Mitarbeiteridentitätsföderation mit PingFederate konfigurieren

In diesem Dokument wird beschrieben, wie Sie die Mitarbeiteridentitätsföderation mit dem Identitätsanbieter (IdP) PingFederate konfigurieren und den Zugriff aufCloud de Confiance by S3NSverwalten. Nachdem Sie den PingFederate-IdP konfiguriert haben, können föderierte Nutzer mit dem SAML 2.0-Protokoll auf Cloud de Confiance -Dienste zugreifen, die die Mitarbeiteridentitätsföderation unterstützen.

Hinweis

1. Sie müssen eine Cloud de Confiance Organisation einrichten.
2. Setzen Sie die Umgebungsvariable GOOGLE_CLOUD_UNIVERSE_DOMAIN auf s3nsapis.fr.

3. Installieren Sie die Google Cloud CLI und melden Sie sich dann mit Ihrer föderierten Identität in der gcloud CLI an. Nach der Anmeldung initialisieren Sie die Google Cloud CLI mit dem folgenden Befehl:

   gcloud init

4. Für die Anmeldung muss Ihr IdP signierte Authentifizierungsinformationen bereitstellen: SAML-IdP-Antworten müssen signiert sein.
5. Wenn Sie wichtige Informationen zu Änderungen an Ihrer Organisation oder IhrenCloud de Confiance -Produkten erhalten möchten, müssen Sie Wichtige Kontakte angeben. Weitere Informationen finden Sie unter Workforce Identity-Föderation – Übersicht.

Kosten

Die Mitarbeiteridentitätsföderation ist als kostenlose Funktion verfügbar. Das detaillierte Audit-Logging der Workforce Identity-Föderation verwendet jedoch Cloud Logging. Informationen zu den Preisen für Logging finden Sie unter Google Cloud Observability-Preise.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle IAM-Mitarbeiterpool-Administrator (roles/iam.workforcePoolAdmin) für die Organisation zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Konfigurieren der Mitarbeiteridentitätsföderation benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Wenn Sie Berechtigungen in einer Entwicklungs- oder Testumgebung, aber nicht in einer Produktionsumgebung konfigurieren, können Sie die einfache Rolle „IAM-Inhaber“ (roles/owner) zuweisen. Diese Rolle enthält auch Berechtigungen für die Mitarbeiteridentitätsföderation.

Workforce Identity-Pool erstellen

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

PingFederate-Anwendung erstellen

In diesem Abschnitt erfahren Sie, wie Sie eine PingFederate-Anwendungsintegration erstellen.

So richten Sie eine PingFederate-Anwendung ein, die das SAML 2.0-Protokoll verwendet:

1. Legen Sie die SAML 2.0-Entitäts-ID Ihres PingFederate-IdP fest. Weitere Informationen finden Sie unter Föderationsinformationen angeben.

2. Erstellen Sie eine SAML 2.0-SP-Verbindung (siehe SP-Verbindungstyp auswählen) und gehen Sie so vor:

   1. Wählen Sie unter Verbindungstyp die Optionen Browser-SSO-Profile und SAML 2.0-Protokoll aus.
   2. Wählen Sie unter Metadaten importieren die Option Keine aus.

3. Legen Sie unter Allgemeine Informationen die Entitäts-ID des Partners (Verbindungs-ID) auf Folgendes fest:

   https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

4. Aktivieren Sie unter SAML-Profile die Option Vom Dienstanbieter initiierte SSO. Wenn Sie auch die vom Identitätsanbieter initiierte Einmalanmeldung (SSO) verwenden möchten, können Sie sie ebenfalls aktivieren.

5. Definieren Sie im Attributvertrag benutzerdefinierte Attribute (z. B. E-Mail-Adresse und Gruppen), die in der Assertion übergeben werden sollen. Diese Attribute können in Cloud de Confiance verwendet werden, um später Richtlinien zur Zugriffsverwaltung zu erstellen.

6. Prüfen Sie unter Attribute Contract Fulfillment (Vertragserfüllung für Attribute), ob SAML_SUBJECT einem Feld zugeordnet ist, das für jeden Nutzer einen eindeutigen Wert hat. Eine E-Mail-Adresse ist beispielsweise in der Regel für jeden Nutzer eindeutig, ändert sich nicht und wird häufig verwendet, um in Cloud de Confiance Richtlinien zur Zugriffsverwaltung auf einen bestimmten Nutzer zu verweisen.

7. Wenn Sie die Anmeldung in der Console (föderiert) einrichten möchten, fügen Sie in Assertion Consumer Service URL die folgende Endpunkt-URL hinzu:

   https://auth.cloud.s3nscloud.fr/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

   Ersetzen Sie Folgendes:

   • WORKFORCE_POOL_ID: die ID des Personalpools, den Sie zuvor erstellt haben.
   • WORKFORCE_PROVIDER_ID: Die ID des Workforce-Anbieters, den Sie später erstellen.

8. Legen Sie für diesen Endpunkt Binding auf POST fest.

9. Wenn Sie die Anmeldung in der Console (föderiert) aktivieren möchten, wählen Sie unter Allowable SAML Bindings (Zulässige SAML-Bindungen) die Option Redirect (Umleitung) aus.

10. Wählen Sie für Signaturrichtlinie die Option Antwort bei Bedarf signieren aus.

11. Speichern und aktivieren Sie die Verbindung.

Attribute verwenden

In diesem Abschnitt wird beschrieben, wie Sie Attribute aus der SAML-Assertion verwenden.

Verwenden Sie Attributverträge, um die benutzerdefinierten Attribute in den generierten SAML-Assertions anzugeben. Nachdem Sie Attribute konfiguriert haben, können Sie sie in Cloud de Confiance by S3NS verwenden, um Richtlinien zur Zugriffsverwaltung zu erstellen. Weitere Informationen zu Attributverträgen finden Sie in der PingFederate-Serverdokumentation unter Attribute contracts.

In dieser Anleitung verwenden wir beispielsweise PingOne als Datenspeicher für PingFederate und ordnen die Attributverträge email, firstName und groups den Nutzerattributen aus dem PingOne-Datenspeicher zu:

PingFederate Workforce Identity-Poolanbieter erstellen

In diesem Abschnitt wird beschrieben, wie Sie einen Anbieter von Workforce-Identitätspools erstellen, um Ihren IdP-Nutzern den Zugriff auf Cloud de Confiancezu ermöglichen. Sie können den Anbieter so konfigurieren, dass er das SAML-Protokoll verwendet.

SAML 2.0-Workforce Identity-Pool-Anbieter erstellen

1. So konfigurieren Sie die SAML-Anwendung:

   gcloud

   Führen Sie den folgenden Befehl aus, um den Anbieter des SAML-Mitarbeiteridentitätspools zu erstellen:

   gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
       --workforce-pool="WORKFORCE_POOL_ID" \
       --display-name="DISPLAY_NAME" \
       --description="DESCRIPTION" \
       --idp-metadata-path="XML_METADATA_PATH" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --location=global
   

   Ersetzen Sie Folgendes:

   • WORKFORCE_PROVIDER_ID: eine Anbieter-ID.
   • WORKFORCE_POOL_ID: die ID des Mitarbeiteridentitätspools.
   • DISPLAY_NAME: Ein Anzeigename.
   • DESCRIPTION: eine Beschreibung.
   • XML_METADATA_PATH: der Pfad zur XML-formatierten Metadatendatei von PingFederate.
   • ATTRIBUTE_MAPPING: die Attributzuordnung; Beispiel: google.subject=assertion.subject,google.groups=assertion.attributes.groups,attribute.department=assertion.attributes.department[0].
   • ATTRIBUTE_CONDITION: eine optionale Attributbedingung. Wenn Sie beispielsweise das Attribut ipaddr auf einen bestimmten IP-Bereich beschränken möchten, können Sie die Bedingung assertion.ipaddr.startsWith('98.11.12.') festlegen.

   Mit diesem Befehl werden subject, groups und department in der SAML-Assertion den Attributen google.subject, google.groups bzw. attribute.department zugewiesen. Durch die Attributbedingung wird außerdem sichergestellt, dass sich nur Nutzer innerhalb eines bestimmten IP-Bereichs über diesen Workforce-Anbieter anmelden können.

   Console

   So konfigurieren Sie den SAML-Anbieter mit der Cloud de Confiance Console:

   1. Rufen Sie in der Cloud de Confiance Console die Seite Mitarbeiteridentitätspools auf: Zu Mitarbeiteridentitätspools
   2. Wählen Sie in der Tabelle Workforce Identity-Pools den Pool aus, für den Sie den Anbieter erstellen möchten.
   3. Klicken Sie im Bereich Anbieter auf addAnbieter hinzufügen.
   4. Wählen Sie in der Liste Select a Provider vendor (Anbieter auswählen) die Option Generic Identity Provider (Allgemeiner Identitätsanbieter) aus.
   5. Wählen Sie unter Authentifizierungsprotokoll auswählen die Option SAML aus.
   6. Führen Sie im Abschnitt Anbieter erstellen die folgenden Schritte aus:
      1. Geben Sie unter Name einen Namen für den Anbieter ein.
      2. Optional: Geben Sie unter Beschreibung eine Beschreibung für den Anbieter ein.
      3. Wählen Sie in der IdP-Metadatendatei (XML) die XML-Metadatendatei aus PingFederate aus.
      4. Wenn Sie einen aktivierten Anbieter erstellen möchten, muss die Option Anbieter aktivieren aktiviert sein.
      5. Klicken Sie auf Weiter.
   7. Klicken Sie im Bereich Informationen zum Dienstanbieter freigeben auf Weiter.
   8. Optional: Wenn Sie das detaillierte Audit-Logging aktivieren möchten, klicken Sie im Bereich Anbieter konfigurieren unter Detaillierte Protokollierung auf den Ein/Aus-Button Audit-Logging für Attributwerte aktivieren.

      Beim detaillierten Audit-Logging der Workforce Identity-Föderation werden Informationen, die von Ihrem IdP empfangen werden, in Logging protokolliert. Detaillierte Audit-Logs können Ihnen bei der Fehlerbehebung bei der Konfiguration Ihres Anbieters für Workforce Identity-Pools helfen. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detaillierter Audit-Protokollierung finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Preisen für Logging finden Sie unter Google Cloud Observability-Preise.

      Wenn Sie das detaillierte Audit-Logging für einen Anbieter von Mitarbeiteridentitätspools deaktivieren möchten, lassen Sie die Ein/Aus-Schaltfläche Audit-Logging für Attributwerte aktivieren beim Erstellen des Anbieters deaktiviert. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

   9. Klicken Sie auf Senden, um den Anbieter zu erstellen.

   Nachdem der Anbieter erstellt wurde, werden Sie zur Seite mit den Anbieterattributen weitergeleitet.

   So konfigurieren Sie Attributzuordnungen und ‑bedingungen:

   1. Melden Sie sich bei Ihrem externen IdP an, wenn Sie dazu aufgefordert werden, um die Standardattributzuordnungen zu validieren.

   2. Auf der Seite „Anbieterattribute“ können Sie die Attributzuordnungen und ‑bedingungen ansehen und bearbeiten:

      1. So fügen Sie Attributzuordnungen hinzu oder bearbeiten sie:

         1. Klicken Sie auf Zuordnung hinzufügen, um eine neue Zuordnung hinzuzufügen, oder bearbeiten Sie die vorhandenen Zuordnungen.
         2. Wählen Sie im Feld Google n, wobei n eine Zahl ist, einen von Cloud de Confianceunterstützten Schlüssel aus.

         3. Geben Sie im entsprechenden Feld SAML n den Attributnamen des IdP oder einen CEL-Ausdruck ein, z. B.:

            google.subject=assertion.subject,
            google.groups=assertion.attributes['https://example.com/aliases'],
            attribute.costcenter=assertion.attributes.costcenter[0]
            

      2. So fügen Sie eine Attributbedingung hinzu:

         1. Klicken Sie auf Bedingung hinzufügen.
         2. Geben Sie im Feld Attributbedingungen eine Bedingung im CEL-Format ein, z. B. assertion.ipaddr.startsWith('98.11.12.').

   3. Klicken Sie zum Validieren der Zuordnungen auf Speichern und Token neu abrufen.

   4. Klicken Sie auf Speichern und beenden, um die Einrichtung abzuschließen.

Zugriff auf Cloud de Confiance Ressourcen verwalten

In diesem Abschnitt wird beschrieben, wie Sie den Zugriff auf Cloud de Confiance -Ressourcen für PingFederate-Nutzer verwalten.

Das in dieser Anleitung verwendete Beispielprojekt kann sich von dem Projekt unterscheiden, das Sie zum Einrichten der Workforce Identity-Föderation verwendet haben.

Sie können Rollen für einzelne Identitäten, Identitätsgruppen oder gesamte Pools verwalten. Weitere Informationen finden Sie unter Hauptkonto-IDs für Mitarbeiter für Zulassungsrichtlinien.

Zugeordnete Abteilungsattribute verwenden

Führen Sie den folgenden Befehl aus, um allen Identitäten innerhalb einer bestimmten Abteilung für das Projekt TEST_PROJECT_ID die Rolle „Storage-Administrator“ (roles/storage.admin) zuzuweisen:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.department/DEPARTMENT_VALUE"

Ersetzen Sie Folgendes:

• TEST_PROJECT_ID: Projekt-ID.
• WORKFORCE_POOL_ID: die ID des Mitarbeiteridentitätspools.
• DEPARTMENT_VALUE: der zugeordnete Wert attribute.department.

Zugeordnete Gruppen verwenden

Führen Sie den folgenden Befehl aus, um allen Identitäten in der Gruppe GROUP_ID für das Projekt TEST_PROJECT_ID die Rolle „Storage-Administrator“ (roles/storage.admin) zuzuweisen:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

Ersetzen Sie Folgendes:

• TEST_PROJECT_ID: Projekt-ID.
• WORKFORCE_POOL_ID: die ID des Mitarbeiteridentitätspools.
• GROUP_ID: eine Gruppe im zugeordneten google.groups-Anspruch.

Anmelden und Zugriff testen

In diesem Abschnitt melden Sie sich als Workforce Identity-Pool-Nutzer an und testen Ihren Zugriff.

Anmelden

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

{
  "universe_domain": "s3nsapis.fr",
  "universe_cloud_web_domain": "cloud.s3nscloud.fr",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.s3nscloud.fr/authorize",
  "token_url": "https://sts.s3nsapis.fr/v1/oauthtoken",
  "token_info_url": "https://sts.s3nsapis.fr/v1/introspect"
}

gcloud config unset auth/login_config_file

Zugriff testen

Sie haben Zugriff auf Cloud de Confiance -Dienste, die die Workforce Identity-Föderation unterstützen und auf die Sie Zugriff erhalten haben. Sie haben zuvor in diesem Leitfaden allen Identitäten innerhalb einer bestimmten Abteilung oder Gruppe für das Projekt TEST_PROJECT_ID die Rolle „Storage-Admin“ zugewiesen. Sie können testen, ob Sie Zugriff haben. Dazu listen Sie Cloud Storage-Buckets auf.

gcloud alpha storage ls --project="TEST_PROJECT_ID"

Nächste Schritte

• Nutzer von Workforce Identity-Föderation und deren Daten löschen
• Erfahren Sie, welche Cloud de Confiance Produkte die Workforce Identity Federation unterstützen.
• Nutzerzugriff auf die Console (föderiert) einrichten