authentication protocol, בוחרים באפשרות OpenID Connect (OIDC).
      6. בקטע Create a provider, מבצעים את הפעולות הבאות:
         1. בקטע שם, מזינים את השם של הספק.
         2. בשדה תיאור, מזינים את התיאור של הספק.
         3. בקטע מנפיק (כתובת URL), מזינים את ה-URI של המנפיק. ה-URI של מנפיק OIDC צריך להיות בפורמט URI תקין ולהתחיל ב-https. לדוגמה: https://example.com/oidc.
         4. בשדה Client ID (מזהה לקוח), מזינים את מזהה הלקוח ב-OIDC שרשום ב-IdP של OIDC. המזהה צריך להיות תואם להצהרת aud של ה-JWT שמונפקת על ידי ה-IdP.
         5. כדי ליצור ספק שמופעל, מוודאים שהאפשרות הפעלת הספק מופעלת.
         6. לוחצים על Continue.
      7. בקטע Share your provider information with IdP (שיתוף פרטי הספק עם ספק הזהויות), מעתיקים את כתובת ה-URL. ב-IdP, מגדירים את כתובת ה-URL הזו כ-URI להפניה אוטומטית, כדי שה-IdP יידע לאן לשלוח את אסימון הנכוֹנוּת אחרי הכניסה.
      8. לוחצים על Continue.
      9. בקטע Configure OIDC Web Sign-in (הגדרת כניסה לאינטרנט באמצעות OIDC), מבצעים את הפעולות הבאות:
         1. ברשימה סוג הזרימה, בוחרים באפשרות קוד.
         2. ברשימה Assertion claims behavior, בוחרים באחת מהאפשרויות הבאות:
            • פרטי משתמש ואסימון מזהה
            • אסימון מזהה בלבד
         3. בשדה Client secret (סוד הלקוח), מזינים את סוד הלקוח מספק ה-IdP.
         4. אופציונלי: אם בחרתם ב-Okta כספק הזהויות, מוסיפים היקפי הרשאות נוספים של OIDC בשדה Additional scopes beyond openid, profile, and email (היקפי הרשאות נוספים מעבר ל-openid, לפרופיל ולאימייל).
      10. לוחצים על Continue.
      11. בקטע Configure provider, אפשר להגדיר מיפוי של מאפיין ותנאי של מאפיין. כדי ליצור מיפוי מאפיינים: אפשר לציין את שם השדה של ספק הזהויות או ביטוי בפורמט CEL שמחזיר מחרוזת.
          1. חובה: ב-OIDC 1, מזינים את הנושא מ-IdP – לדוגמה, assertion.sub.
          2. אופציונלי: כדי להוסיף עוד מיפויי מאפיינים:
             1. לוחצים על הוספת מיפוי.
             2. ב-Google n, כאשר n הוא מספר, מזינים אחד מהמפתחות שCloud de Confianceתומך בהם.
             3. בשדה המתאים OIDC n, מזינים את השם של השדה הספציפי לספק הזהות למיפוי, בפורמט CEL.
          3. כדי ליצור תנאי מאפיין, מבצעים את הפעולות הבאות:
             1. לוחצים על הוספת תנאי.
             2. בשדה Attribute Conditions, מזינים תנאי בפורמט CEL. לדוגמה, assertion.subject.endsWith('@example.com') כשהערך של subject שמופה קודם מכיל כתובת אימייל שמסתיימת ב-@example.com.
          4. כדי להפעיל רישום מפורט ביומן הביקורת, בקטע רישום מפורט, לוחצים על המתג הפעלת רישום ביומן הביקורת של ערכי מאפיינים.

             איחוד שירותי אימות הזהות של כוח עבודה רישום מפורט ביומן הביקורת רושם ביומן את המידע שמתקבל מ-IdP. רישום מפורט של ביקורת יכול לעזור לכם לפתור בעיות בהגדרות של ספק הזהויות של כוח העבודה. כדי ללמוד איך לפתור בעיות במיפוי מאפיינים באמצעות רישום מפורט ביומן הביקורת, אפשר לעיין במאמר בנושא בעיות כלליות במיפוי מאפיינים. למידע על התמחור של Logging, ראו תמחור של Google Cloud Observability.

             כדי להשבית את הרישום המפורט ביומן הביקורת של ספק מאגר זהויות של כוח עבודה, משמיטים את הדגל --detailed-audit-logging כשמריצים את הפקודה gcloud iam workforce-pools providers create. כדי להשבית את רישום הביקורת המפורט, אפשר גם לעדכן את הספק.

      12. כדי ליצור את הספק, לוחצים על שליחה.

   זרם הענקת גישה משתמע

   1. במסוף Cloud de Confiance Cloud de Confiance :

      1. במסוף Cloud de Confiance , עוברים לדף Workforce Identity Pools:

         כניסה לדף Workforce Identity Pools

      2. בטבלה Workforce Identity Pools (מאגרי זהויות של כוח עבודה), בוחרים את המאגר שרוצים ליצור עבורו את הספק.
      3. בקטע ספקים, לוחצים על add הוספת ספק.
      4. ברשימה Select a Provider vendor בוחרים את ספק ה-IdP.

         אם ספק הזהויות שלכם לא מופיע ברשימה, בוחרים באפשרות ספק זהויות כללי.

      5. בקטע Select an authentication protocol, בוחרים באפשרות OpenID Connect (OIDC).
      6. בקטע Create a provider, מבצעים את הפעולות הבאות:
         1. בקטע שם, מזינים את השם של הספק.
         2. בשדה תיאור, מזינים את התיאור של הספק.
         3. בקטע מנפיק (כתובת URL), מזינים את ה-URI של המנפיק. ה-URI של מנפיק OIDC צריך להיות בפורמט URI תקין ולהתחיל ב-https. לדוגמה: https://example.com/oidc.
         4. בשדה Client ID (מזהה לקוח), מזינים את מזהה הלקוח ב-OIDC שרשום ב-IdP של OIDC. המזהה צריך להיות תואם להצהרת aud של ה-JWT שמונפקת על ידי ה-IdP.
         5. כדי ליצור ספק שמופעל, מוודאים שהאפשרות הפעלת הספק מופעלת.
         6. לוחצים על Continue.
      7. בקטע Share your provider information with IdP (שיתוף פרטי הספק עם ספק הזהויות), מעתיקים את כתובת ה-URL. ב-IdP, מגדירים את כתובת ה-URL הזו כ-URI להפניה אוטומטית, כדי שה-IdP יידע לאן לשלוח את אסימון הנכוֹנוּת אחרי הכניסה.
      8. לוחצים על Continue.
      9. בקטע Configure OIDC Web Sign-in (הגדרת כניסה לאינטרנט באמצעות OIDC), מבצעים את הפעולות הבאות:
         1. ברשימה סוג התהליך, בוחרים באפשרות ID Token.
         2. ברשימה Assertion claims behavior (התנהגות של הצהרות על טענות), האפשרות ID token (טוקן מזהה) מסומנת.
         3. אופציונלי: אם בחרתם ב-Okta כספק הזהויות, מוסיפים היקפי הרשאות נוספים של OIDC בשדה Additional scopes beyond openid, profile, and email.
      10. לוחצים על Continue.
      11. בקטע Configure provider, אפשר להגדיר מיפוי של מאפיין ותנאי של מאפיין. כדי ליצור מיפוי מאפיינים: אפשר לציין את שם השדה של ספק הזהויות או ביטוי בפורמט CEL שמחזיר מחרוזת.
          1. חובה: ב-OIDC 1, מזינים את הנושא מ-IdP. לדוגמה, assertion.sub.
          2. אופציונלי: כדי להוסיף עוד מיפויי מאפיינים:
             1. לוחצים על הוספת מיפוי.
             2. ב-Google n, כאשר n הוא מספר, מזינים אחד מהמפתחות שCloud de Confianceתומך בהם.
             3. בשדה המתאים OIDC n, מזינים את השם של השדה הספציפי לספק הזהות למיפוי, בפורמט CEL.
          3. כדי ליצור תנאי מאפיין, מבצעים את הפעולות הבאות:
             1. לוחצים על הוספת תנאי.
             2. בשדה Attribute Conditions, מזינים תנאי בפורמט CEL. לדוגמה, assertion.subject.endsWith('@example.com') כשהערך של subject שמופה קודם מכיל כתובת אימייל שמסתיימת ב-@example.com.
          4. כדי להפעיל רישום מפורט ביומן הביקורת, בקטע רישום מפורט, לוחצים על המתג הפעלת רישום ביומן הביקורת של ערכי מאפיינים.

             איחוד שירותי אימות הזהות של כוח עבודה רישום מפורט ביומן הביקורת רושם ביומן את המידע שמתקבל מ-IdP. רישום מפורט של ביקורת יכול לעזור לכם לפתור בעיות בהגדרות של ספק הזהויות של כוח העבודה. כדי ללמוד איך לפתור בעיות במיפוי מאפיינים באמצעות רישום מפורט ביומן הביקורת, אפשר לעיין במאמר בנושא בעיות כלליות במיפוי מאפיינים. למידע על התמחור של Logging, ראו תמחור של Google Cloud Observability.

             כדי להשבית את הרישום המפורט ביומן הביקורת של ספק מאגר זהויות של כוח עבודה, משמיטים את הדגל --detailed-audit-logging כשמריצים את הפקודה gcloud iam workforce-pools providers create. כדי להשבית את רישום הביקורת המפורט, אפשר גם לעדכן את הספק.

      12. כדי ליצור את הספק, לוחצים על שליחה.

יצירת ספק של מאגר זהויות של כוח עבודה ב-SAML

1. ב-IdP שתומך ב-SAML, רושמים אפליקציה חדשה לאיחוד שירותי אימות הזהות של כוח עבודה ב- Cloud de Confiance.

2. מגדירים את הקהל לטענת הנכוֹנוּת (assertion) של SAML. בדרך כלל משתמשים בשדה SP Entity ID בהגדרות שלכם ב-IdP. צריך להגדיר אותו כך שיכיל את כתובת ה-URL הבאה:

   https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

3. מגדירים את כתובת ה-URL להפניה אוטומטית, שנקראת גם כתובת ה-URL של Assertion Consumer Service‏ (ACS). כדי להגדיר את כתובת ה-URL להפניה אוטומטית, מאתרים את השדה של כתובת ה-URL להפניה אוטומטית ב-IdP של SAML, ומבצעים אחת מהפעולות הבאות:

   • כדי להגדיר כניסה באמצעות דפדפן דרך מסוף Cloud de Confiance או שיטה אחרת לכניסה באמצעות דפדפן, מזינים את כתובת ה-URL הבאה:

     https://auth.cloud.s3nscloud.fr/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
     

     מחליפים את מה שכתוב בשדות הבאים:

     • ‫WORKFORCE_POOL_ID: המזהה של מאגר הזהויות של כוח העבודה

     • ‫WORKFORCE_PROVIDER_ID: המזהה של ספק הזהויות של כוח העבודה שתיצרו בהמשך המסמך הזה.

   • כדי להגדיר כניסה באמצעות תוכנה דרך ה-IdP, מזינים את כתובת ה-URL הבאה:

     localhost
     

   פרטים נוספים על הגדרת כניסה למסוף זמינים במאמר הגדרת הגישה של משתמשים למסוף.

4. ב- Cloud de Confiance, יוצרים ספק של מאגר זהויות של כוח עבודה ב-SAML באמצעות מסמך המטא-נתונים של SAML ב-IdP שלכם. אפשר להוריד את מסמך ה-XML של המטא-נתונים של SAML מה-IdP. המסמך צריך לכלול לפחות את הפרטים הבאים:

   • מזהה ישות ב-SAML ל-IdP שלכם.
   • כתובת ה-URL לכניסה יחידה (SSO) ל-IdP שלכם.
   • לפחות מפתח ציבורי אחד לחתימה אפשר לקרוא פרטים נוספים על חתימת מפתחות בקטע דרישות עיקריות בהמשך המדריך הזה.

אימות ההגדרה של הספק

לפני שבודקים את תהליך הכניסה של משתמשי הקצה, אפשר לוודא שההגדרה של הספק נכונה ושהוא יכול להחליף אסימונים עם ספק הזהויות. Cloud de Confiance by S3NS

בדף Validate your provider attributes במסוף Cloud de Confiance יש כלי לצפייה במאפיינים שמאפשר לבדוק את ההגדרה באופן אינטראקטיבי ולנפות באגים בביטויים ב-Common Expression Language‏ (CEL). בעזרת הכלי לבדיקת מאפיינים אפשר:

• אפשר לראות את המאפיינים הגולמיים שנשלחו בהצהרה של ספק הזהויות.
• מוודאים שמיפויי המאפיינים והתנאים משנים את המאפיינים האלה בצורה נכונה.
• ניפוי באגים של ביטויי CEL מורכבים בזמן אמת.

כדי לוודא שהגדרתם את הספק בצורה נכונה:

1. כדי להפעיל את תהליך הכניסה מבוסס-הדפדפן לאיחוד שירותי אימות הזהות של כוח עבודה, מוסיפים את https://auth.cloud.google/signin-callback/locations/global/workforcePools/POOL_ID/providers/PROVIDER_ID לרשימת ה-URI להפניה אוטומטית המותרים ב-IdP.

2. במסוף Cloud de Confiance , עוברים אל Workforce Identity Pools.

   כניסה לדף Workforce Identity Pools
3. ברשימת המאגרים, לוחצים על שם המאגר שרוצים לאמת.
4. בדף פרטי מאגר כוח העבודה, לוחצים על השם של ספק הזהויות שרוצים לאמת.
5. בדף פרטי הספק, לוחצים על איתור באגים של טוקן ספק הזהויות.
6. בתיבת הדו-שיח Sign in (כניסה), נכנסים ל-IdP בתור משתמש לבדיקה.

בדף Validate your provider attributes (אימות מאפייני הספק) מוצגים המאפיינים הממופים והתוצאה של תנאי המאפיין.

בקטע Mapped attributes from your IdP token (מאפיינים ממופים מאסימון ה-IdP) מוצג איך מאפייני Google, כמו google.subject, מאוכלסים מאסימון ה-IdP על סמך הגדרת המיפוי. אם המיפוי שגוי, מופיע סמל שגיאה.

בקטע תנאי המאפיין מוצגת התוצאה הבוליאנית של התנאי. אם התנאי מקבל את הערך false, הכניסה נחסמת.

כדי לראות את אסימון הטענה המלא, לוחצים על הצגת האסימון המלא. כאן מוצג אובייקט ה-JSON הגולמי מ-IdP. כדי להפנות למאפיין ברמה העליונה במיפויים, משתמשים בפורמט assertion.PROPERTY_NAME.

עריכת הגדרת הספק

כדי לתקן שגיאות, אפשר לערוך את ההגדרה:

1. בדף Validate your provider attributes (אימות מאפייני הספק), לוחצים על edit Edit (עריכה).
2. מבצעים את השינויים הנדרשים.
3. כדי להתחיל בדיקה חדשה ולראות את התוצאות המעודכנות, לוחצים על שמירה ואחזור מחדש של טוקן.

ניהול הגישה למשאבים Cloud de Confiance

בקטע הזה מופיעה דוגמה שמראה איך לנהל גישה לCloud de Confiance משאבים באמצעות משתמשים באיחוד שירותי אימות הזהות של כוח העבודה.

בדוגמה הזו, מקצים תפקיד בממשק לניהול הזהויות והרשאות הגישה (IAM) בפרויקט לדוגמה. לאחר מכן המשתמשים יכולים להיכנס לחשבון ולהשתמש בפרויקט כדי לגשת למוצריCloud de Confiance .

אפשר לנהל תפקידים ב-IAM לזהויות בודדות, לקבוצת זהויות או למאגר שלם. מידע נוסף מופיע במאמר מזהים של חשבונות משתמשים בכוח העבודה בכללי מדיניות הרשאה.

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/SUBJECT_VALUE"

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.department/DEPARTMENT_VALUE"

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

כניסה לחשבון ובדיקת גישה

בקטע הזה נכנסים כמשתמש של מאגר הזהויות של כוח העבודה ובודקים שיש גישה ל Cloud de Confiance מוצר.

כניסה

בקטע הזה מוסבר איך נכנסים כמשתמש מאיחוד שירותי האימות ומקבלים גישה למשאביCloud de Confiance by S3NS .

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

{
  "universe_domain": "s3nsapis.fr",
  "universe_cloud_web_domain": "cloud.s3nscloud.fr",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.s3nscloud.fr/authorize",
  "token_url": "https://sts.s3nsapis.fr/v1/oauthtoken",
  "token_info_url": "https://sts.s3nsapis.fr/v1/introspect"
}

gcloud config unset auth/login_config_file

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "subject_token_type": "urn:ietf:params:oauth:token-type:id_token",
  "token_url": "https://sts.googleapis.com/v1/token",
  "workforce_pool_user_project": "WORKFORCE_POOL_USER_PROJECT",
  "credential_source": {
    "file": "PATH_TO_OIDC_CREDENTIALS_FILE"
  }
}

gcloud auth login --cred-file="config.json"

Authenticated with external account user credentials for:
[principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/USER_ID].

gcloud auth list

בדיקת גישה

עכשיו יש לכם גישה לשירותי Cloud de Confiance שתומכים באיחוד שירותי אימות הזהות של כוח העבודה, ושאליהם ניתנה לכם גישה. מוקדם יותר במדריך הזה הקציתם את התפקיד Storage Admin (roles/storage.admin) לכל הזהויות במחלקה ספציפית בפרויקט TEST_PROJECT_ID. עכשיו תוכלו לבדוק אם יש לכם גישה על ידי הצגת הרשימה של הקטגוריות של Cloud Storage.

gcloud storage ls --project="TEST_PROJECT_ID"

מחק משתמשים

איחוד שירותי אימות הזהות של כוח עבודה יוצר מטא-נתונים ומשאבים של משתמשים עבור זהויות משתמשים מאוחדות. אם בוחרים למחוק משתמשים בספק הזהויות, צריך גם למחוק באופן מפורש את המשאבים האלה ב- Cloud de Confiance. לשם כך, אפשר לעיין במאמר מחיקה של המשתמשים באיחוד שירותי אימות הזהות של כוח העבודה והנתונים שלהם.

יכול להיות שמשאבים ימשיכו להיות משויכים למשתמש שנמחק. הסיבה לכך היא שמחיקת מטא-נתונים ומשאבים של משתמשים דורשת פעולה ארוכת טווח. אחרי שמתחילים למחוק את הזהות של משתמש, תהליכים שהמשתמש התחיל לפני המחיקה יכולים להמשיך לפעול עד שהם מסתיימים או עד שמבטלים אותם.

המאמרים הבאים

• הגדרת SCIM ב-Okta
• מחיקת המשתמשים באיחוד שירותי אימות הזהות של כוח עבודה והנתונים שלהם
• מידע על מוצרי Cloud de Confiance Google Cloud שתומכים באיחוד שירותי אימות הזהות של כוח העבודה
• הגדרת גישה של משתמשים למסוף (מאוחד)