Configura la federazione delle identità per la forza lavoro con PingFederate

Questo documento mostra come configurare la federazione delle identità per la forza lavoro con il provider di identità (IdP) PingFederate e gestire l'accesso aCloud de Confiance by S3NS. Dopo aver configurato l'IdP PingFederate, gli utenti federati possono accedere Cloud de Confiance ai servizi che supportano la federazione delle identità della forza lavoro utilizzando il protocollo SAML 2.0.

Prima di iniziare

1. Assicurati di aver configurato un' Cloud de Confiance organizzazione.
2. Imposta la variabile di ambiente GOOGLE_CLOUD_UNIVERSE_DOMAIN su s3nsapis.fr.

3. Installa Google Cloud CLI, quindi accedi a gcloud CLI con la tua identità federata. Dopo aver eseguito l'accesso, inizializza Google Cloud CLI eseguendo il comando seguente:

   gcloud init

4. Per l'accesso, l'IdP deve fornire informazioni di autenticazione firmate: le risposte dell'IdP SAML devono essere firmate.
5. Per ricevere informazioni importanti sulle modifiche alla tua organizzazione o ai prodottiCloud de Confiance , devi fornire i contatti essenziali. Per ulteriori informazioni, consulta la panoramica della federazione delle identità per la forza lavoro.

Costi

La federazione delle identità per la forza lavoro è disponibile come funzionalità senza costi. Tuttavia, l'audit logging dettagliato della federazione delle identità per la forza lavoro utilizza Cloud Logging. Per informazioni sui prezzi di Logging, consulta Prezzi di Google Cloud Observability.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per configurare la federazione delle identità della forza lavoro, chiedi all'amministratore di concederti il ruolo IAM Amministratore pool di identità della forza lavoro IAM (roles/iam.workforcePoolAdmin) nell'organizzazione. Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Se configuri le autorizzazioni in un ambiente di sviluppo o di test, ma non in un ambiente di produzione, puoi concedere il ruolo di base Proprietario IAM (roles/owner). Questo ruolo include anche le autorizzazioni per la federazione delle identità per la forza lavoro.

Crea un pool di identità per la forza lavoro

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Crea un'applicazione PingFederate

Questa sezione mostra come creare un'integrazione dell'applicazione PingFederate.

Per configurare un'applicazione PingFederate che utilizza il protocollo SAML 2.0, esegui le seguenti operazioni in PingFederate:

1. Imposta l'ID entità SAML 2.0 del tuo IdP PingFederate. Per maggiori dettagli, vedi Specificare le informazioni sulla federazione.

2. Crea una connessione SP SAML 2.0, consulta Scelta di un tipo di connessione SP e procedi nel seguente modo:

   1. In Connection Type (Tipo di connessione), seleziona Browser SSO Profiles (Profili SSO del browser) e SAML 2.0 protocol (Protocollo SAML 2.0).
   2. In Importa metadati, seleziona Nessuno.

3. In Informazioni generali, imposta ID entità del partner (ID connessione) su:

   https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

4. In Profili SAML, attiva SSO avviata da SP. Se prevedi di utilizzare anche il Single Sign-On (SSO) avviato dall'IdP, puoi anche attivarlo.

5. In Attribute Contract, definisci gli attributi personalizzati (ad esempio email e gruppi) da includere nell'asserzione. Questi attributi possono essere utilizzati in Cloud de Confiance per creare policy di gestione dell'accesso in un secondo momento.

6. In Attribute Contract Fulfillment (Adempimento del contratto di attributi), assicurati che SAML_SUBJECT sia mappato a un campo con un valore univoco per ogni utente. Ad esempio, un indirizzo email è in genere univoco per ogni utente, non cambia e viene spesso utilizzato per fare riferimento a un utente specifico nelle Cloud de Confiance norme di gestione dell'accesso.

7. Per configurare l'accesso alla console (federato), in Assertion Consumer Service URL (URL Assertion Consumer Service), aggiungi il seguente URL endpoint:

   https://auth.cloud.s3nscloud.fr/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

   Sostituisci quanto segue:

   • WORKFORCE_POOL_ID: l'ID del pool di forza lavoro che hai creato in precedenza.
   • WORKFORCE_PROVIDER_ID: l'ID del fornitore di forza lavoro che crei in un secondo momento.

8. Imposta Binding per questo endpoint su POST.

9. Per attivare l'accesso alla console (federato), in Allowable SAML Bindings (Associazioni SAML consentite), seleziona Redirect (Reindirizzamento).

10. Per Signature Policy (Policy di firma), seleziona Sign Response As Required (Firma la risposta come richiesto).

11. Salva e attiva la connessione.

Utilizzare gli attributi

Questa sezione descrive come utilizzare gli attributi dell'asserzione SAML.

Utilizza i contratti degli attributi per specificare gli attributi personalizzati nelle asserzioni SAML generate. Dopo aver configurato gli attributi, puoi utilizzarli in Cloud de Confiance by S3NS per creare policy di gestione dell'accesso. Per saperne di più sui contratti di attributi, consulta la sezione Contratti di attributi nella documentazione del server PingFederate.

Ad esempio, in questa guida utilizziamo PingOne come datastore per PingFederate e mappiamo i contratti degli attributi email, firstName e groups utilizzando gli attributi utente del datastore PingOne, come segue:

Crea il provider del pool di identità per la forza lavoro PingFederate

Questa sezione descrive come creare un provider del pool di identità per la forza lavoro per consentire agli utenti dell'IdP di accedere a Cloud de Confiance. Puoi configurare il provider in modo che utilizzi il protocollo SAML.

Crea un provider di pool di identità per la forza lavoro SAML 2.0

1. Per configurare l'applicazione SAML:

   gcloud

   Per creare il fornitore del pool di identità della forza lavoro SAML, esegui questo comando:

   gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
       --workforce-pool="WORKFORCE_POOL_ID" \
       --display-name="DISPLAY_NAME" \
       --description="DESCRIPTION" \
       --idp-metadata-path="XML_METADATA_PATH" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --location=global
   

   Sostituisci quanto segue:

   • WORKFORCE_PROVIDER_ID: un ID fornitore.
   • WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro.
   • DISPLAY_NAME: un nome visualizzato.
   • DESCRIPTION: una descrizione.
   • XML_METADATA_PATH: il percorso del file di metadati in formato XML da PingFederate.
   • ATTRIBUTE_MAPPING: la mappatura degli attributi, ad esempio google.subject=assertion.subject,google.groups=assertion.attributes.groups,attribute.department=assertion.attributes.department[0].
   • ATTRIBUTE_CONDITION: una condizione dell'attributo facoltativa; ad esempio, per limitare l'attributo ipaddr a un determinato intervallo IP, imposta la condizione su assertion.ipaddr.startsWith('98.11.12.').

   Questo comando assegna subject, groups e department nell'asserzione SAML agli attributi google.subject, google.groups e attribute.department, rispettivamente. La condizione dell'attributo garantisce inoltre che solo gli utenti all'interno di un determinato intervallo IP possano accedere utilizzando questo provider della forza lavoro.

   Console

   Per configurare il provider SAML utilizzando la console Cloud de Confiance , procedi nel seguente modo:

   1. Nella console Cloud de Confiance , vai alla pagina Pool di identità per la forza lavoro: Vai a Pool di identità per la forza lavoro
   2. Nella tabella Pool di identità per la forza lavoro, seleziona il pool per cui vuoi creare il provider.
   3. Nella sezione Fornitori, fai clic su addAggiungi fornitore.
   4. Nell'elenco Seleziona un fornitore di provider, seleziona Provider di identità generico.
   5. In Select an authentication protocol (Seleziona un protocollo di autenticazione), seleziona SAML.
   6. Nella sezione Crea un fornitore, segui questi passaggi:
      1. In Nome, inserisci un nome per il provider.
      2. (Facoltativo) In Descrizione, inserisci una descrizione del fornitore.
      3. In IDP metadata file (XML) (File di metadati IDP (XML)), seleziona il file XML di metadati da PingFederate.
      4. Per creare un provider abilitato, assicurati che l'opzione Abilita provider sia attiva.
      5. Fai clic su Continua.
   7. Nella sezione Condividi le informazioni del tuo fornitore, fai clic su Continua.
   8. (Facoltativo) Per attivare il logging dettagliato degli audit, nella sezione Configura provider, in Logging dettagliato, fai clic sul pulsante di attivazione/disattivazione Abilita l'audit logging dei valori degli attributi.

      La registrazione dettagliata dei log di controllo della federazione delle identità per la forza lavoro registra le informazioni ricevute dal tuo IdP in Logging. La registrazione dettagliata degli audit può aiutarti a risolvere i problemi di configurazione del provider del pool di identità della forza lavoro. Per scoprire come risolvere i problemi relativi agli errori di mappatura degli attributi con la registrazione di controllo dettagliata, vedi Errori generali di mappatura degli attributi. Per informazioni sui prezzi di Logging, consulta la pagina Prezzi di Google Cloud Observability.

      Per disattivare il logging dettagliato degli audit per un provider del pool di identità della forza lavoro, lascia disattivato il pulsante di attivazione/disattivazione Abilita l'audit logging dei valori degli attributi quando crei il provider. Per disabilitare il logging di controllo dettagliato, puoi anche aggiornare il fornitore.

   9. Per creare il fornitore, fai clic su Invia.

   Una volta creato il fornitore, viene eseguito il reindirizzamento alla pagina degli attributi del fornitore.

   Per configurare le mappature e le condizioni degli attributi:

   1. Quando richiesto, accedi al tuo IdP esterno per convalidare le mappature degli attributi predefinite.

   2. Nella pagina degli attributi del fornitore, visualizza e modifica le mappature e le condizioni degli attributi:

      1. Per aggiungere o modificare le mappature degli attributi:

         1. Fai clic su Aggiungi mappatura per aggiungere una nuova mappatura o modificare quelle esistenti.
         2. Nel campo Google n, dove n è un numero, seleziona una chiave supportata da Cloud de Confiance.

         3. Nel campo SAML n corrispondente, inserisci il nome dell'attributo IdP o un'espressione CEL, ad esempio:

            google.subject=assertion.subject,
            google.groups=assertion.attributes['https://example.com/aliases'],
            attribute.costcenter=assertion.attributes.costcenter[0]
            

      2. Per aggiungere una condizione dell'attributo:

         1. Fai clic su Aggiungi condizione.
         2. Nel campo Condizioni attributo, inserisci una condizione in formato CEL, ad esempio assertion.ipaddr.startsWith('98.11.12.').

   3. Per convalidare le mappature, fai clic su Salva e recupera di nuovo il token.

   4. Per completare la configurazione, fai clic su Salva ed esci.

Gestire l'accesso alle risorse Cloud de Confiance

Questa sezione mostra come gestire l'accesso alle risorse Cloud de Confiance per gli utenti di PingFederate.

Il progetto di esempio utilizzato in questa guida può essere diverso da quello che hai utilizzato per configurare la federazione delle identità per la forza lavoro.

Puoi gestire i ruoli per singole identità, un gruppo di identità o un intero pool. Per ulteriori informazioni, consulta Identificatori delle entità della forza lavoro per le policy di autorizzazione.

Utilizzare gli attributi di reparto mappati

Per concedere il ruolo Amministratore Storage (roles/storage.admin) a tutte le identità all'interno di un reparto specifico per il progetto TEST_PROJECT_ID, esegui questo comando:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.department/DEPARTMENT_VALUE"

Sostituisci quanto segue:

• TEST_PROJECT_ID: l'ID progetto
• WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro.
• DEPARTMENT_VALUE: il valore attribute.department mappato.

Utilizzare i gruppi mappati

Per concedere il ruolo Storage Admin (roles/storage.admin) a tutte le identità all'interno del gruppo GROUP_ID per il progetto TEST_PROJECT_ID, esegui questo comando:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

Sostituisci quanto segue:

• TEST_PROJECT_ID: l'ID progetto
• WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro.
• GROUP_ID: un gruppo nell'attestazione google.groups mappata.

Accedi e verifica l'accesso

In questa sezione, accedi come utente del pool di identità per la forza lavoro e verifica il tuo accesso.

Accedi

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

{
  "universe_domain": "s3nsapis.fr",
  "universe_cloud_web_domain": "cloud.s3nscloud.fr",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.s3nscloud.fr/authorize",
  "token_url": "https://sts.s3nsapis.fr/v1/oauthtoken",
  "token_info_url": "https://sts.s3nsapis.fr/v1/introspect"
}

gcloud config unset auth/login_config_file

Controlla l'accesso

Hai accesso ai servizi Cloud de Confiance che supportano la federazione delle identità della forza lavoro e a cui ti è stato concesso l'accesso. In precedenza in questa guida, hai concesso il ruolo Amministratore spazio di archiviazione a tutte le identità all'interno di un reparto o gruppo specifico per il progetto TEST_PROJECT_ID. Puoi verificare di avere accesso elencando i bucket Cloud Storage.

gcloud alpha storage ls --project="TEST_PROJECT_ID"

Passaggi successivi

• Elimina gli utenti della federazione delle identità per la forza lavoro e i relativi dati.
• Scopri quali Cloud de Confiance prodotti supportano la federazione delle identità per la forza lavoro.
• Configura l'accesso degli utenti alla console (federata).