הגדרת איחוד שירותי אימות הזהות של כוח העבודה באמצעות PingFederate

במסמך הזה מוסבר איך להגדיר איחוד שירותי אימות הזהות של כוח עבודה באמצעות ספק הזהויות (IdP) PingFederate ולנהל את הגישה אלCloud de Confiance by S3NS. אחרי שמגדירים את ספק הזהויות PingFederate, משתמשים מאוחדים יכולים לגשת לשירותים של Cloud de Confiance תומכים באיחוד שירותי אימות הזהות של כוח עבודה באמצעות פרוטוקול SAML 2.0.

לפני שמתחילים

1. מוודאים שהגדרתם Cloud de Confiance ארגון.
2. מגדירים את משתנה הסביבה GOOGLE_CLOUD_UNIVERSE_DOMAIN לערך s3nsapis.fr.

3. התקינו את ה-CLI של Google Cloud ואז היכנסו ל-CLI של gcloud באמצעות הזהות המאוחדת שלכם. אחרי שנכנסתם לחשבון, אתחלו את ה-CLI של Google Cloud באמצעות הפקודה הבאה:

   gcloud init

4. כדי להיכנס לחשבון, ספק הזהויות שלכם צריך לספק פרטי אימות חתומים: תשובות שמגיעות מספקי זהויות שתומכים ב-SAML חייבות להיות חתומות.
5. כדי לקבל מידע חשוב על שינויים בארגון או Cloud de Confiance במוצרים שלכם, אתם צריכים לספק אנשי קשר חיוניים. מידע נוסף זמין במאמר סקירה כללית על איחוד שירותי אימות הזהות של כוח עבודה.

עלויות

איחוד שירותי אימות הזהות של כוח עבודה זמין כתכונה ללא עלות. עם זאת, רישום מפורט ביומני הביקורת של איחוד שירותי אימות הזהות של כוח עבודה מתבצע באמצעות Cloud Logging. למידע על התמחור של Logging, ראו תמחור של Google Cloud Observability.

התפקידים הנדרשים

כדי לקבל את ההרשאות שנדרשות להגדרת איחוד שירותי אימות הזהות של כוח העבודה, צריך לבקש מהאדמין להקצות לכם ב-IAM את התפקיד IAM Workforce Pool Admin (roles/iam.workforcePoolAdmin) בארגון. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

אם אתם מגדירים הרשאות בסביבת פיתוח או בסביבת בדיקה – אבל לא בסביבת ייצור – אתם יכולים להעניק את התפקיד הבסיסי 'בעלים' (roles/owner) ב-IAM. התפקיד הזה כולל גם הרשאות לשימוש באיחוד שירותי אימות הזהות של כוח עבודה.

יצירת מאגר זהויות של כוח העבודה

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

יצירת אפליקציית PingFederate

בקטע הזה מוסבר איך ליצור שילוב של אפליקציית PingFederate.

כדי להגדיר אפליקציית PingFederate שמשתמשת בפרוטוקול SAML 2.0, מבצעים את הפעולות הבאות ב-PingFederate:

1. מגדירים את מזהה הישות ב-SAML 2.0 של ספק הזהויות PingFederate. פרטים נוספים זמינים במאמר בנושא ציון פרטי איחוד.

2. יוצרים חיבור SAML 2.0 SP, כמו שמתואר במאמר בחירת סוג חיבור SP, ומבצעים את הפעולות הבאות:

   1. בקטע Connection Type, בוחרים באפשרות Browser SSO Profiles (פרופילים של SSO בדפדפן) ובאפשרות SAML 2.0 protocol (פרוטוקול SAML 2.0).
   2. בקטע Import Metadata (ייבוא מטא-נתונים), בוחרים באפשרות None (ללא).

3. בקטע General Info, מגדירים את Partner's Entity ID (Connection ID) לערך הבא:

   https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

4. בקטע SAML Profiles (פרופילי SAML), מפעילים את האפשרות SP-initiated SSO (כניסה יחידה שאותחלה על ידי ספק השירות). אם אתם מתכננים להשתמש גם בכניסה יחידה (SSO) בהפעלת ספק הזהויות (IdP), אתם יכולים להפעיל אותה גם כן.

5. בקטע Attribute Contract (חוזה מאפיינים), מגדירים מאפיינים מותאמים אישית (לדוגמה, אימייל וקבוצות) שיועברו בהצהרה. אפשר להשתמש במאפיינים האלה Cloud de Confiance כדי ליצור בהמשך כללי מדיניות לניהול הרשאות גישה.

6. בקטע Attribute Contract Fulfillment (מילוי חוזה מאפיינים), מוודאים שהמאפיין SAML_SUBJECT ממופה לשדה שיש לו ערך ייחודי לכל משתמש. לדוגמה, כתובת אימייל היא בדרך כלל ייחודית לכל משתמש, לא משתנה ולעתים קרובות משמשת להפניה למשתמש ספציפי במדיניות של Cloud de Confiance ניהול גישה.

7. כדי להגדיר כניסה לחשבון במסוף (המאוחד), מוסיפים את כתובת ה-URL הבאה של נקודת הקצה בשדה Assertion Consumer Service URL:

   https://auth.cloud.s3nscloud.fr/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫WORKFORCE_POOL_ID: המזהה של מאגר כוח העבודה שיצרתם קודם.
   • ‫WORKFORCE_PROVIDER_ID: המזהה של ספק כוח העבודה שתיצרו בהמשך.

8. מגדירים את Binding (קישור) לנקודת הקצה הזו ל-POST.

9. כדי להפעיל כניסה לחשבון במסוף (איחוד), בקטע Allowable SAML Bindings בוחרים באפשרות Redirect.

10. בקטע Signature Policy (מדיניות חתימה), בוחרים באפשרות Sign Response As Required (חתימה על תגובה לפי הצורך).

11. שומרים את החיבור ומפעילים אותו.

שימוש במאפיינים

בקטע הזה מוסבר איך להשתמש במאפיינים מטענת הנכונות (assertion) של SAML.

משתמשים בחוזי מאפיינים כדי לציין את המאפיינים המותאמים אישית בטענות הנכונות (assertions) של SAML שנוצרות. אחרי שמגדירים את המאפיינים, אפשר להשתמש בהם Cloud de Confiance by S3NS כדי ליצור כללי מדיניות לניהול הרשאות גישה. מידע נוסף על חוזי מאפיינים זמין במאמר Attribute contracts (חוזי מאפיינים) במסמכי התיעוד של שרת PingFederate.

לדוגמה, במדריך הזה אנחנו משתמשים ב-PingOne כמאגר הנתונים של PingFederate וממפים את חוזי המאפיינים email, firstName ו-groups באמצעות מאפייני המשתמש ממאגר הנתונים של PingOne, באופן הבא:

יצירת ספק זהויות של מאגר כוח העבודה ב-PingFederate

בקטע הזה מוסבר איך ליצור ספק מאגר זהויות של כוח עבודה כדי לאפשר למשתמשים בספק הזהויות שלכם לגשת אל Cloud de Confiance. אפשר להגדיר את הספק לשימוש בפרוטוקול SAML.

יצירת ספק של מאגר זהויות של כוח עבודה ב-SAML 2.0

1. כדי להגדיר את אפליקציית SAML:

   gcloud

   כדי ליצור את הספק של מאגר הזהויות של כוח העבודה ב-SAML, מריצים את הפקודה הבאה:

   gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
       --workforce-pool="WORKFORCE_POOL_ID" \
       --display-name="DISPLAY_NAME" \
       --description="DESCRIPTION" \
       --idp-metadata-path="XML_METADATA_PATH" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --location=global
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫WORKFORCE_PROVIDER_ID: מזהה הספק.
   • WORKFORCE_POOL_ID: המזהה של מאגר הזהויות של כוח העבודה.
   • ‫DISPLAY_NAME: שם מוצג.
   • ‫DESCRIPTION: תיאור.
   • ‫XML_METADATA_PATH: הנתיב לקובץ המטא-נתונים בפורמט XML מ-PingFederate.
   • ‫ATTRIBUTE_MAPPING: מיפוי המאפיינים. לדוגמה, google.subject=assertion.subject,google.groups=assertion.attributes.groups,attribute.department=assertion.attributes.department[0].
   • ‫ATTRIBUTE_CONDITION: תנאי למאפיין (לא חובה). לדוגמה, כדי להגביל את המאפיין ipaddr לטווח מסוים של כתובות IP, אפשר ליצור את התנאי assertion.ipaddr.startsWith('98.11.12.').

   הפקודה הזו מקצה את subject, ‏groups ו-department בטענת הנכונות (assertion) של SAML למאפיינים google.subject, ‏google.groups ו-attribute.department בהתאמה. בנוסף, באמצעות התנאי למאפיין אפשר להבטיח שרק משתמשים בטווח מסוים של כתובות IP יוכלו להיכנס באמצעות ספק הזהויות הזה לכוח העבודה.

   המסוף

   כדי להגדיר את פלאגין שמתממשק עם שירותים חיצוניים של SAML באמצעות המסוף Cloud de Confiance , בצע את הפעולות הבאות:

   1. במסוף Cloud de Confiance , עוברים לדף Workforce Identity Pools: מעבר אל Workforce Identity Pools
   2. בטבלה Workforce Identity Pools (מאגרי זהויות של כוח עבודה), בוחרים את המאגר שרוצים ליצור עבורו את הפלאגין שמתממשק עם שירותים חיצוניים.
   3. בקטע ספקים, לוחצים על addהוספת ספק.
   4. ברשימה Select a Provider vendor בוחרים באפשרות Generic Identity Provider.
   5. בקטע Select an authentication protocol, בוחרים באפשרות SAML.
   6. בקטע Create a provider, מבצעים את הפעולות הבאות:
      1. בשדה שם, מזינים שם לספק.
      2. אופציונלי: בשדה Description, מזינים תיאור לספק.
      3. בקטע IDP metadata file (XML) (קובץ מטא-נתונים של ספק הזהויות (XML)), בוחרים את קובץ ה-XML של המטא-נתונים מ-PingFederate.
      4. כדי ליצור פלאגין שמתממשק עם שירותים חיצוניים שמופעל, מוודאים שהאפשרות הפעלת פלאגין שמתממשק עם שירותים חיצוניים מופעלת.
      5. לוחצים על Continue.
   7. בקטע שיתוף פרטי הספק, לוחצים על המשך.
   8. אופציונלי: כדי להפעיל רישום מפורט ביומן הביקורת, בקטע Configure provider (הגדרת הספק), בDetailed logging (רישום מפורט), לוחצים על המתג Enable attribute value audit logging (הפעלת רישום ביומן הביקורת של ערכי מאפיינים).

      איחוד שירותי אימות הזהות של כוח עבודה רישום מפורט ביומן הביקורת רושם ביומן את המידע שמתקבל מ-IdP. רישום מפורט של ביקורת יכול לעזור לכם לפתור בעיות בהגדרות של ספק הזהויות של כוח העבודה. כדי ללמוד איך לפתור בעיות במיפוי מאפיינים באמצעות רישום מפורט ביומן הביקורת, אפשר לעיין במאמר בנושא בעיות כלליות במיפוי מאפיינים. למידע על התמחור של Logging, ראו תמחור של Google Cloud Observability.

      כדי להשבית את יומני הביקורת המפורטים של ספק של מאגר זהויות של כוח עבודה, משאירים את המתג הפעלת יומני ביקורת של ערכי מאפיינים מושבת כשיוצרים את הספק. כדי להשבית את רישום הביקורת המפורט, אפשר גם לעדכן את הספק.

   9. כדי ליצור את הספק, לוחצים על שליחה.

   אחרי שיוצרים את הספק, מועברים לדף המאפיינים של הספק.

   כדי להגדיר מיפויים ותנאים של מאפיינים:

   1. כשמוצגת בקשה, נכנסים לחשבון ב-IdP החיצוני כדי לאמת את מיפויי ברירת המחדל של המאפיינים.

   2. בדף 'מאפיינים של הספק', אפשר לראות ולערוך את מיפויי המאפיינים והתנאים:

      1. כדי להוסיף או לערוך מיפויים של מאפיינים:

         1. לוחצים על הוספת מיפוי כדי להוסיף מיפוי חדש, או עורכים את המיפויים הקיימים.
         2. בשדה Google n, כאשר n הוא מספר, בוחרים מפתח שנתמך על ידי Cloud de Confiance.

         3. בשדה SAML n המתאים, מזינים את שם מאפיין ה-IdP או ביטוי CEL – לדוגמה:

            google.subject=assertion.subject,
            google.groups=assertion.attributes['https://example.com/aliases'],
            attribute.costcenter=assertion.attributes.costcenter[0]
            

      2. כדי להוסיף תנאי מאפיין:

         1. לוחצים על הוספת תנאי.
         2. בשדה Attribute Conditions, מזינים תנאי בפורמט CEL – לדוגמה, assertion.ipaddr.startsWith('98.11.12.').

   3. כדי לאמת את המיפויים, לוחצים על Save and refetch token (שמירה ואחזור מחדש של טוקן).

   4. כדי להשלים את ההגדרה, לוחצים על שמירה ויציאה.

ניהול הגישה למשאבים Cloud de Confiance

בקטע הזה מוסבר איך לנהל גישה ל Cloud de Confiance משאבים למשתמשי PingFederate.

הפרויקט לדוגמה שמופיע במדריך הזה יכול להיות שונה מהפרויקט שבו השתמשתם כדי להגדיר את איחוד שירותי אימות הזהות של כוח העבודה.

אפשר לנהל תפקידים לזהויות בודדות, לקבוצת זהויות או למאגר שלם. מידע נוסף מופיע במאמר מזהים של חשבונות משתמשים בכוח העבודה בכללי מדיניות הרשאה.

שימוש במאפיינים של מחלקה ממופה

כדי להקצות את התפקיד Storage Admin (roles/storage.admin) לכל הזהויות במחלקה ספציפית בפרויקט TEST_PROJECT_ID, מריצים את הפקודה הבאה:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.department/DEPARTMENT_VALUE"

מחליפים את מה שכתוב בשדות הבאים:

• ‫TEST_PROJECT_ID: מזהה הפרויקט.
• WORKFORCE_POOL_ID: המזהה של מאגר הזהויות של כוח העבודה.
• ‫DEPARTMENT_VALUE: הערך הממופה של attribute.department.

שימוש בקבוצות ממופות

כדי להקצות את התפקיד Storage Admin (roles/storage.admin) לכל הזהויות בקבוצה GROUP_ID בפרויקט TEST_PROJECT_ID, מריצים את הפקודה הבאה:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

מחליפים את מה שכתוב בשדות הבאים:

• ‫TEST_PROJECT_ID: מזהה הפרויקט.
• WORKFORCE_POOL_ID: המזהה של מאגר הזהויות של כוח העבודה.
• ‫GROUP_ID: קבוצה בהצהרה הממופה google.groups.

כניסה לחשבון ובדיקת גישה

בקטע הזה נכנסים כמשתמש של מאגר הזהויות של כוח העבודה ובודקים את הגישה.

כניסה

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

{
  "universe_domain": "s3nsapis.fr",
  "universe_cloud_web_domain": "cloud.s3nscloud.fr",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.s3nscloud.fr/authorize",
  "token_url": "https://sts.s3nsapis.fr/v1/oauthtoken",
  "token_info_url": "https://sts.s3nsapis.fr/v1/introspect"
}

gcloud config unset auth/login_config_file

בדיקת גישה

יש לכם גישה לשירותים Cloud de Confiance שתומכים באיחוד שירותי אימות הזהות של כוח העבודה, ושאליהם ניתנה לכם גישה. מוקדם יותר במדריך הזה הקציתם את התפקיד Storage Admin לכל הזהויות במחלקה או בקבוצה ספציפית בפרויקט TEST_PROJECT_ID. כדי לבדוק אם יש לכם גישה, אתם יכולים להציג את הרשימה של הקטגוריות של Cloud Storage.

gcloud alpha storage ls --project="TEST_PROJECT_ID"

המאמרים הבאים

• מחיקה של המשתמשים באיחוד שירותי אימות הזהות של כוח העבודה והנתונים שלהם.
• מידע על מוצרי Cloud de Confiance Google Cloud שתומכים באיחוד שירותי אימות הזהות של כוח העבודה.
• הגדרת גישה של משתמשים למסוף (מאוחד)