Configure a federação de identidade da força de trabalho com o Okta e inicie sessão nos utilizadores

gcloud

Para criar o Workforce Identity Pool, execute o seguinte comando:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Substitua o seguinte:

• WORKFORCE_POOL_ID: um ID que escolhe para representar o seu workforce pool. Trusted Cloud Para obter informações sobre a formatação do ID, consulte a secção Parâmetros de consulta na documentação da API.
• ORGANIZATION_ID: o ID numérico da organização da sua organização para o Workload Identity Pool. Trusted Cloud Os Workload Identity Pools estão disponíveis em todos os projetos e pastas da organização.
• DISPLAY_NAME: opcional. Um nome a apresentar para o seu Workload Identity Pool.
• DESCRIPTION: opcional. Uma descrição do Workload Identity Pool.
• SESSION_DURATION: opcional. A duração da sessão, expressa como um número anexado com s, por exemplo, 3600s. A duração da sessão determina durante quanto tempo os Trusted Cloud tokens de acesso, sessões de início de sessão da consola (federadas) e sessões de início de sessão da CLI gcloud deste workforce pool são válidas. A duração da sessão é predefinida para uma hora (3600 s). O valor da duração da sessão tem de estar entre 15 minutos (900 s) e 12 horas (43 200 s).

Consola

Para criar o Workforce Identity Pool, faça o seguinte:

1. Na Trusted Cloud consola, aceda à página Workforce Identity Pools:

   Aceda aos Workforce Identity Pools

2. Selecione a organização para o seu conjunto de identidades de pessoal. Os conjuntos de identidades da força de trabalho estão disponíveis em todos os projetos e pastas de uma organização.

3. Clique em Criar conjunto e faça o seguinte:

   1. No campo Nome, introduza o nome a apresentar do conjunto. O ID do conjunto é derivado automaticamente do nome à medida que escreve e é apresentado no campo Nome. Pode atualizar o ID do conjunto clicando em Editar junto ao ID do conjunto.

   2. Opcional: em Descrição, introduza uma descrição do conjunto.

   3. Para criar o Workforce Identity Pool, clique em Seguinte.

A duração da sessão do Workload Identity Pool é de uma hora (3600 segundos) por predefinição. A duração da sessão determina durante quanto tempo os Trusted Cloud tokens de acesso, consola (federada)> e as sessões de início de sessão da CLI gcloud deste grupo de trabalhadores são válidas. Depois de criar o conjunto, pode atualizar o conjunto para definir uma duração da sessão personalizada. A duração da sessão tem de ser entre 15 minutos (900 s) e 12 horas (43 200 s).

OIDC

Para criar uma integração da app Okta que use o protocolo OIDC, siga os passos seguintes:

1. Inicie sessão na consola do administrador do Okta.
2. Aceda a Aplicações > Aplicações.

3. Para começar a configurar a integração da app, faça o seguinte:

   1. Clique em Criar integração de apps.
   2. Em Método de início de sessão, selecione OIDC - OpenID Connect.
   3. Em Tipo de aplicação, selecione um tipo de aplicação; por exemplo, Aplicação Web.
   4. Para criar a app, clique em Seguinte.
   5. Em Nome da integração da app, introduza um nome para a sua app.
   6. Na secção Tipo de autorização, selecione a caixa de verificação Implícito (híbrido).

   7. Na secção URIs de redirecionamento de início de sessão, no campo de texto, introduza um URL de redirecionamento. Os seus utilizadores são redirecionados para este URL depois de iniciarem sessão com êxito. Se estiver a configurar o acesso à consola (federada), use o seguinte formato de URL:

      https://auth.cloud.s3nscloud.fr/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
      

      Substitua o seguinte:

      • WORKFORCE_POOL_ID: o ID do pool de força de trabalho que criou anteriormente neste guia.
      • WORKFORCE_PROVIDER_ID: um ID do fornecedor de identidade da força de trabalho à sua escolha; por exemplo: okta-oidc-provider. Para obter informações sobre a formatação do ID, consulte a secção Parâmetros de consulta na documentação da API.

   8. Selecione a caixa de verificação Ignorar atribuição de grupos por agora.

   9. Para guardar a integração da app, clique em Guardar.

4. Atribua uma integração de apps a um utilizador.

5. Opcional: para adicionar atributos personalizados a um perfil de utilizador do Okta, faça o seguinte:

   1. Em Tipo de dados, selecione string.
   2. Em Nome a apresentar, introduza Department.
   3. Em Nome da variável, introduza department.
   4. Para guardar o mapeamento, clique em Guardar.

   Para saber como adicionar atributos personalizados, consulte o artigo Adicione atributos personalizados a um perfil de utilizador do Okta.

6. Opcional: para criar mapeamentos para os atributos enviados no token OIDC, em Diretório, clique em Editor de perfis e faça o seguinte:

   1. Encontre a aplicação OIDC que criou anteriormente neste guia.
   2. Clique em Mapeamentos.
   3. Selecione o separador Okta User to App.
   4. No separador Perfil do utilizador do Okta, numa caixa de combinação disponível, introduza department. O Okta preenche automaticamente o campo com user.department.
   5. Para guardar os mapeamentos, clique em Guardar mapeamentos. Para mais detalhes, consulte o artigo Adicione o mapeamento de atributos.

   Para saber mais acerca dos mapeamentos, consulte o artigo Mapeie atributos do Okta para atributos da app no editor de perfis.

7. Opcional: para configurar uma reivindicação de grupos, faça o seguinte:

   1. Se usar um servidor de autorização da organização, faça o seguinte:

      1. Aceda a Aplicações > Aplicações
      2. Selecione a aplicação cliente OpenID Connect que criou anteriormente nesta secção.
      3. Aceda ao separador Iniciar sessão
      4. Na secção Token de ID do OpenID Connect, clique em Editar.
      5. Na secção Tipo de reivindicação de grupos, pode selecionar uma das seguintes opções:
         • Selecione Expressão.
         • Selecione Corresponde à regex e introduza .*.
      6. Para guardar a reivindicação de grupos, clique em Guardar.

      7. Se quiser que os utilizadores iniciem sessão através da consola (federada) ou do fluxo de início de sessão baseado no navegador da CLI gcloud, faça o seguinte quando criar o fornecedor do pool de identidades da força de trabalho, mais adiante neste documento:

         1. Certifique-se de que usa as instruções da CLI gcloud para poder usar a flag --web-sso-additional-scopes.

         2. Quando criar o fornecedor do Workforce Identity Pool, transmita groups como um âmbito adicional em --web-sso-additional-scopes. Ao fazê-lo, pede a reivindicação dos grupos ao Okta durante o início de sessão.

   2. Se usar um servidor de autorização personalizado, faça o seguinte:

      1. Na consola do administrador, no menu Segurança, selecione API.
      2. Selecione o servidor de autorização personalizado que quer configurar.
      3. Aceda ao separador Reivindicações e clique em Adicionar reivindicação.
      4. Introduza um nome para a reivindicação. Para este exemplo, atribua-lhe o nome groups.
      5. Na sua reivindicação, em Incluir no tipo de token, selecione Token de ID e selecione Sempre.
      6. Selecione Grupos como o Tipo de valor.
      7. Na caixa de menu pendente Filtro, selecione Corresponde a regex e, de seguida, introduza a seguinte expressão como Valor: .*
      8. Clique em Criar.

Para mais detalhes sobre as reivindicações de grupos, consulte o artigo Adicione uma reivindicação de grupos.

SAML

Para criar uma integração da app Okta que use o protocolo SAML, siga os passos abaixo:

1. Inicie sessão na consola do administrador do Okta.
2. Aceda a Aplicações > Aplicações.
3. Clique em Criar integração de apps.
4. Em Método de início de sessão, selecione SAML 2.0 e clique em Seguinte.
5. Introduza um nome para a app e clique em Seguinte para avançar para as opções de configuração do SAML.

6. Em URL de início de sessão único, introduza um URL de redirecionamento. Este é o URL para o qual os utilizadores são redirecionados depois de iniciarem sessão com êxito. Se estiver a configurar o acesso à consola, use o seguinte formato de URL.

   https://auth.cloud.s3nscloud.fr/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

7. Introduza o URI do público-alvo (SP Entity ID). O ID tem o seguinte formato:

   https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

   Substitua o seguinte:

   • WORKFORCE_POOL_ID: o ID do Workload Identity Pool que criou anteriormente neste guia
   • WORKFORCE_PROVIDER_ID: um ID do fornecedor de identidade da força de trabalho à sua escolha; por exemplo: okta-saml-provider

   Para obter informações sobre a formatação do ID, consulte a secção Parâmetros de consulta na documentação da API.

8. Opcional: use declarações de atributos para especificar quaisquer atributos personalizados que queira enviar na declaração SAML. Após a configuração, estes atributos podem ser usados em Trusted Cloud para criar políticas de gestão de acesso ou no attribute_condition; por exemplo, neste guia, mapeia o departamento da seguinte forma:

   Nome	Valor
   department	user.department

   Opcional: para adicionar a reivindicação de grupos, usada mais tarde neste guia, consulte Como transmitir a associação de um utilizador a um grupo numa afirmação SAML.

9. Conclua a criação da integração da app Okta.

gcloud

Para criar um fornecedor do Workload Identity Pool para a integração da sua app Okta, através do protocolo SAML, faça o seguinte:

1. Para guardar os metadados SAML da sua app Okta, faça o seguinte:

   1. Aceda à app Okta.
   2. Clique no separador Início de sessão.
   3. Na secção Certificados de assinatura SAML, clique em Ações > Ver metadados do IdP para o certificado ativo.
   4. Na nova página apresentada, copie os metadados XML.
   5. Guarde os metadados como um ficheiro XML local.

2. Para criar um fornecedor de força de trabalho para a sua app Okta, execute o seguinte comando:

   gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
       --workforce-pool="WORKFORCE_POOL_ID" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --idp-metadata-path="XML_METADATA_PATH" \
       --detailed-audit-logging \
       --location="global"
   

   Substitua o seguinte:

   • WORKFORCE_PROVIDER_ID: o ID do fornecedor de força de trabalho que criou anteriormente neste guia.
   • WORKFORCE_POOL_ID: o ID do Workload Identity Pool que criou anteriormente neste guia.

   • ATTRIBUTE_MAPPING: um mapeamento de atributos, por exemplo:

     google.subject=assertion.subject,
     google.groups=assertion.attributes['https://example.com/aliases'],
     attribute.costcenter=assertion.attributes.costcenter[0]

     Este exemplo mapeia os atributos do IdP assertion.subject, assertion.attributes['https://example.com/aliases'] e assertion.attributes.costcenter[0] para os atributos Trusted Cloud google.subject, google.groups e google.costcenter, respetivamente.

   • ATTRIBUTE_CONDITION: uma condição de atributo opcional. Por exemplo, para limitar o atributo ipaddr a um determinado intervalo de IPs, pode definir a condição assertion.attributes.ipaddr.startsWith('98.11.12.'). Esta condição de exemplo garante que apenas os utilizadores com um endereço IP que comece por 98.11.12. podem iniciar sessão através deste fornecedor de força de trabalho.

   • XML_METADATA_PATH: o caminho para o ficheiro de metadados formatado em XML para a app Okta que criou anteriormente neste guia.

   O prefixo gcp- está reservado e não pode ser usado num ID do Workload Identity Pool ou do fornecedor do Workload Identity Pool.

   • A Workforce Identity Federation registra em registos de auditoria detalhados as informações recebidas do seu IdP no Logging. O registo de auditoria detalhado pode ajudar a resolver problemas de configuração do fornecedor do conjunto de identidades da força de trabalho. Para saber como resolver problemas de erros de mapeamento de atributos com registo de auditoria detalhado, consulte o artigo Erros gerais de mapeamento de atributos. Para saber mais sobre os preços do Logging, consulte os preços da observabilidade do Google Cloud.

     Para desativar o registo de auditoria detalhado para um fornecedor do Workload Identity Pool, omita a flag --detailed-audit-logging quando executar gcloud iam workforce-pools providers create. Para desativar o registo de auditoria detalhado, também pode atualizar o fornecedor.

   Opcional: aceite afirmações SAML encriptadas do seu IdP

   Para permitir que o seu IdP SAML 2.0 produza afirmações SAML encriptadas que podem ser aceites pela federação de identidade da força de trabalho, faça o seguinte:

   • Na federação de identidade da força de trabalho, faça o seguinte:
   • Crie um par de chaves assimétricas para o fornecedor do Workload Identity Pool.
   • Transferir um ficheiro de certificado que contém a chave pública.
   • Configure o seu IdP SAML para usar a chave pública para encriptar as afirmações SAML que emite.
   • No IdP, faça o seguinte:
   • Ative a encriptação de afirmações, também conhecida como encriptação de tokens.
   • Carregue a chave pública que criou na federação de identidade da força de trabalho.
   • Confirme que o seu IdP produz afirmações SAML encriptadas.
   Tenha em atenção que, mesmo com as chaves do fornecedor de encriptação SAML configuradas, a federação de identidade da força de trabalho pode continuar a processar uma afirmação de texto simples.

   Crie chaves de encriptação de afirmações SAML da federação de identidade da força de trabalho

   Esta secção explica como criar um par de chaves assimétricas que permite à federação de identidade da força de trabalho aceitar afirmações SAML encriptadas.

   Trusted Cloud by S3NS usa a chave privada para desencriptar as afirmações SAML emitidas pelo seu IdP. Para criar um par de chaves assimétricas para utilização com a encriptação SAML, execute o seguinte comando. Para saber mais, consulte o artigo Algoritmos de encriptação SAML suportados.

   gcloud iam workforce-pools providers keys create KEY_ID \
       --workforce-pool WORKFORCE_POOL_ID \
       --provider WORKFORCE_PROVIDER_ID \
       --location global \
       --use encryption \
       --spec KEY_SPECIFICATION

   Substitua o seguinte:

   • KEY_ID: um nome de chave à sua escolha
   • WORKFORCE_POOL_ID: o ID da piscina
   • WORKFORCE_PROVIDER_ID: o ID do fornecedor do Workforce Identity Pool
   • KEY_SPECIFICATION: a especificação principal, que pode ser uma das seguintes: rsa-2048, rsa-3072 e rsa-4096.

   Depois de criar o par de chaves, para transferir a chave pública para um ficheiro de certificado, execute o seguinte comando. Apenas a federação de identidade da força de trabalho tem acesso à chave privada.

   gcloud iam workforce-pools providers keys describe KEY_ID \
       --workforce-pool WORKFORCE_POOL_ID \
       --provider WORKFORCE_PROVIDER_ID \
       --location global \
       --format "value(keyData.key)" \
       > CERTIFICATE_PATH

   Substitua o seguinte:

   • KEY_ID: o nome da chave
   • WORKFORCE_POOL_ID: o ID da piscina
   • WORKFORCE_PROVIDER_ID: o ID do fornecedor do Workforce Identity Pool
   • CERTIFICATE_PATH: o caminho para escrever o certificado, por exemplo, saml-certificate.cer ou saml-certificate.pem

   Configure o seu IdP compatível com SAML 2.0 para emitir afirmações SAML encriptadas

   Para configurar o Okta para encriptar afirmações SAML, faça o seguinte:

   • Aceda ao painel de controlo do Okta e inicie sessão.
   • Aceda a Aplicações>Aplicações.
   • Clique na sua app.
   • No separador Geral, na secção Definições de SAML, clique em Editar.
   • Clique em Seguinte para ver as Definições de SAML.
   • Clique em Mostrar definições avançadas.
   • Em Definições de SAML, faça o seguinte:
   • Em Resposta (preferencial) ou Assinatura de afirmação, selecione Signed.
   • Em Algoritmo de assinatura e Algoritmo de resumo, selecione qualquer opção.
   • Defina os seguintes valores:
   • Encriptação de afirmações: encriptada.
   • Algoritmo de encriptação: qualquer algoritmo que escolher.
   • Certificado de encriptação: carregue o ficheiro de certificado que gerou anteriormente neste guia.
   • Para guardar a configuração, clique em Seguinte e, de seguida, em Concluir

   Depois de configurar o IdP para encriptar afirmações SAML, recomendamos que verifique se as afirmações que gera estão realmente encriptadas. Mesmo com a encriptação de afirmações SAML configurada, a federação de identidade da força de trabalho pode continuar a processar afirmações de texto simples.

   Elimine as chaves de encriptação da federação de identidade da força de trabalho

   Para eliminar chaves de encriptação SAML, execute o seguinte comando:

     gcloud iam workforce-pools providers keys delete KEY_ID \
         --workforce-pool WORKFORCE_POOL_ID \
         --provider WORKFORCE_PROVIDER_ID \
         --location global

   Substitua o seguinte:

   • KEY_ID: o nome da chave
   • WORKFORCE_POOL_ID: o ID da piscina
   • WORKFORCE_PROVIDER_ID: o ID do fornecedor do Workforce Identity Pool

   Algoritmos de encriptação SAML suportados

   A federação de identidade da força de trabalho suporta os seguintes algoritmos de transporte de chaves:

   • http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p
   • http://www.w3.org/2009/xmlenc11#rsa-oaep"
   • http://www.w3.org/2001/04/xmlenc#rsa-1_5"

   A federação de identidade da força de trabalho suporta os seguintes algoritmos de encriptação de blocos:

   • http://www.w3.org/2001/04/xmlenc#aes128-cbc
   • http://www.w3.org/2001/04/xmlenc#aes192-cbc
   • http://www.w3.org/2001/04/xmlenc#aes256-cbc
   • http://www.w3.org/2009/xmlenc11#aes128-gcm
   • http://www.w3.org/2009/xmlenc11#aes256-gcm

Consola

Para configurar o fornecedor de SAML através da Trusted Cloud consola, faça o seguinte:

1. Na Trusted Cloud consola, aceda à página Workforce Identity Pools:

   Aceda aos Workforce Identity Pools

2. Na tabela Workforce Identity Pools, selecione o pool para o qual quer criar o fornecedor.

3. Na tabela Fornecedores, clique em Adicionar fornecedor.

4. Em Selecione um protocolo, selecione SAML.

5. Em Criar um fornecedor do Workload Identity Pool, faça o seguinte:

   1. Em Nome, introduza um nome para o fornecedor.

   2. Opcional: em Descrição, introduza uma descrição do fornecedor.

   3. Em Ficheiro de metadados do IDP (XML), selecione o ficheiro XML de metadados que gerou anteriormente neste guia.

   4. Certifique-se de que a opção Fornecedor ativado está ativada.

   5. Clique em Continuar.

6. Em Configurar fornecedor, faça o seguinte:

   1. Em Mapeamento de atributos, introduza uma expressão CEL para google.subject.

   2. Opcional: para introduzir outros mapeamentos, clique em Adicionar mapeamento e introduza outros mapeamentos, por exemplo:

      google.subject=assertion.subject,
      google.groups=assertion.attributes['https://example.com/aliases'],
      attribute.costcenter=assertion.attributes.costcenter[0]

      Este exemplo mapeia os atributos do IdP assertion.subject, assertion.attributes['https://example.com/aliases'] e assertion.attributes.costcenter[0] para os atributos Trusted Cloud google.subject, google.groups e google.costcenter, respetivamente.

   3. Opcional: para adicionar uma condição de atributo, clique em Adicionar condição e introduza uma expressão CEL que represente uma condição de atributo. Por exemplo, para limitar o atributo ipaddr a um determinado intervalo de IPs, pode definir a condição assertion.attributes.ipaddr.startsWith('98.11.12.'). Esta condição de exemplo garante que apenas os utilizadores com um endereço IP que comece por 98.11.12. podem iniciar sessão através deste fornecedor de força de trabalho.

   4. Clique em Continuar.

   5. Para ativar o registo de auditoria detalhado, em Registo detalhado, clique no botão para ativar/desativar Ativar registo detalhado de valores de atributos.

      A Workforce Identity Federation registra em registos de auditoria detalhados as informações recebidas do seu IdP no Logging. O registo de auditoria detalhado pode ajudar a resolver problemas de configuração do fornecedor do conjunto de identidades da força de trabalho. Para saber como resolver problemas de erros de mapeamento de atributos com registo de auditoria detalhado, consulte o artigo Erros gerais de mapeamento de atributos. Para saber mais sobre os preços do Logging, consulte os preços da observabilidade do Google Cloud.

      Para desativar o registo de auditoria detalhado para um fornecedor do Workload Identity Pool, omita a flag --detailed-audit-logging quando executar gcloud iam workforce-pools providers create. Para desativar o registo de auditoria detalhado, também pode atualizar o fornecedor.

7. Para criar o fornecedor, clique em Enviar.

Para uma única identidade

Para conceder a função de administrador do armazenamento (roles/storage.admin) a uma única identidade para o projeto TEST_PROJECT_ID, execute o seguinte comando:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/SUBJECT_VALUE"

Substitua o seguinte:

• TEST_PROJECT_ID: ID do projeto
• WORKFORCE_POOL_ID: o ID do Workforce Identity Pool
• SUBJECT_VALUE: a identidade do utilizador

Usar o atributo de departamento mapeado

Para conceder a função de administrador do armazenamento (roles/storage.admin) a todas as identidades num departamento específico para o projeto TEST_PROJECT_ID, execute o seguinte comando:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.department/DEPARTMENT_VALUE"

Substitua o seguinte:

• TEST_PROJECT_ID: ID do projeto
• WORKFORCE_POOL_ID: o ID do Workforce Identity Pool
• DEPARTMENT_VALUE: o valor attribute.department mapeado

Usar grupos mapeados

Para conceder a função de administrador do armazenamento (roles/storage.admin) a todas as identidades num grupo específico para o projeto TEST_PROJECT_ID, execute o seguinte comando:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

Substitua o seguinte:

• TEST_PROJECT_ID: ID do projeto
• WORKFORCE_POOL_ID: o ID do Workforce Identity Pool
• GROUP_ID: um grupo na reivindicação google.groups mapeada.

Início de sessão baseado no navegador da CLI gcloud

Para iniciar sessão na gcloud CLI através de um fluxo de início de sessão baseado no navegador, faça o seguinte:

Crie um ficheiro de configuração

Para criar o ficheiro de configuração de início de sessão, execute o seguinte comando. Opcionalmente, pode ativar o ficheiro como predefinição para a CLI gcloud adicionando a flag --activate. Em seguida, pode executar o comando gcloud auth login sem especificar o caminho do ficheiro de configuração de cada vez.

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/PROVIDER_ID \
    --output-file=LOGIN_CONFIG_FILE_PATH

Substitua o seguinte:

• WORKFORCE_POOL_ID: o ID do Workforce Pool
• PROVIDER_ID: o ID do fornecedor
• LOGIN_CONFIG_FILE_PATH: o caminho para um ficheiro de configuração que especifica, por exemplo, login.json

O ficheiro contém os pontos finais usados pela CLI gcloud para ativar o fluxo de autenticação baseado no navegador e definir o público-alvo para o IdP que foi configurado no fornecedor do Workload Identity Pool. O ficheiro não contém informações confidenciais.

O resultado tem um aspeto semelhante ao seguinte:

{
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.s3nscloud.fr/authorize",
  "token_url": "https://sts.s3nsapis.fr/v1/oauthtoken",
  "token_info_url": "https://sts.s3nsapis.fr/v1/introspect",
}

Inicie sessão através da autenticação baseada no navegador

Para autenticar através da autenticação de início de sessão baseada no navegador, pode usar um dos seguintes métodos:

• Se usou a flag --activate quando criou o ficheiro de configuração ou se ativou o ficheiro de configuração com gcloud config set auth/login_config_file, a CLI gcloud usa o ficheiro de configuração automaticamente:

  gcloud auth login

• Para iniciar sessão especificando a localização do ficheiro de configuração, execute o seguinte comando:

  gcloud auth login --login-config=LOGIN_CONFIG_FILE_PATH

• Para usar uma variável de ambiente para especificar a localização do ficheiro de configuração, defina CLOUDSDK_AUTH_LOGIN_CONFIG_FILE para o caminho de configuração.

Desative o início de sessão com base no navegador

Para descontinuar a utilização do ficheiro de configuração de início de sessão, faça o seguinte:

• Se usou a flag --activate quando criou o ficheiro de configuração ou se ativou o ficheiro de configuração com gcloud config set auth/login_config_file, tem de executar o seguinte comando para anular a definição:

  gcloud config unset auth/login_config_file

• Limpe a variável de ambiente CLOUDSDK_AUTH_LOGIN_CONFIG_FILE, se estiver definida.

Início de sessão sem interface da CLI gcloud

Para iniciar sessão na CLI gcloud através de um fluxo sem interface gráfica, faça o seguinte:

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "subject_token_type": "urn:ietf:params:oauth:token-type:id_token",
  "token_url": "https://sts.googleapis.com/v1/token",
  "workforce_pool_user_project": "WORKFORCE_POOL_USER_PROJECT",
  "credential_source": {
    "file": "PATH_TO_OIDC_CREDENTIALS_FILE"
  }
}

Para iniciar sessão no gcloud através da troca de tokens, execute o seguinte comando:

gcloud auth login --cred-file="config.json"

gcloud, em seguida, troca de forma transparente as suas credenciais do Okta por símbolos de acesso temporários, o que lhe permite fazer outras chamadas para gcloud Trusted Cloud.Trusted Cloud

Vê um resultado semelhante ao seguinte:

Authenticated with external account user credentials for:
[principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/USER_ID].

Para listar as contas com credenciais e a conta atualmente ativa, execute o seguinte comando:

gcloud auth list

Início de sessão na consola (federado)

Para iniciar sessão na Trusted Cloud by S3NS consola da federação de identidade da força de trabalho, também conhecida como consola (federada), faça o seguinte:

1. Aceda à página de início de sessão (federado) da consola.

   Aceda à consola (federada)

2. Introduza o nome do fornecedor, que está formatado da seguinte forma:

   locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

1. Introduza as credenciais do utilizador na integração da app Okta, se lhe for pedido.

Se iniciar um início de sessão iniciado pelo IdP, use o seguinte URL nas definições SAML para o parâmetro aninhado Default RelayState: https://console.cloud.s3nscloud.fr/.

CLI gcloud

Para apresentar uma lista dos contentores e objetos do Cloud Storage para o projeto ao qual tem acesso, execute o seguinte comando:

gcloud storage ls --project="TEST_PROJECT_ID"

O principal tem de ter a autorização serviceusage.services.use no projeto especificado.

Consola (federada)

Para apresentar uma lista de contentores do Cloud Storage através da consola (federada), faça o seguinte:

• Aceda à página do Cloud Storage.
• Verifique se consegue ver a lista de contentores existentes para o TEST_PROJECT_ID