Configurar a federação de identidade de colaboradores com o PingFederate

Neste documento, mostramos como configurar a federação de identidade da força de trabalho com o provedor de identidade (IdP) PingFederate e gerenciar o acesso ao Cloud de Confiance by S3NS. Depois de configurar o IdP do PingFederate, os usuários federados podem acessar os serviços do Cloud de Confiance que oferecem suporte à federação de identidade da força de trabalho usando o protocolo SAML 2.0.

Antes de começar

1. Verifique se você configurou uma organização do Cloud de Confiance .
2. Defina a variável de ambiente GOOGLE_CLOUD_UNIVERSE_DOMAIN como s3nsapis.fr.

3. Instale a Google Cloud CLI e faça login na CLI gcloud com sua identidade federada. Depois de fazer login, inicialize a Google Cloud CLI executando o seguinte comando:

   gcloud init

4. Para fazer login, seu IdP precisa fornecer informações de autenticação assinadas. As respostas do IdP SAML precisam ser assinadas.
5. Para receber informações importantes sobre mudanças na sua organização ou nos produtos doCloud de Confiance , forneça os Contatos essenciais. Para mais informações, consulte a visão geral da federação de identidade de colaboradores.

Custos

A federação de identidade da força de trabalho está disponível como um recurso sem custo financeiro. No entanto, o registro de auditoria detalhado da federação de identidade da força de trabalho usa o Cloud Logging. Para saber mais sobre os preços do Logging, consulte Preços do Google Cloud Observability.

Funções exigidas

Para receber as permissões necessárias para configurar a federação de identidade de colaboradores, peça ao administrador para conceder a você o papel do IAM de Administrador de pool de colaboradores do IAM (roles/iam.workforcePoolAdmin) na organização. Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

Também é possível conseguir as permissões necessárias usando papéis personalizados ou outros papéis predefinidos.

Se você configurar permissões em um ambiente de desenvolvimento ou teste, mas não em um ambiente de produção, conceda o papel básico de proprietário do IAM (roles/owner). Esse papel também inclui permissões para a federação de identidade de colaboradores.

Criar um pool de identidades da força de trabalho

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Criar um aplicativo do PingFederate

Nesta seção, mostramos como criar uma integração de aplicativo do PingFederate.

Para configurar um aplicativo do PingFederate que use o protocolo SAML 2.0, faça o seguinte no PingFederate:

1. Defina o ID da entidade SAML 2.0 do seu IdP do PingFederate. Para mais detalhes, consulte Especificar informações de federação.

2. Crie uma conexão do SP SAML 2.0. Consulte Escolher um tipo de conexão do SP e faça o seguinte:

   1. Em Tipo de conexão, selecione Perfis de SSO do navegador e Protocolo SAML 2.0.
   2. Em Importar metadados, selecione Nenhum.

3. Em Informações gerais, defina o ID da entidade do parceiro (ID da conexão) como:

   https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

4. Em Perfis SAML, ative o SSO iniciado pelo SP. Se você também planeja usar o Logon único (SSO) iniciado pelo IdP, ative essa opção.

5. Em Contrato de atributo, defina atributos personalizados (por exemplo, e-mail e grupos) a serem transmitidos na declaração. Esses atributos podem ser usados em Cloud de Confiance para criar políticas de gerenciamento de acesso mais tarde.

6. Em Cumprimento do contrato de atributo, verifique se SAML_SUBJECT está mapeado para um campo com um valor exclusivo para cada usuário. Por exemplo, um endereço de e-mail geralmente é exclusivo para cada usuário, não muda e é usado para se referir a um usuário específico nas políticas de gerenciamento de acesso do Cloud de Confiance .

7. Para configurar o login no console (federado), em URL do serviço de declaração do consumidor, adicione o seguinte URL do endpoint:

   https://auth.cloud.s3nscloud.fr/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

   Substitua:

   • WORKFORCE_POOL_ID: o ID do pool de força de trabalho que você criou anteriormente.
   • WORKFORCE_PROVIDER_ID: o ID do provedor de força de trabalho que você vai criar mais tarde.

8. Defina Binding para este endpoint como POST.

9. Para ativar o login no console (federado), em Allowable SAML Bindings, selecione Redirect.

10. Em Política de assinatura, selecione Assinar resposta conforme necessário.

11. Salve e ative a conexão.

Usar atributos

Esta seção descreve como usar atributos da declaração SAML.

Use contratos de atributo para especificar os atributos personalizados nas declarações SAML geradas. Depois de configurar os atributos, você pode usá-los no Cloud de Confiance by S3NS para criar políticas de gerenciamento de acesso. Para saber mais sobre contratos de atributos, consulte Contratos de atributos na documentação do servidor PingFederate.

Por exemplo, neste guia, usamos o PingOne como o repositório de dados do PingFederate e mapeamos os contratos de atributo email, firstName e groups usando os atributos do usuário do repositório de dados do PingOne, da seguinte forma:

Criar o provedor de pool de identidade da força de trabalho do PingFederate

Nesta seção, descrevemos como criar um provedor de pool de identidade da força de trabalho para permitir que os usuários do IdP acessem Cloud de Confiance. É possível configurar o provedor para usar o protocolo SAML.

Criar um provedor de pool de identidade da força de trabalho SAML 2.0

1. Para configurar o aplicativo SAML, faça o seguinte:

   gcloud

   Para criar o provedor de pool de identidade de colaboradores SAML, execute o seguinte comando:

   gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
       --workforce-pool="WORKFORCE_POOL_ID" \
       --display-name="DISPLAY_NAME" \
       --description="DESCRIPTION" \
       --idp-metadata-path="XML_METADATA_PATH" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --location=global
   

   Substitua:

   • WORKFORCE_PROVIDER_ID: um ID de provedor.
   • WORKFORCE_POOL_ID: o ID do pool de identidade da força de trabalho.
   • DISPLAY_NAME: um nome de exibição.
   • DESCRIPTION: uma descrição.
   • XML_METADATA_PATH: o caminho para o arquivo de metadados formatado em XML do PingFederate.
   • ATTRIBUTE_MAPPING: o mapeamento de atributo. Por exemplo, google.subject=assertion.subject,google.groups=assertion.attributes.groups,attribute.department=assertion.attributes.department[0].
   • ATTRIBUTE_CONDITION: uma condição de atributo opcional. Por exemplo, para limitar o atributo ipaddr a um determinado intervalo de IP, defina a condição como assertion.ipaddr.startsWith('98.11.12.').

   Esse comando atribui subject, groups e department na declaração SAML aos atributos google.subject, google.groups e attribute.department, respectivamente. A condição de atributo também garante que apenas usuários em um determinado intervalo de IP possam fazer login usando esse provedor de força de trabalho.

   Console

   Para configurar o provedor SAML usando o console Cloud de Confiance , faça o seguinte:

   1. No console Cloud de Confiance , acesse a página Pools de identidade da força de trabalho: Acessar os pools de identidade da força de trabalho
   2. Na tabela Pools de identidade de colaboradores, selecione o pool em que você quer criar o provedor.
   3. Na seção Provedores, clique em addAdicionar provedor.
   4. Na lista Selecionar um fornecedor de provedor, escolha Provedor de identidade genérico.
   5. Em Selecionar um protocolo de autenticação, escolha SAML.
   6. Na seção Criar um provedor, faça o seguinte:
      1. Em Nome, digite um nome para o provedor.
      2. Opcional: em Descrição, digite uma descrição para o provedor.
      3. Em Arquivo de metadados do IdP (XML), selecione o arquivo XML de metadados do PingFederate.
      4. Para criar um provedor ativado, verifique se a opção Ativar provedor está ativada.
      5. Clique em Continuar.
   7. Na seção Compartilhe as informações do provedor, clique em Continuar.
   8. Opcional: para ativar a geração de registros de auditoria detalhada, na seção Configurar provedor, em Registro detalhado, clique no botão Ativar a geração de registros de auditoria do valor do atributo.

      A federação de identidade de colaboradores registro de auditoria detalhado registra as informações recebidas do seu IdP no Cloud Logging. O registro de auditoria detalhado pode ajudar você a resolver problemas na configuração do provedor de pool de identidade da força de trabalho. Para saber como resolver problemas de mapeamento de atributos com registros de auditoria detalhados, consulte Erros gerais de mapeamento de atributos. Para saber mais sobre os preços do Logging, consulte Preços do Google Cloud Observability.

      Para desativar o registro de auditoria detalhado de um provedor de pool de identidades da força de trabalho, deixe a opção Ativar a geração de registros de auditoria do valor do atributo desativada ao criar o provedor. Para desativar o registro de auditoria detalhado, também é possível atualizar o provedor.

   9. Para criar o provedor, clique em Enviar.

   Depois que o provedor for criado, você será redirecionado para a página de atributos dele.

   Para configurar mapeamentos e condições de atributos, faça o seguinte:

   1. Quando solicitado, faça login no seu IdP externo para validar os mapeamentos de atributos padrão.

   2. Na página de atributos do provedor, veja e edite os mapeamentos e as condições de atributos:

      1. Para adicionar ou editar mapeamentos de atributos, faça o seguinte:

         1. Clique em Adicionar mapeamento para incluir um novo ou edite os mapeamentos atuais.
         2. No campo Google n, em que n é um número, selecione uma chave compatível com Cloud de Confiance.

         3. No campo SAML n correspondente, insira o nome do atributo do IdP ou uma expressão CEL. Por exemplo:

            google.subject=assertion.subject,
            google.groups=assertion.attributes['https://example.com/aliases'],
            attribute.costcenter=assertion.attributes.costcenter[0]
            

      2. Para adicionar uma condição de atributo, faça o seguinte:

         1. Clique em Adicionar condição.
         2. No campo Condições de atributo, insira uma condição no formato CEL. Por exemplo, assertion.ipaddr.startsWith('98.11.12.').

   3. Para validar seus mapeamentos, clique em Salvar e buscar token novamente.

   4. Para concluir a configuração, clique em Salvar e sair.

Gerenciar o acesso a recursos do Cloud de Confiance

Esta seção mostra como gerenciar o acesso aos recursos do Cloud de Confiance para usuários do PingFederate.

O projeto de amostra usado neste guia pode ser diferente do projeto que você usou para configurar a federação de identidade da força de trabalho.

É possível gerenciar papéis para identidades únicas, um grupo de identidades ou um pool inteiro. Para mais informações, consulte Identificadores principais de colaboradores para políticas de permissão.

Usar atributos de departamento mapeados

Para conceder o papel de administrador do Storage (roles/storage.admin) a todas as identidades em um departamento específico do projeto TEST_PROJECT_ID, execute o seguinte comando:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.department/DEPARTMENT_VALUE"

Substitua:

• TEST_PROJECT_ID: o ID do projeto;
• WORKFORCE_POOL_ID: o ID do pool de identidade da força de trabalho.
• DEPARTMENT_VALUE: o valor mapeado de attribute.department.

Usar grupos mapeados

Para conceder o papel de administrador do Storage (roles/storage.admin) a todas as identidades no grupo GROUP_ID para o projeto TEST_PROJECT_ID, execute o seguinte comando:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

Substitua:

• TEST_PROJECT_ID: o ID do projeto;
• WORKFORCE_POOL_ID: o ID do pool de identidade da força de trabalho.
• GROUP_ID: um grupo na declaração google.groups mapeada.

Fazer login e testar o acesso

Nesta seção, faça login como usuário do pool de identidades de força de trabalho e teste seu acesso.

Fazer login

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

{
  "universe_domain": "s3nsapis.fr",
  "universe_cloud_web_domain": "cloud.s3nscloud.fr",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.s3nscloud.fr/authorize",
  "token_url": "https://sts.s3nsapis.fr/v1/oauthtoken",
  "token_info_url": "https://sts.s3nsapis.fr/v1/introspect"
}

gcloud config unset auth/login_config_file

Testar o acesso

Você tem acesso aos serviços do Cloud de Confiance que oferecem suporte à federação de identidade de colaboradores e a que você tem acesso. No início deste guia, você concedeu o papel de Administrador do Storage a todas as identidades de um departamento ou grupo específico no projeto TEST_PROJECT_ID. Para testar o acesso, liste os buckets do Cloud Storage.

gcloud alpha storage ls --project="TEST_PROJECT_ID"

A seguir

• Excluir os usuários da federação de identidade de colaboradores e respectivos dados.
• Saiba quais produtos do Cloud de Confiance são compatíveis com a federação de identidade da força de trabalho.
• Configure o acesso do usuário ao console (federado).