使用 PingFederate 配置员工身份联合

借助员工身份联合，您可以使用 PingFederate 作为身份提供方 (IdP) 对员工进行身份验证，以便访问 Cloud de Confiance by S3NS。配置安全断言标记语言 (SAML) 2.0 集成后，联合用户可以登录支持员工身份联合的 Cloud de Confiance 服务。

准备工作

1. 确保您已设置 Cloud de Confiance 组织。
2. 将环境变量 GOOGLE_CLOUD_UNIVERSE_DOMAIN 设置为 s3nsapis.fr。

3. 安装 Google Cloud CLI，然后使用联合身份登录 gcloud CLI。 登录后，运行以下命令来初始化 Google Cloud CLI：

   gcloud init

4. 如需登录，您的 IdP 必须提供已签名的身份验证信息：SAML IdP 响应必须经过签名。
5. 如需接收有关贵组织或Cloud de Confiance 产品的变更的重要信息，您必须提供必要的联系人。如需了解详情，请参阅员工身份联合概览。

费用

员工身份联合是一项免费功能。不过，员工身份联合的详细审核日志记录使用 Cloud Logging。如需了解 Logging 价格，请参阅 Google Cloud Observability 价格。

所需的角色

如需获得配置员工身份联合所需的权限，请让您的管理员为您授予组织的 IAM Workforce Pool Admin (roles/iam.workforcePoolAdmin) IAM 角色。 如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

您也可以通过自定义角色或其他预定义角色来获取所需的权限。

如果您是在开发或测试环境（而非生产环境）中配置权限，则可以授予 IAM Owner (roles/owner) 基本角色。此角色还包含员工身份联合所需的权限。

创建员工身份池

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

创建 PingFederate 应用

本部分介绍如何创建 PingFederate Application Integration。

如需设置使用 SAML 2.0 协议的 PingFederate 应用，请在 PingFederate 中执行以下操作：

1. 设置 PingFederate IdP 的 SAML 2.0 实体 ID。如需了解详情，请参阅指定联合信息。

2. 创建 SAML 2.0 SP 连接，请参阅选择 SP 连接类型，然后执行以下操作：

   1. 在连接类型中，选择浏览器单点登录配置文件和 SAML 2.0 协议。
   2. 在导入元数据中，选择无。

3. 在常规信息中，将合作伙伴的实体 ID（连接 ID）设置为：

   https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

4. 在 SAML 配置文件中，启用由服务提供商发起的单点登录。如果您还计划使用 IdP 发起的单点登录 (SSO)，也可以启用该功能。

5. 在属性协定中，定义要在断言中传递的自定义属性（例如电子邮件和群组）。这些属性稍后可在 Cloud de Confiance 中用于创建访问管理政策。

6. 在属性协定履行中，确保 SAML_SUBJECT 映射到对每个用户都具有唯一值的字段。例如，邮箱通常对每个用户都是唯一的，不会更改，并且经常用于在 Cloud de Confiance 访问管理政策中指代特定用户。

7. 如需设置控制台（联合）登录，请在断言消费者服务网址中添加以下端点网址：

   https://auth.cloud.s3nscloud.fr/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

   替换以下内容：

   • WORKFORCE_POOL_ID：您之前创建的员工池的 ID。
   • WORKFORCE_PROVIDER_ID：您稍后创建的员工提供方的 ID。

8. 将此端点的绑定设置为 POST。

9. 如需启用控制台（联合）登录，请在允许的 SAML 绑定中选择重定向。

10. 在 Signature Policy（签名政策）部分，选择 Sign Response As Required（根据需要签署响应）。

11. 保存并启用连接。

使用属性

本部分介绍了如何使用 SAML 断言中的属性。

使用属性协定在生成的 SAML 断言中指定自定义属性。配置属性后，您可以在 Cloud de Confiance by S3NS 中使用这些属性来创建访问管理政策。如需详细了解属性协定，请参阅 PingFederate 服务器文档中的属性协定。

例如，在本指南中，我们将 PingOne 用作 PingFederate 的数据存储区，并使用 PingOne 数据存储区中的用户属性映射 email、firstName 和 groups 属性协定，如下所示：

创建 PingFederate 员工身份池提供方

本部分介绍如何创建员工身份池提供方，以便您的 IdP 用户能够访问 Cloud de Confiance。您可以将提供方配置为使用 SAML 协议。

创建 SAML 2.0 员工身份池提供方

1. 如需配置 SAML 应用，请执行以下操作：

   gcloud

   如需创建 SAML 员工身份池提供方，请运行以下命令：

   gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
       --workforce-pool="WORKFORCE_POOL_ID" \
       --display-name="DISPLAY_NAME" \
       --description="DESCRIPTION" \
       --idp-metadata-path="XML_METADATA_PATH" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --location=global
   

   替换以下内容：

   • WORKFORCE_PROVIDER_ID：提供方 ID。
   • WORKFORCE_POOL_ID：员工身份池 ID。
   • DISPLAY_NAME：显示名称。
   • DESCRIPTION：说明。
   • XML_METADATA_PATH：PingFederate 中 XML 格式的元数据文件的路径。
   • ATTRIBUTE_MAPPING：属性映射；例如 google.subject=assertion.subject,google.groups=assertion.attributes.groups,attribute.department=assertion.attributes.department[0]。
   • ATTRIBUTE_CONDITION：可选属性条件；例如，如需将 ipaddr 属性限制为特定 IP 范围，请将条件设置为 assertion.ipaddr.startsWith('98.11.12.')。

   此命令会将 SAML 断言中的 subject、groups 和 department 分别分配给 google.subject、google.groups 和 attribute.department 属性。该属性条件还可确保只有特定 IP 范围内的用户才能使用此员工提供方登录。

   控制台

   如需使用 Cloud de Confiance 控制台配置 SAML 提供方，请执行以下操作：

   1. 在 Cloud de Confiance 控制台中，前往员工身份池页面： 前往员工身份池
   2. 在员工身份池表中，选择要为其创建提供方的池。
   3. 在提供方部分中，点击 add 添加提供方。
   4. 在选择提供商供应商列表中，选择通用身份提供方。
   5. 在选择身份验证协议中，选择 SAML。
   6. 在创建提供方部分中，执行以下操作：
      1. 在名称中，输入提供方的名称。
      2. 可选：在说明中，输入提供方的说明。
      3. 在 IDP 元数据文件 (XML) 中，选择 PingFederate 中的元数据 XML 文件。
      4. 如需创建状态为已启用的提供方，请确保启用提供方处于开启状态。
      5. 点击继续。
   7. 在分享您的提供方信息部分中，点击继续。
   8. 可选：如需启用详细审核日志记录，请在配置提供方部分的详细日志记录中，点击启用属性值审核日志记录切换开关。

      员工身份联合详细审核日志记录会将从 IdP 接收的信息记录到 Logging。详细的审核日志记录有助于排查员工身份池提供方配置的问题。如需了解如何通过详细审核日志记录来排查属性映射错误，请参阅一般属性映射错误。如需了解 Logging 价格，请参阅 Google Cloud Observability 价格。

      如需为员工身份池提供方停用详细审计日志记录，请在创建提供方时将启用属性值审计日志记录切换开关保持关闭状态。如需停用详细审计日志记录，您还可以更新提供方。

   9. 如需创建提供方，请点击提交。

   创建提供方后，系统会将您重定向到提供方属性页面。

   如需配置属性映射和条件，请执行以下操作：

   1. 出现提示时，登录您的外部 IdP 以验证默认属性映射。

   2. 在提供方属性页面上，查看和修改属性映射和条件：

      1. 如需添加或修改属性映射，请执行以下操作：

         1. 点击添加映射以添加新映射，或修改现有映射。
         2. 在 Google n 字段中（其中 n 为数字），选择 Cloud de Confiance支持的密钥。

         3. 在相应的 SAML n 字段中，输入 IdP 属性名称或 CEL 表达式，例如：

            google.subject=assertion.subject,
            google.groups=assertion.attributes['https://example.com/aliases'],
            attribute.costcenter=assertion.attributes.costcenter[0]
            

      2. 如需添加属性条件，请执行以下操作：

         1. 点击添加条件。
         2. 在属性条件字段中，以 CEL 格式输入条件，例如 assertion.ipaddr.startsWith('98.11.12.')。

   3. 如需验证映射，请点击保存并重新提取令牌。

   4. 如需完成设置，请点击保存并退出。

管理对 Cloud de Confiance 资源的访问权限。

本部分介绍了如何管理 PingFederate 用户对 Cloud de Confiance 资源的访问权限。

本指南中使用的示例项目可能与您设置员工身份联合的项目不同。

您可以管理单个身份、一组身份或整个池的角色。如需了解详情，请参阅允许政策的员工主账号标识符。

使用映射的部门属性

如需向 TEST_PROJECT_ID 项目的特定部门中的所有身份授予 Storage Admin 角色 (roles/storage.admin)，请运行以下命令：

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.department/DEPARTMENT_VALUE"

替换以下内容：

• TEST_PROJECT_ID：项目 ID。
• WORKFORCE_POOL_ID：员工身份池 ID。
• DEPARTMENT_VALUE：映射的 attribute.department 值。

使用映射群组

如需向 TEST_PROJECT_ID 项目的 GROUP_ID 群组中的所有身份授予 Storage Admin 角色 (roles/storage.admin)，请运行以下命令：

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

替换以下内容：

• TEST_PROJECT_ID：项目 ID。
• WORKFORCE_POOL_ID：员工身份池 ID。
• GROUP_ID：映射的 google.groups 声明中的群组。

登录并测试访问权限

在本部分中，您将以员工身份池用户的身份登录，并测试您的访问权限。

登录

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

{
  "universe_domain": "s3nsapis.fr",
  "universe_cloud_web_domain": "cloud.s3nscloud.fr",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.s3nscloud.fr/authorize",
  "token_url": "https://sts.s3nsapis.fr/v1/oauthtoken",
  "token_info_url": "https://sts.s3nsapis.fr/v1/introspect"
}

gcloud config unset auth/login_config_file

测试访问权限

您现在可以访问支持员工身份联合并且您有权访问的 Cloud de Confiance 服务。在本指南的前面部分中，您向特定部门或群组中的所有身份授予了项目 TEST_PROJECT_ID 的 Storage Admin 角色。您可以通过列出 Cloud Storage 存储桶来测试您是否具有访问权限。

gcloud alpha storage ls --project="TEST_PROJECT_ID"

后续步骤

• 删除员工身份联合用户及其数据。
• 了解哪些 Cloud de Confiance 产品支持员工身份联合。
• 设置用户对控制台（联合）的访问权限。