Configurar a federação de identidade de colaboradores com o PingFederate

A federação de identidade de colaboradores permite usar o PingFederate como um provedor de identidade (IdP) para autenticar seus colaboradores no Cloud de Confiance by S3NS. Depois de configurar a integração com a Linguagem de marcação para autorização de segurança (SAML) 2.0, os usuários federados podem fazer login nos serviços do Cloud de Confiance que oferecem suporte à federação de identidade de colaboradores.

Antes de começar

1. Configure uma organização do Cloud de Confiance .
2. Defina a variável de ambiente GOOGLE_CLOUD_UNIVERSE_DOMAIN como s3nsapis.fr.

3. Instale a Google Cloud CLI e faça login na CLI gcloud com sua identidade federada. Depois de fazer login, inicialize a Google Cloud CLI executando o seguinte comando:

   gcloud init

4. Para fazer login, seu IdP precisa fornecer informações de autenticação assinadas. As respostas do IdP SAML precisam ser assinadas.
5. Para receber informações importantes sobre mudanças na sua organização ou nos produtos doCloud de Confiance , forneça os Contatos essenciais. Para mais detalhes, consulte as informações gerais da federação de identidade de colaboradores.

Custos

A federação de identidade de colaboradores está disponível como um recurso sem custo financeiro. No entanto, o registro de auditoria detalhado da federação de identidade de colaboradores usa o Cloud Logging. Para saber mais sobre os preços do Logging, consulte Preços do Google Cloud Observability.

Funções exigidas

Para receber as permissões necessárias para configurar a federação de identidade de colaboradores, peça ao administrador para conceder a você o papel do IAM Administrador de pool de colaboradores do IAM (roles/iam.workforcePoolAdmin) na organização. Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

Também é possível conseguir as permissões necessárias usando papéis personalizados ou outros papéis predefinidos.

Se você configurar permissões em um ambiente de desenvolvimento ou teste, mas não em um ambiente de produção, poderá conceder o papel básico de Proprietário do IAM (roles/owner). Esse papel também inclui permissões para a federação de identidade de colaboradores.

Criar um pool de identidades da força de trabalho

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Criar um aplicativo do PingFederate

Nesta seção, mostramos como criar uma integração de aplicativo do PingFederate.

Para configurar um aplicativo do PingFederate que use o protocolo SAML 2.0, faça o seguinte no PingFederate:

1. Defina o ID da entidade SAML 2.0 do IdP do PingFederate. Para mais detalhes, consulte Como especificar informações de federação.

2. Crie uma conexão de SP SAML 2.0, consulte Como escolher um tipo de conexão de SP e faça o seguinte:

   1. Em Connection Type, selecione Browser SSO Profiles e SAML 2.0 protocol.
   2. Em Importar metadados, selecione Nenhum.

3. Em Informações gerais, defina o ID da entidade do parceiro (ID da conexão) como:

   https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

4. Em Perfis SAML, ative o SSO iniciado pelo provedor de serviços. Se você planeja usar o Logon único (SSO) iniciado pelo IdP, também pode ativá-lo.

5. Em Attribute Contract, defina os atributos personalizados (por exemplo, e-mail e grupos) que serão transmitidos na declaração. Esses atributos podem ser usados no Cloud de Confiance para criar políticas de gerenciamento de acesso mais tarde.

6. Em Attribute Contract Fulfillment, verifique se SAML_SUBJECT está mapeado para um campo com um valor exclusivo para cada usuário. Por exemplo, um endereço de e-mail geralmente é exclusivo para cada usuário, não muda e é usado para se referir a um usuário específico nas políticas de gerenciamento de acesso do Cloud de Confiance .

7. Para configurar o login no console (federado), em URL do serviço de declaração do consumidor, adicione o seguinte URL de endpoint:

   https://auth.cloud.s3nscloud.fr/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

   Substitua:

   • WORKFORCE_POOL_ID: o ID do pool de força de trabalho que você criou anteriormente.
   • WORKFORCE_PROVIDER_ID: o ID do provedor de colaboradores que você vai criar mais tarde.

8. Defina Binding para esse endpoint como POST.

9. Para ativar o login no console (federado), em Vinculações SAML permitidas, selecione Redirecionar.

10. Em Política de assinatura, selecione Assinar resposta conforme necessário.

11. Salve e ative a conexão.

Usar atributos

Nesta seção, descrevemos como usar atributos da declaração SAML.

Use contratos de atributo para especificar os atributos personalizados nas declarações SAML geradas. Depois de configurar os atributos, use-os no Cloud de Confiance by S3NS para criar políticas de gerenciamento de acesso. Para saber mais sobre contratos de atributos, consulte Contratos de atributos na documentação do servidor do PingFederate.

Por exemplo, neste guia, usamos o PingOne como repositório de dados para o PingFederate e mapeamos os contratos de atributos email, firstName e groups usando os atributos de usuário do repositório de dados do PingOne, da seguinte forma:

Criar o provedor de pool de identidades de colaboradores do PingFederate

Nesta seção, descrevemos como criar um provedor de pool de identidade de colaboradores para permitir que os usuários do IdP acessem o Cloud de Confiance. É possível configurar o provedor para usar o protocolo SAML.

Criar um provedor de pool de identidades de colaboradores SAML 2.0

1. Para configurar o aplicativo SAML, faça o seguinte:

   gcloud

   Para criar o provedor de pool de identidade de colaboradores SAML, execute o seguinte comando:

   gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
       --workforce-pool="WORKFORCE_POOL_ID" \
       --display-name="DISPLAY_NAME" \
       --description="DESCRIPTION" \
       --idp-metadata-path="XML_METADATA_PATH" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --location=global
   

   Substitua:

   • WORKFORCE_PROVIDER_ID: um ID de provedor.
   • WORKFORCE_POOL_ID: o ID do pool de identidade da força de trabalho.
   • DISPLAY_NAME: um nome de exibição.
   • DESCRIPTION: uma descrição.
   • XML_METADATA_PATH: o caminho para o arquivo de metadados formatado em XML do PingFederate.
   • ATTRIBUTE_MAPPING: o mapeamento de atributo. Por exemplo, google.subject=assertion.subject,google.groups=assertion.attributes.groups,attribute.department=assertion.attributes.department[0].
   • ATTRIBUTE_CONDITION: uma condição de atributo opcional. Por exemplo, para limitar o atributo ipaddr a um determinado intervalo de IP, defina a condição como assertion.ipaddr.startsWith('98.11.12.').

   Esse comando atribui subject, groups e department na declaração SAML a google.subject, google.groups e attribute.department, respectivamente. A condição de atributo também garante que apenas usuários em um determinado intervalo de IP possam fazer login usando esse provedor de força de trabalho.

   Console

   Para configurar o provedor SAML usando o console do Cloud de Confiance , faça o seguinte:

   1. No console do Cloud de Confiance , acesse a página Pools de identidade de colaboradores: Acessar pools de identidade de colaboradores
   2. Na tabela Pools de identidade de colaboradores, selecione o pool em que você quer criar o provedor.
   3. Na seção Provedores, clique em addAdicionar provedor.
   4. Na lista Selecionar um fornecedor de provedor, selecione Provedor de identidade genérico.
   5. Em Selecionar um protocolo de autenticação, escolha SAML.
   6. Na seção Criar um provedor, faça o seguinte:
      1. Em Nome, digite um nome para o provedor.
      2. Opcional: em Descrição, digite uma descrição para o provedor.
      3. Em Arquivo de metadados do IdP (XML), selecione o arquivo XML de metadados do PingFederate.
      4. Para criar um provedor ativado, verifique se Ativar provedor está ativado.
      5. Clique em Continuar.
   7. Na seção Compartilhar as informações do seu provedor, clique em Continuar.
   8. Opcional: para ativar o registro de auditoria detalhado, na seção Configurar provedor, em Registro detalhado, clique no botão Ativar registro de auditoria do valor do atributo.

      O registro de auditoria detalhado da federação de identidade de colaboradores registra as informações recebidas do IdP no Logging. A geração de registros de auditoria detalhada pode ajudar a resolver problemas na configuração do provedor do pool de identidades de colaboradores. Para saber como resolver problemas de mapeamento de atributos com a geração de registros de auditoria detalhada, consulte Erros gerais de mapeamento de atributos. Para saber mais sobre os preços do Logging, consulte Preços do Google Cloud Observability.

      Para desativar a geração de registros de auditoria detalhados para um provedor de pool de identidades de colaboradores, deixe a opção Ativar a geração de registros de auditoria do valor do atributo desativada ao criar o provedor. Para desativar a geração de registros de auditoria detalhada, também é possível atualizar o provedor.

   9. Para criar o provedor, clique em Enviar.

   Depois que o provedor for criado, você será redirecionado para a página de atributos do provedor.

   Para configurar mapeamentos e condições de atributos, faça o seguinte:

   1. Quando solicitado, faça login no IdP externo para validar os mapeamentos de atributos padrão.

   2. Na página de atributos do provedor, confira e edite os mapeamentos e as condições de atributos:

      1. Para adicionar ou editar mapeamentos de atributos, faça o seguinte:

         1. Clique em Adicionar mapeamento para incluir um novo ou editar os atuais.
         2. No campo Google n, em que n é um número, selecione uma chave compatível com o Cloud de Confiance.

         3. No campo SAML n correspondente, insira o nome do atributo do IdP ou uma expressão CEL. Por exemplo:

            google.subject=assertion.subject,
            google.groups=assertion.attributes['https://example.com/aliases'],
            attribute.costcenter=assertion.attributes.costcenter[0]
            

      2. Para adicionar uma condição de atributo, faça o seguinte:

         1. Clique em Adicionar condição.
         2. No campo Condições do atributo, insira uma condição no formato CEL. Por exemplo, assertion.ipaddr.startsWith('98.11.12.').

   3. Para validar os mapeamentos, clique em Salvar e buscar o token novamente.

   4. Para concluir a configuração, clique em Salvar e sair.

Gerenciar o acesso aos recursos do Cloud de Confiance

Nesta seção, mostramos como gerenciar o acesso aos recursos do Cloud de Confiance para usuários do PingFederate.

O projeto de amostra usado neste guia pode ser diferente do projeto usado para configurar a federação de identidade de colaboradores.

É possível gerenciar papéis para identidades únicas, um grupo de identidades ou um pool inteiro. Para mais informações, consulte Identificadores principais de colaboradores para políticas de permissão.

Usar atributos de departamento mapeados

Para conceder o papel de administrador do Storage (roles/storage.admin) a todas as identidades em um departamento específico do projeto TEST_PROJECT_ID, execute o seguinte comando:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.department/DEPARTMENT_VALUE"

Substitua:

• TEST_PROJECT_ID: o ID do projeto;
• WORKFORCE_POOL_ID: o ID do pool de identidade da força de trabalho.
• DEPARTMENT_VALUE: o valor mapeado de attribute.department.

Usar grupos mapeados

Para conceder o papel de Administrador do Storage (roles/storage.admin) a todas as identidades no grupo GROUP_ID para o projeto TEST_PROJECT_ID, execute o seguinte comando:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

Substitua:

• TEST_PROJECT_ID: o ID do projeto;
• WORKFORCE_POOL_ID: o ID do pool de identidade da força de trabalho.
• GROUP_ID: um grupo na declaração google.groups mapeada.

Fazer login e testar o acesso

Nesta seção, você vai fazer login como usuário do pool de identidades de colaboradores e testar seu acesso.

Fazer login

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

{
  "universe_domain": "s3nsapis.fr",
  "universe_cloud_web_domain": "cloud.s3nscloud.fr",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.s3nscloud.fr/authorize",
  "token_url": "https://sts.s3nsapis.fr/v1/oauthtoken",
  "token_info_url": "https://sts.s3nsapis.fr/v1/introspect"
}

gcloud config unset auth/login_config_file

Testar o acesso

Você tem acesso aos serviços do Cloud de Confiance que oferecem suporte à federação de identidade de colaboradores e a que você tem acesso. No início deste guia, você concedeu o papel de Administrador do Storage a todas as identidades de um departamento ou grupo específico no projeto TEST_PROJECT_ID. Para testar o acesso, liste os buckets do Cloud Storage.

gcloud alpha storage ls --project="TEST_PROJECT_ID"

A seguir

• Excluir os usuários da federação de identidade de colaboradores e respectivos dados.
• Saiba quais produtos do Cloud de Confiance são compatíveis com a federação de identidade de colaboradores.
• Configurar o acesso do usuário ao console (federado).