Mitarbeiteridentitätsföderation mit PingFederate konfigurieren

Mit der Mitarbeiteridentitätsföderation können Sie PingFederate als Identitätsanbieter (IdP) verwenden, um Ihre Mitarbeiter bei Cloud de Confiance by S3NSzu authentifizieren. Nachdem Sie die Integration von Security Assertion Markup Language (SAML) 2.0 konfiguriert haben, können sich föderierte Nutzer bei Cloud de Confiance -Diensten anmelden, die die Mitarbeiteridentitätsföderation unterstützen.

Hinweis

1. Sie müssen eine Cloud de Confiance -Organisation einrichten.
2. Setzen Sie die Umgebungsvariable GOOGLE_CLOUD_UNIVERSE_DOMAIN auf s3nsapis.fr.

3. Installieren Sie die Google Cloud CLI und melden Sie sich dann mit Ihrer föderierten Identität in der gcloud CLI an. Nach der Anmeldung initialisieren Sie die Google Cloud CLI mit dem folgenden Befehl:

   gcloud init

4. Für die Anmeldung muss Ihr IdP signierte Authentifizierungsinformationen bereitstellen: SAML-IdP-Antworten müssen signiert sein.
5. Wenn Sie wichtige Informationen zu Änderungen an Ihrer Organisation oder IhrenCloud de Confiance -Produkten erhalten möchten, müssen Sie Wichtige Kontakte angeben. Weitere Informationen finden Sie unter Mitarbeiteridentitätsföderation – Übersicht.

Kosten

Die Mitarbeiteridentitätsföderation ist als kostenlose Funktion verfügbar. Für das detaillierte Audit-Logging der Mitarbeiteridentitätsföderation wird jedoch Cloud Logging verwendet. Informationen zu den Preisen für Logging finden Sie unter Google Cloud Observability – Preise.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle IAM-Mitarbeiterpool-Administrator (roles/iam.workforcePoolAdmin) für die Organisation zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Konfigurieren der Mitarbeiteridentitätsföderation benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Wenn Sie Berechtigungen in einer Entwicklungs- oder Testumgebung konfigurieren, aber nicht in einer Produktionsumgebung, können Sie die einfache IAM-Rolle „Inhaber“ (roles/owner) zuweisen. Diese Rolle enthält auch Berechtigungen für die Mitarbeiteridentitätsföderation.

Workforce Identity-Pool erstellen

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

PingFederate-Anwendung erstellen

In diesem Abschnitt erfahren Sie, wie Sie eine PingFederate-Anwendungsintegration erstellen.

So richten Sie eine PingFederate-Anwendung ein, die das SAML 2.0-Protokoll verwendet:

1. Legen Sie die SAML 2.0-Entitäts-ID Ihres PingFederate-IdP fest. Weitere Informationen finden Sie unter Föderationsinformationen angeben.

2. Erstellen Sie eine SAML 2.0-SP-Verbindung. Weitere Informationen finden Sie unter SP-Verbindungstyp auswählen. Gehen Sie dann so vor:

   1. Wählen Sie unter Connection Type (Verbindungstyp) die Optionen Browser SSO Profiles (Browser-SSO-Profile) und SAML 2.0 protocol (SAML 2.0-Protokoll) aus.
   2. Wählen Sie unter Metadaten importieren die Option Keine aus.

3. Legen Sie unter Allgemeine Informationen die Entitäts-ID des Partners (Verbindungs-ID) auf Folgendes fest:

   https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

4. Aktivieren Sie unter SAML Profiles (SAML-Profile) die Option SP-initiated SSO (Vom Dienstanbieter initiierte SSO). Wenn Sie auch die vom IdP initiierte Einmalanmeldung (SSO) verwenden möchten, können Sie diese ebenfalls aktivieren.

5. Definieren Sie unter Attribute Contract (Attributvertrag) benutzerdefinierte Attribute (z. B. E-Mail und Gruppen), die in der Assertion übergeben werden sollen. Diese Attribute können in Cloud de Confiance verwendet werden, um später Richtlinien zur Zugriffsverwaltung zu erstellen.

6. Achten Sie unter Attribute Contract Fulfillment (Attributvertragserfüllung) darauf, dass SAML_SUBJECT einem Feld zugeordnet ist, das für jeden Nutzer einen eindeutigen Wert hat. Eine E-Mail-Adresse ist beispielsweise in der Regel für jeden Nutzer eindeutig, ändert sich nicht und wird häufig verwendet, um in Zugriffsverwaltungsrichtlinien von Cloud de Confiance auf einen bestimmten Nutzer zu verweisen.

7. Wenn Sie die Anmeldung in der Console (föderiert) einrichten möchten, fügen Sie unter Assertion Consumer Service URL die folgende Endpunkt-URL hinzu:

   https://auth.cloud.s3nscloud.fr/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

   Ersetzen Sie Folgendes:

   • WORKFORCE_POOL_ID: die ID des Workforce-Pools, den Sie zuvor erstellt haben.
   • WORKFORCE_PROVIDER_ID: die ID des Workforce-Anbieters, den Sie später erstellen.

8. Legen Sie die Bindung für diesen Endpunkt auf POST fest.

9. Wählen Sie unter Zulässige SAML-Bindungen die Option Weiterleitung aus, um die Anmeldung in der Console (föderiert) zu aktivieren.

10. Wählen Sie unter Signaturrichtlinie die Option Antwort nach Bedarf signieren aus.

11. Speichern und aktivieren Sie die Verbindung.

Attribute verwenden

In diesem Abschnitt wird beschrieben, wie Sie Attribute aus der SAML-Assertion verwenden.

Verwenden Sie Attributverträge, um die benutzerdefinierten Attribute in den generierten SAML-Assertions anzugeben. Nachdem Sie Attribute konfiguriert haben, können Sie sie in Cloud de Confiance by S3NS verwenden, um Richtlinien zur Zugriffsverwaltung zu erstellen. Weitere Informationen zu Attributverträgen finden Sie in der PingFederate-Serverdokumentation unter Attribute contracts.

In diesem Leitfaden verwenden wir beispielsweise PingOne als Datenspeicher für PingFederate und ordnen die Attributverträge email, firstName und groups mithilfe der Nutzerattribute aus dem PingOne-Datenspeicher so zu:

PingFederate-Workforce Identity-Pool-Anbieter erstellen

In diesem Abschnitt wird beschrieben, wie Sie einen Anbieter von Workforce Identity-Pools erstellen, um Ihren IdP-Nutzern den Zugriff auf Cloud de Confiancezu ermöglichen. Sie können den Anbieter so konfigurieren, dass er das SAML-Protokoll verwendet.

SAML 2.0-Workforce Identity-Pool-Anbieter erstellen

1. So konfigurieren Sie die SAML-Anwendung:

   gcloud

   Mit dem folgenden Befehl erstellen Sie den Anbieter des SAML-Mitarbeiteridentitätspools:

   gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
       --workforce-pool="WORKFORCE_POOL_ID" \
       --display-name="DISPLAY_NAME" \
       --description="DESCRIPTION" \
       --idp-metadata-path="XML_METADATA_PATH" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --location=global
   

   Ersetzen Sie Folgendes:

   • WORKFORCE_PROVIDER_ID: eine Anbieter-ID.
   • WORKFORCE_POOL_ID: die ID des Mitarbeiteridentitätspools.
   • DISPLAY_NAME: ein Anzeigename.
   • DESCRIPTION: eine Beschreibung.
   • XML_METADATA_PATH: der Pfad zur XML-formatierten Metadatendatei von PingFederate.
   • ATTRIBUTE_MAPPING: die Attributzuordnung; Beispiel: google.subject=assertion.subject,google.groups=assertion.attributes.groups,attribute.department=assertion.attributes.department[0].
   • ATTRIBUTE_CONDITION: eine optionale Attributbedingung. Wenn Sie beispielsweise das Attribut ipaddr auf einen bestimmten IP-Bereich beschränken möchten, können Sie die Bedingung assertion.ipaddr.startsWith('98.11.12.') festlegen.

   Mit diesem Befehl werden subject, groups und department in der SAML-Assertion den Attributen google.subject, google.groups bzw. attribute.department zugewiesen. Durch die Attributbedingung wird außerdem sichergestellt, dass sich nur Nutzer innerhalb eines bestimmten IP-Bereichs über diesen Workforce-Anbieter anmelden können.

   Console

   So konfigurieren Sie den SAML-Anbieter mit der Cloud de Confiance Console:

   1. Rufen Sie in der Cloud de Confiance Console die Seite Workforce Identity-Pools auf: Zu „Workforce Identity-Pools“
   2. Wählen Sie in der Tabelle Workforce Identity-Pools den Pool aus, für den Sie den Anbieter erstellen möchten.
   3. Klicken Sie im Bereich Anbieter auf addAnbieter hinzufügen.
   4. Wählen Sie in der Liste Anbieter auswählen die Option Generischer Identitätsanbieter aus.
   5. Wählen Sie unter Authentifizierungsprotokoll auswählen die Option SAML aus.
   6. Führen Sie im Abschnitt Anbieter erstellen die folgenden Schritte aus:
      1. Geben Sie unter Name einen Namen für den Anbieter ein.
      2. Optional: Geben Sie unter Beschreibung eine Beschreibung für den Anbieter ein.
      3. Wählen Sie in der IdP-Metadatendatei (XML) die XML-Metadatendatei von PingFederate aus.
      4. Wenn Sie einen aktivierten Anbieter erstellen möchten, muss die Option Anbieter aktivieren aktiviert sein.
      5. Klicken Sie auf Weiter.
   7. Klicken Sie im Abschnitt Anbieterinformationen freigeben auf Weiter.
   8. Optional: Wenn Sie das detaillierte Audit-Logging aktivieren möchten, klicken Sie im Bereich Anbieter konfigurieren unter Detailliertes Logging auf den Ein/Aus-Button Audit-Logging für Attributwerte aktivieren.

      Mit dem detaillierten Audit-Logging der Mitarbeiteridentitätsföderation werden Informationen, die von Ihrem IdP empfangen werden, in Logging protokolliert. Mit dem detaillierten Audit-Logging können Sie Probleme mit der Konfiguration Ihres Workforce Identity-Poolanbieters beheben. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detailliertem Audit-Logging finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Preisen für Logging finden Sie unter Google Cloud Observability-Preise.

      Wenn Sie das detaillierte Audit-Logging für einen Anbieter von Workforce Identity-Pools deaktivieren möchten, lassen Sie die Option Audit-Logging für Attributwerte aktivieren beim Erstellen des Anbieters deaktiviert. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

   9. Klicken Sie auf Senden, um den Anbieter zu erstellen.

   Nachdem der Anbieter erstellt wurde, werden Sie zur Seite mit den Anbieterattributen weitergeleitet.

   So konfigurieren Sie Attributzuordnungen und ‑bedingungen:

   1. Melden Sie sich bei Aufforderung bei Ihrem externen IdP an, um die Standardattributzuordnungen zu validieren.

   2. Auf der Seite mit den Anbieterattributen können Sie die Attributzuordnungen und ‑bedingungen ansehen und bearbeiten:

      1. So fügen Sie Attributzuordnungen hinzu oder bearbeiten sie:

         1. Klicken Sie auf Zuordnung hinzufügen, um eine neue Zuordnung hinzuzufügen, oder bearbeiten Sie die vorhandenen Zuordnungen.
         2. Wählen Sie im Feld Google n, wobei n eine Zahl ist, einen von Cloud de Confianceunterstützten Schlüssel aus.

         3. Geben Sie im entsprechenden Feld SAML n den IdP-Attributnamen oder einen CEL-Ausdruck ein, z. B.:

            google.subject=assertion.subject,
            google.groups=assertion.attributes['https://example.com/aliases'],
            attribute.costcenter=assertion.attributes.costcenter[0]
            

      2. So fügen Sie eine Attributbedingung hinzu:

         1. Klicken Sie auf Bedingung hinzufügen.
         2. Geben Sie im Feld Attributbedingungen eine Bedingung im CEL-Format ein, z. B. assertion.ipaddr.startsWith('98.11.12.').

   3. Klicken Sie auf Speichern und Token neu abrufen, um die Zuordnungen zu validieren.

   4. Klicken Sie auf Speichern und beenden, um die Einrichtung abzuschließen.

Zugriff auf Ressourcen von Cloud de Confiance verwalten

In diesem Abschnitt wird beschrieben, wie Sie den Zugriff auf Cloud de Confiance -Ressourcen für PingFederate-Nutzer verwalten.

Das in diesem Leitfaden verwendete Beispielprojekt kann sich von dem Projekt unterscheiden, das Sie zum Einrichten der Mitarbeiteridentitätsföderation verwendet haben.

Sie können Rollen für einzelne Identitäten, Identitätsgruppen oder gesamte Pools verwalten. Weitere Informationen finden Sie unter Hauptkonto-IDs für Zulassungsrichtlinien.

Zugeordnete Abteilungsattribute verwenden

Führen Sie den folgenden Befehl aus, um allen Identitäten innerhalb einer bestimmten Abteilung für das Projekt TEST_PROJECT_ID die Rolle „Storage-Administrator“ (roles/storage.admin) zuzuweisen:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.department/DEPARTMENT_VALUE"

Ersetzen Sie Folgendes:

• TEST_PROJECT_ID: Projekt-ID.
• WORKFORCE_POOL_ID: die ID des Mitarbeiteridentitätspools.
• DEPARTMENT_VALUE: der zugeordnete Wert attribute.department

Zugeordnete Gruppen verwenden

Führen Sie den folgenden Befehl aus, um allen Identitäten innerhalb der Gruppe GROUP_ID für das Projekt TEST_PROJECT_ID die Rolle „Storage-Administrator“ (roles/storage.admin) zuzuweisen:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

Ersetzen Sie Folgendes:

• TEST_PROJECT_ID: Projekt-ID.
• WORKFORCE_POOL_ID: die ID des Mitarbeiteridentitätspools.
• GROUP_ID: eine Gruppe im zugeordneten google.groups-Anspruch.

Anmelden und Zugriff testen

In diesem Abschnitt melden Sie sich als Nutzer eines Workforce Identity-Pools an und testen Ihren Zugriff.

Anmelden

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

{
  "universe_domain": "s3nsapis.fr",
  "universe_cloud_web_domain": "cloud.s3nscloud.fr",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.s3nscloud.fr/authorize",
  "token_url": "https://sts.s3nsapis.fr/v1/oauthtoken",
  "token_info_url": "https://sts.s3nsapis.fr/v1/introspect"
}

gcloud config unset auth/login_config_file

Zugriff testen

Sie haben Zugriff auf Cloud de Confiance -Dienste, die die Mitarbeiteridentitätsföderation unterstützen und auf die Sie Zugriff erhalten haben. Sie haben zuvor in diesem Leitfaden allen Identitäten innerhalb einer bestimmten Abteilung oder Gruppe für das Projekt TEST_PROJECT_ID die Rolle „Storage-Administrator“ zugewiesen. Sie können jetzt testen, ob Sie Zugriff haben. Dazu listen Sie Cloud Storage-Buckets auf.

gcloud alpha storage ls --project="TEST_PROJECT_ID"

Nächste Schritte

• Nutzer von Mitarbeiteridentitätsföderation und deren Daten löschen
• Cloud de Confiance -Produkte, die die Mitarbeiteridentitätsföderation unterstützen
• Nutzerzugriff auf die Console (föderiert) einrichten