Configura la federación de identidades de personal con PingFederate

En este documento, se muestra cómo configurar la federación de identidades de personal con el proveedor de identidad (IdP) PingFederate y administrar el acceso aCloud de Confiance by S3NS. Después de configurar el IdP de PingFederate, los usuarios federados pueden acceder a los servicios de Cloud de Confiance que admiten la federación de identidades de personal con el protocolo SAML 2.0.

Antes de comenzar

1. Asegúrate de configurar una organización de Cloud de Confiance .
2. Establecer la variable de entorno GOOGLE_CLOUD_UNIVERSE_DOMAIN como s3nsapis.fr.

3. Instala Google Cloud CLI y, luego, accede a gcloud CLI con tu identidad federada. Después de acceder, inicializa Google Cloud CLI con el siguiente comando:

   gcloud init

Para configurar una aplicación de PingFederate que use el protocolo SAML 2.0, haz lo siguiente en PingFederate:
1. Establece el ID de entidad de SAML 2.0 de tu IdP de PingFederate. Para obtener más detalles, consulta Cómo especificar información de federación.

2. Crea una conexión de SP de SAML 2.0. Para ello, consulta Cómo elegir un tipo de conexión de SP y haz lo siguiente:

   1. En Tipo de conexión, selecciona Perfiles de SSO del navegador y Protocolo SAML 2.0.
   2. En Importar metadatos, selecciona Ninguno.

3. En General Info, establece el ID de la entidad del socio (ID de conexión) en lo siguiente:

   https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

4. En SAML Profiles, habilita SP-initiated SSO. Si también planeas usar el inicio de sesión único (SSO) iniciado por IdP, también puedes habilitarlo.

5. En Attribute Contract, define atributos personalizados (por ejemplo, correo electrónico y grupos) para que se pasen en la aserción. Estos atributos se pueden usar en Cloud de Confiance para crear políticas de administración de acceso más adelante.

6. En Attribute Contract Fulfillment, asegúrate de que SAML_SUBJECT esté asignado a un campo que tenga un valor único para cada usuario. Por ejemplo, una dirección de correo electrónico suele ser única para cada usuario, no cambia y, a menudo, se usa para hacer referencia a un usuario específico en las Cloud de Confiance políticas de administración de acceso.

7. Para configurar el acceso a la consola (federado), en URL del servicio de confirmación de consumidores, agrega la siguiente URL del extremo:

   https://auth.cloud.s3nscloud.fr/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

   Reemplaza lo siguiente:

   • WORKFORCE_POOL_ID: Es el ID del grupo de personal que creaste antes.
   • WORKFORCE_PROVIDER_ID: Es el ID del proveedor de personal que crearás más adelante.

8. Establece Binding para este extremo en POST.

9. Para habilitar el acceso a la consola (federado), en Allowable SAML Bindings, selecciona Redirect.

10. En Política de firma, selecciona Firmar respuesta según sea necesario.

11. Guarda y activa la conexión.

Usa atributos

En esta sección, se describe cómo usar los atributos de la aserción SAML.

Usa contratos de atributos para especificar los atributos personalizados en las aserciones de SAML generadas. Después de configurar los atributos, puedes usarlos en Cloud de Confiance by S3NS para crear políticas de administración de acceso. Para obtener más información sobre los contratos de atributos, consulta Attribute contracts en la documentación del servidor de PingFederate.

Por ejemplo, en esta guía, usamos PingOne como almacén de datos para PingFederate y asignamos los contratos de atributos email, firstName y groups con los atributos del usuario del almacén de datos de PingOne, de la siguiente manera:

Contrato de atributo	Valor
email	email
firstName	name.given
groups	memberOfGroupIDs

Crea el proveedor de grupos de identidades para cargas de trabajo de PingFederate

En esta sección, se describe cómo crear un proveedor de grupos de identidades de personal para permitir que los usuarios de tu IdP accedan a Cloud de Confiance. Puedes configurar el proveedor para que use el protocolo SAML.

Crea un proveedor de grupos de identidades para cargas de trabajo de SAML 2.0

1. Para configurar la aplicación de SAML, haz lo siguiente:

   gcloud

   Para crear el proveedor de grupos de identidades de personal de SAML, ejecuta el siguiente comando:

   gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
       --workforce-pool="WORKFORCE_POOL_ID" \
       --display-name="DISPLAY_NAME" \
       --description="DESCRIPTION" \
       --idp-metadata-path="XML_METADATA_PATH" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --location=global
   

   Reemplaza lo siguiente:

   • WORKFORCE_PROVIDER_ID: Es un ID de proveedor.
   • WORKFORCE_POOL_ID: El ID del grupo de Workforce Identity.
   • DISPLAY_NAME: Es un nombre visible.
   • DESCRIPTION: Una descripción.
   • XML_METADATA_PATH: Es la ruta de acceso al archivo de metadatos con formato XML de PingFederate.
   • ATTRIBUTE_MAPPING: la asignación de atributos; por ejemplo, google.subject=assertion.subject,google.groups=assertion.attributes.groups,attribute.department=assertion.attributes.department[0]
   • ATTRIBUTE_CONDITION: Una condición de atributo opcional; por ejemplo, para limitar el atributo ipaddr a un rango de IP determinado, establece la condición en assertion.ipaddr.startsWith('98.11.12.').

   Con este comando, se asigna subject, groups y department en la aserción de SAML a los atributos google.subject, google.groups y attribute.department, respectivamente. La condición del atributo también garantiza que solo los usuarios dentro de un rango de IP determinado puedan acceder mediante este proveedor de personal.

   Console

   Para configurar el proveedor de SAML con la consola de Cloud de Confiance , haz lo siguiente:

   1. En la consola de Cloud de Confiance , ve a la página Grupos de identidades de personal: Ir a Grupos de identidades de personal
   2. En la tabla Grupos de identidades del personal, selecciona el grupo para el que deseas crear el proveedor.
   3. En la sección Proveedores, haz clic en addAgregar proveedor.
   4. En la lista Selecciona un proveedor de identidad, elige Proveedor de identidad genérico.
   5. En Selecciona un protocolo de autenticación, selecciona SAML.
   6. En la sección Crear un proveedor, haz lo siguiente:
      1. En Nombre del proveedor, ingresa un nombre para el proveedor.
      2. En Archivo de metadatos de IdP (XML), selecciona el archivo XML de metadatos de PingFederate.
      3. Haz clic en Continuar.
   7. En la sección Comparte la información de tu proveedor, haz clic en Continuar.

   8. En la sección Configurar proveedor, haz lo siguiente:

      1. En Asignación de atributos, ingresa una expresión CEL para google.subject (por ejemplo, assertion.subject).

      2. Opcional: Para ingresar otras asignaciones, haz clic en Agregar asignación y, luego, ingresa otras asignaciones:

         google.subject=assertion.subject,
         google.groups=assertion.attributes['https://example.com/aliases'],
         attribute.costcenter=assertion.attributes.costcenter[0]
         

   9. Para activar el registro de auditoría detallado, en Registro detallado, haz clic en el botón de activación Habilitar el registro de auditoría del valor de atributos.

   10. Para crear el proveedor, haz clic en Enviar.

Administra el acceso a los recursos de Cloud de Confiance

En esta sección, se muestra cómo administrar el acceso a los recursos de Cloud de Confiance para los usuarios de PingFederate.

El proyecto de muestra que se usa en esta guía puede ser diferente del proyecto que usaste para configurar la federación de identidades de personal.

Puedes administrar roles para identidades individuales, un grupo de identidades o un grupo completo. Para obtener más información, consulta Identificadores principales de personal para políticas de permiso.

Usa atributos de departamento asignados

Para otorgar el rol de administrador de almacenamiento (roles/storage.admin) a todas las identidades dentro de un departamento específico para el proyecto TEST_PROJECT_ID, ejecuta el siguiente comando:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.department/DEPARTMENT_VALUE"

Reemplaza lo siguiente:

• TEST_PROJECT_ID: Es el ID del proyecto.
• WORKFORCE_POOL_ID: El ID del grupo de Workforce Identity.
• DEPARTMENT_VALUE: Es el valor attribute.department asignado.

Usa grupos asignados

Para otorgar el rol de administrador de almacenamiento (roles/storage.admin) a todas las identidades dentro del grupo GROUP_ID para el proyecto TEST_PROJECT_ID, ejecuta el siguiente comando:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

Reemplaza lo siguiente:

• TEST_PROJECT_ID: Es el ID del proyecto.
• WORKFORCE_POOL_ID: El ID del grupo de Workforce Identity.
• GROUP_ID: Un grupo en la reclamación google.groups asignada.

Accede y prueba el acceso

En esta sección, accederás como usuario del grupo de identidades de personal y probarás tu acceso.

Acceder

acceso a la consola (federada)

Para acceder a la consola de Cloud de Confiance by S3NS Workforce Identity Federation, también conocida como consola (federada), haz lo siguiente:

1. Ve a la página de acceso de la consola (federada).

   Ir a la consola (federada)

2. Ingresa el nombre del proveedor, que tiene el siguiente formato:

   locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

Cuando se te solicite, ingresa tus credenciales de PingFederate.

Acceso con el navegador de la gcloud CLI

Para acceder a la gcloud CLI con un flujo de acceso basado en el navegador, haz lo siguiente:

Ejecuta el siguiente comando para crear un archivo de configuración de acceso:

Linux y macOS

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

Windows (PowerShell)

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

Reemplaza lo siguiente:

• WORKFORCE_POOL_ID: Es el ID del grupo de federación de identidades de personal.
• WORKFORCE_PROVIDER_ID: Es el ID del proveedor de la federación de identidades de personal.
• LOGIN_CONFIG_PATH: Es la ruta de acceso en la que se escribirá el archivo de configuración de acceso. Por ejemplo, login-config.json

El archivo de configuración de acceso contiene los endpoints que usa la gcloud CLI para habilitar el flujo de autenticación basado en el navegador y establecer el público en el IdP que se configuró en el proveedor del grupo de identidades de personal. El archivo no contiene información confidencial.

El contenido del archivo de configuración de acceso se ve de la siguiente manera:

{
  "universe_domain": "s3nsapis.fr",
  "universe_cloud_web_domain": "cloud.s3nscloud.fr",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.s3nscloud.fr/authorize",
  "token_url": "https://sts.s3nsapis.fr/v1/oauthtoken",
  "token_info_url": "https://sts.s3nsapis.fr/v1/introspect"
}

Apunta al archivo de configuración de acceso con una variable de entorno, una propiedad en la configuración activa de la gcloud CLI o úsalo directamente con el comando gcloud auth login:

Variable de entorno

Para usar el archivo de configuración de acceso con una variable de entorno, completa las siguientes instrucciones:

1. Establece la variable de entorno CLOUDSDK_AUTH_LOGIN_CONFIG_FILE en la ruta de acceso del archivo de configuración de acceso.

2. Ejecuta el comando siguiente:

   gcloud auth login

3. Gcloud CLI hace referencia a la variable de entorno para encontrar el archivo de configuración de acceso y, luego, inicia el proceso de autenticación. Sigue el flujo basado en el navegador para autenticar y autorizar gcloud CLI a acceder a los recursos en tu nombre para futuros comandos.

Para dejar de usar el archivo de configuración de acceso para los comandos gcloud auth login, borra la variable de entorno CLOUDSDK_AUTH_LOGIN_CONFIG_FILE.

Configuración de gcloud CLI

Para usar el archivo de configuración de acceso con una propiedad de configuración de gcloud CLI, completa las siguientes instrucciones:

1. Establece la propiedad auth/login_config_file de la configuración activa de la gcloud CLI en la ruta de acceso del archivo de configuración de acceso con el siguiente comando:

   gcloud config set auth/login_config_file LOGIN_CONFIG_PATH

2. Ejecuta el comando siguiente:

   gcloud auth login

3. Gcloud CLI hace referencia a la propiedad de configuración para encontrar el archivo de configuración de acceso y, luego, inicia el proceso de autenticación. Sigue el flujo basado en el navegador para autenticar y autorizar gcloud CLI a acceder a los recursos en tu nombre para futuros comandos.

Para dejar de usar el archivo de configuración de acceso para los comandos de gcloud auth login, anula la configuración de la propiedad con el siguiente comando:

gcloud config unset auth/login_config_file

gcloud auth login

Para usar el archivo de configuración de acceso directamente con el comando gcloud auth login, sigue estas instrucciones:

• Si usaste la marca --activate cuando creaste el archivo de configuración de acceso, ejecuta el siguiente comando:

  gcloud auth login

• Si no usaste la marca --activate cuando creaste el archivo de configuración de acceso, ejecuta el siguiente comando:

  Linux y macOS

  gcloud auth login \
      --login-config=LOGIN_CONFIG_PATH

  Windows (PowerShell)

  gcloud auth login `
      --login-config=LOGIN_CONFIG_PATH

  Reemplaza LOGIN_CONFIG_PATH por la ruta de acceso del archivo de configuración de acceso.

El comando gcloud auth login almacena las credenciales de acceso en tu directorio principal. La principal autenticada se convierte en la principal activa en tu configuración activa de gcloud CLI. A menos que se anulen, gcloud CLI usa estas credenciales almacenadas para acceder a Cloud de Confiance by S3NS.

Acceso sin interfaz gráfica de la gcloud CLI

Para acceder a PingFederate con la gcloud CLI a través del protocolo SAML, haz lo siguiente:

1. Haz que un usuario acceda a tu app de PingFederate y obtén la respuesta de SAML.
2. Guarda la respuesta SAML que muestra PingFederate en una ubicación segura de tu máquina local. Almacena la ruta de acceso en una variable de entorno, por ejemplo, SAML_ASSERTION_PATH=/path/to/assertion.xml.

3. Genera un archivo de configuración:

   gcloud iam workforce-pools create-cred-config \
       locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
       --subject-token-type=urn:ietf:params:oauth:token-type:saml2 \
       --credential-source-file=SAML_ASSERTION_PATH \
       --workforce-pool-user-project=PROJECT_ID \
       --output-file=config.json
   

   Reemplaza lo siguiente:

   • SAML_ASSERTION_PATH: la ruta de acceso del archivo de aserción de SAML.
   • PROJECT_ID: Es el ID del proyecto.

4. El archivo de configuración que se genera es similar al siguiente:

   {
     "type": "external_account",
     "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
     "subject_token_type": "urn:ietf:params:oauth:token-type:saml2",
     "token_url": "https://sts.googleapis.com/v1/token",
     "credential_source": {
       "file": "SAML_ASSERTION_PATH"
     },
     "workforce_pool_user_project": "PROJECT_ID"
   }
   

5. Para acceder a gcloud CLI con el intercambio de tokens, ejecuta el siguiente comando:

   gcloud auth login --cred-file=config.json
   

   Luego, gcloud intercambia de manera transparente tus credenciales de PingFederate por tokens de acceso temporales de Cloud de Confiance , lo que te permite realizar otras llamadas de gcloud a Cloud de Confiance. El resultado es similar a lo siguiente:

   Authenticated with external account user credentials for: [principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/USER_ID].

6. Para enumerar las cuentas con credenciales y la cuenta activa, ejecuta el siguiente comando:

   gcloud auth list
   

Prueba el acceso

Tienes acceso a los servicios de Cloud de Confiance que admiten la federación de identidades de personal y a los que se te otorga acceso. En una sección anterior de esta guía, otorgaste el rol de administrador de almacenamiento a todas las identidades dentro de un departamento o grupo específico para el proyecto TEST_PROJECT_ID. Para probar que tienes acceso, enumera los buckets de Cloud Storage.

acceso a la consola (federada)

Para verificar tu acceso en la consola (federada), haz lo siguiente:

1. Ve a la página Cloud Storage.
2. Verifica que puedas ver la lista de buckets existentes para el proyecto TEST_PROJECT_ID.

gcloud CLI

Para enumerar los buckets y los objetos de Cloud Storage para el proyecto al que tienes acceso, ejecuta el siguiente comando:

gcloud alpha storage ls --project="TEST_PROJECT_ID"

La principal debe tener el permiso serviceusage.services.use en el proyecto establecido en la sesión de la gcloud CLI: PROJECT_ID.

¿Qué sigue?

• Borra los usuarios de la federación de identidades de personal y sus datos.
• Obtén información sobre qué Cloud de Confiance productos admiten la federación de identidades de personal.
• Configura el acceso de usuario a la consola (federada).