Configurer la fédération des identités des employés avec PingOne AIC

Ce document explique comment configurer la fédération d'identité de personnel avec PingOne Advanced Identity Cloud (AIC) en tant que fournisseur d'identité (IdP) et comment gérer l'accès àCloud de Confiance. Une fois que vous avez configuré le fournisseur d'identité PingOne AIC, les utilisateurs fédérés peuvent accéder aux services Cloud de Confiance qui sont compatibles avec la fédération d'identité des employés à l'aide du protocole SAML 2.0.

Avant de commencer

1. Assurez-vous de configurer une organisation Cloud de Confiance .
2. Définir la variable d'environnement GOOGLE_CLOUD_UNIVERSE_DOMAIN sur s3nsapis.fr

3. Installez la Google Cloud CLI, puis connectez-vous à la gcloud CLI avec votre identité fédérée. Après vous être connecté, initialisez la Google Cloud CLI en exécutant la commande suivante :

   gcloud init

4. Pour la connexion, votre fournisseur d'identité doit fournir des informations d'authentification signées : les réponses de l'IdP SAML doivent être signées.
5. Pour recevoir des informations importantes sur les modifications concernant votre organisation ou vos produitsCloud de Confiance , vous devez fournir des contacts essentiels. Pour en savoir plus, consultez la Présentation de la fédération des identités des employés.

Coûts

La fédération d'identité de personnel est disponible sans frais. Toutefois, la journalisation d'audit détaillée de la fédération d'identité du personnel utilise Cloud Logging. Pour en savoir plus sur les tarifs de Logging, consultez Tarifs de Google Cloud Observability.

Rôles requis

Pour obtenir les autorisations nécessaires pour configurer la fédération des identités des employés, demandez à votre administrateur de vous attribuer le rôle IAM Administrateur de pools d'employés (roles/iam.workforcePoolAdmin) sur l'organisation. Pour en savoir plus sur l'attribution de rôles, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.

Vous pouvez également obtenir les autorisations requises avec des rôles personnalisés ou d'autres rôles prédéfinis.

Si vous configurez des autorisations dans un environnement de développement ou de test, mais pas dans un environnement de production, vous pouvez attribuer le rôle de base Propriétaire (roles/owner) Identity and Access Management (IAM). Ce rôle inclut également les autorisations pour la fédération d'identité du personnel.

Créer un pool d'identités de personnel

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Créer une application PingOne AIC

Cette section explique comment créer une intégration d'application PingOne AIC.

Créer un IdP hébergé

1. Dans Consoles natives > Gestion des accès, accédez à Domaines > REALM_NAME > Tableau de bord, puis cliquez sur Applications SAML.
2. Cliquez sur Ajouter un fournisseur d'entités> Hébergé.

3. Saisissez un ID d'entité. Notez cette valeur pour l'utiliser ultérieurement.

   1. Vérifiez que la valeur de l'URL de base du fournisseur d'entités est correcte. Advanced Identity Cloud utilise cette valeur pour tous les points de terminaison associés à SAML 2.0.
   2. Dans la section Alias de métadonnées, indiquez une valeur compatible avec les URL dans la propriété Alias de métadonnées du fournisseur d'identité. Cet alias doit être unique dans le cercle de confiance.
   3. Cliquez sur Créer.
   4. Dans l'onglet Assertion Processing (Traitement des assertions), dans la section Attribute Mapper (Mappeur d'attributs), mappez les noms d'attributs SAML aux noms d'attributs locaux. Les noms des attributs SAML sont ceux utilisés dans une assertion.
   5. Cliquez sur Ajouter ou Mettre à jour pour chaque mappage.
   6. Cliquez sur Enregistrer les modifications.

Utiliser des attributs

Cette section explique comment utiliser les attributs de l'assertion SAML.

Dans les exemples suivants, les attributs de l'assertion SAML sont mappés sur des attributs locaux :

Configurez les attributs requis dans la section de mappage des attributs. Vous mapperez ces attributs lorsque vous créerez le fournisseur de pools d'identités des employés plus loin dans ce guide.

Exporter les métadonnées du fournisseur

Vous pouvez accéder aux métadonnées SAML 2.0 de votre fournisseur hébergé de l'une des manières suivantes :

• Via REST

  Exécutez la commande suivante :

  curl --output METADATA_XML \
      "https://TENANT_ENV_FQDN/am/ExportSamlMetadata?entityid=ENTITY_ID&realm=/REALM"
  

• Dans un navigateur

  Ouvrez l'URL des métadonnées de l'environnement de votre locataire dans un navigateur pour télécharger le fichier XML : https://TENANT_ENV_FQDN/am/ExportSamlMetadata?entityid=ENTITY_ID&realm=/REALM

1. Enregistrez le fichier XML sur votre ordinateur local.

Importer Google en tant que fournisseur de services distant

1. Préparez le fichier XML de métadonnées du fournisseur de services Cloud de Confiance . Utilisez le modèle suivant en remplaçant les valeurs d'espace réservé :

   <?xml version="1.0" encoding="UTF-8"?>
   <md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" xmlns:ds="http://www.w3.org/2000/09/xmldsig#" entityID="https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID">
      <md:SPSSODescriptor AuthnRequestsSigned="false" WantAssertionsSigned="true" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
         <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified</md:NameIDFormat>
         <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</md:NameIDFormat>
         <md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://auth.cloud.s3nscloud.fr/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID" index="0" isDefault="true"/>
      </md:SPSSODescriptor>
   </md:EntityDescriptor>
   

2. Importez les métadonnées de l'une des manières suivantes :

   • Dans la console

     1. Dans la console d'administration PingOne AIC, accédez à SAML Applications (Applications SAML).
     2. Cliquez sur Ajouter un fournisseur d'entités > Distant.
     3. Importez le fichier XML de métadonnées du fournisseur de services Cloud de Confiance que vous venez de créer.
     4. Cliquez sur Créer.

   • Via REST

     1. Convertissez les métadonnées XML en chaîne encodée en base64url.
     2. Obtenez un jeton d'accès.

     3. Exécutez la commande suivante :

        curl --request POST \
            --header 'authorization: Bearer ACCESS_TOKEN' \
            --header 'Content-Type: application/json' \
            --header 'Accept-API-Version: resource=1.0' \
            --data-raw '{"standardMetadata": "BASE64URL_ENCODED_METADATA"}' \
            'https://TENANT_ENV_FQDN/am/json/realms/root/realms/alpha/realm-config/saml2/remote?_action=importEntity'
        

Créer un cercle de confiance

1. Accédez à Realms > REALM_NAME > Applications > Federation > Circles of Trust (Domaines >  > Applications > Fédération > Cercles de confiance).
2. Cliquez sur Ajouter un cercle de confiance.
3. Saisissez un nom, puis cliquez sur Créer.
4. Sur la page Cercle de confiance, dans la propriété Fournisseurs d'entités, sélectionnez votre IdP hébergé et le SP distant Cloud de Confiance .
5. Cliquez sur Enregistrer les modifications.

Créer le fournisseur de pools d'identités de personnel PingOne AIC

Cette section explique comment créer un fournisseur de pools d'identités de personnel pour permettre aux utilisateurs de votre fournisseur d'identité d'accéder à Cloud de Confiance. Vous pouvez configurer le fournisseur pour qu'il utilise le protocole SAML.

Créer un fournisseur de pools d'identités de personnel SAML

1. Pour créer un fournisseur de pools d'identités de personnel SAML, assurez-vous que les métadonnées de votre fournisseur d'identité incluent au moins l'ID d'entité SAML, l'URL d'authentification unique et une clé publique de signature. Pour ce faire, procédez comme suit :

   gcloud

   1. Enregistrez les métadonnées SAML de votre application PingOne AIC.

   2. Pour créer le fournisseur de pools d'identité de personnel SAML, exécutez la commande suivante :

      gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
          --workforce-pool="WORKFORCE_POOL_ID" \
          --display-name="DISPLAY_NAME" \
          --description="DESCRIPTION" \
          --idp-metadata-path="XML_METADATA_PATH" \
          --attribute-mapping="ATTRIBUTE_MAPPING" \
          --attribute-condition="ATTRIBUTE_CONDITION" \
          --location=global
      

      Remplacez les éléments suivants :

      • WORKFORCE_PROVIDER_ID : ID de fournisseur.
      • WORKFORCE_POOL_ID : ID du pool d'identités de personnel
      • DISPLAY_NAME : nom à afficher.
      • DESCRIPTION : une description.
      • XML_METADATA_PATH : chemin d'accès au fichier de métadonnées au format XML que vous avez exporté depuis PingOne AIC.
      • ATTRIBUTE_MAPPING : mappage d'attributs. Par exemple : google.subject=assertion.subject,google.groups=assertion.attributes.groups,attribute.department=assertion.attributes.department[0].
      • ATTRIBUTE_CONDITION : condition d'attribut facultative. Par exemple, pour limiter l'attribut ipaddr à une certaine plage d'adresses IP, vous pouvez définir la condition assertion.ipaddr.startsWith('98.11.12.').

      Pour en savoir plus, consultez Mappage d'attributs.

      Cette commande attribue les éléments subject, groups et department dans l'assertion SAML aux attributs google.subject, google.groups et attribute.department, respectivement. La condition d'attribut garantit également que seuls les utilisateurs compris dans une plage d'adresses IP donnée peuvent se connecter à l'aide de ce fournisseur de personnel.

   Console

   Pour configurer le fournisseur SAML à l'aide de la console Cloud de Confiance , procédez comme suit :

   1. Dans la console Cloud de Confiance , accédez à la page Pools d'identités de personnel : Accéder aux pools d'identités de personnel
   2. Dans le tableau Pools d'identités de personnel, sélectionnez le pool pour lequel vous souhaitez créer le fournisseur.
   3. Dans la section Fournisseurs, cliquez sur add Ajouter un fournisseur.
   4. Dans la liste Sélectionner un fournisseur, sélectionnez Fournisseur d'identité générique.
   5. Dans Sélectionner un protocole d'authentification, sélectionnez SAML.
   6. Dans la section Créer un fournisseur, procédez comme suit :
      1. Dans Nom, saisissez un nom pour le fournisseur.
      2. Facultatif : Dans le champ Description, saisissez une description du fournisseur.
      3. Dans Fichier de métadonnées IdP (XML), sélectionnez le fichier XML de métadonnées que vous avez exporté depuis PingOne AIC.
      4. Pour créer un fournisseur activé, assurez-vous que l'option Activer le fournisseur est activée.
      5. Cliquez sur Continuer.
   7. Dans la section Partager les informations sur votre fournisseur, cliquez sur Continuer.
   8. Facultatif : Pour activer la journalisation d'audit détaillée, dans la section Configurer le fournisseur, sous Journalisation détaillée, cliquez sur le bouton Activer la journalisation d'audit des valeurs d'attribut.

      La journalisation d'audit détaillée de la fédération des identités des employés enregistre les informations reçues de votre fournisseur d'identité dans Logging. La journalisation d'audit détaillée peut vous aider à résoudre les problèmes liés à la configuration de votre fournisseur de pools d'identités des employés. Pour savoir comment résoudre les erreurs de mappage d'attributs à l'aide de journaux d'audit détaillés, consultez Erreurs générales de mappage d'attributs. Pour en savoir plus sur les tarifs de Logging, consultez la page Tarifs de Google Cloud Observability.

      Pour désactiver la journalisation d'audit détaillée pour un fournisseur de pools d'identités des employés, laissez le bouton à bascule Activer la journalisation d'audit des valeurs d'attribut désactivé lorsque vous créez le fournisseur. Pour désactiver la journalisation d'audit détaillée, vous pouvez également mettre à jour le fournisseur.

   9. Pour créer le fournisseur, cliquez sur Envoyer.

   Une fois le fournisseur créé, vous êtes redirigé vers la page des attributs du fournisseur.

   Pour configurer les mappages et les conditions d'attributs, procédez comme suit :

   1. Lorsque vous y êtes invité, connectez-vous à votre IdP externe pour valider les mappages d'attributs par défaut.

   2. Sur la page des attributs du fournisseur, consultez et modifiez les mappages et les conditions d'attributs :

      1. Pour ajouter ou modifier des mappages d'attributs :

         1. Cliquez sur Ajouter un mappage pour en ajouter un ou modifier ceux existants.
         2. Dans le champ Google n, où n est un nombre, sélectionnez une clé compatible avec Cloud de Confiance.

         3. Dans le champ SAML n correspondant, saisissez le nom de l'attribut du fournisseur d'identité ou une expression CEL. Par exemple :

            google.subject=assertion.subject,
            google.groups=assertion.attributes['https://example.com/aliases'],
            attribute.costcenter=assertion.attributes.costcenter[0]
            

      2. Pour ajouter une condition d'attribut, procédez comme suit :

         1. Cliquez sur Ajouter une condition :
         2. Dans le champ Conditions d'attribut, saisissez une condition au format CEL. Par exemple, assertion.attributes.ipaddr.startsWith('98.11.12.').

   3. Pour valider vos mappages, cliquez sur Enregistrer et récupérer à nouveau le jeton.

   4. Pour terminer la configuration, cliquez sur Enregistrer et quitter.

Gérer l'accès aux ressources Cloud de Confiance

Cette section explique comment gérer l'accès aux ressources Cloud de Confiance pour les utilisateurs PingOne AIC.

L'exemple de projet utilisé dans ce guide peut être différent de celui que vous avez utilisé pour configurer la fédération d'identité du personnel.

Vous pouvez gérer les rôles pour des identités uniques, un groupe d'identités ou un pool entier. Pour en savoir plus, consultez Identifiants de compte principal pour les règles d'autorisation.

Utiliser des attributs de service mappés

Pour accorder le rôle Administrateur de l'espace de stockage (roles/storage.admin) à toutes les identités d'un service spécifique pour le projet TEST_PROJECT_ID, exécutez la commande suivante :

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.department/DEPARTMENT_VALUE"

Remplacez les éléments suivants :

• TEST_PROJECT_ID : ID du projet.
• WORKFORCE_POOL_ID : ID du pool d'identités de personnel
• DEPARTMENT_VALUE : valeur attribute.department mappée.

Utiliser des groupes mappés

Pour attribuer le rôle Administrateur de l'espace de stockage (roles/storage.admin) à toutes les identités du groupe GROUP_ID pour le projet TEST_PROJECT_ID, exécutez la commande suivante :

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

Remplacez les éléments suivants :

• TEST_PROJECT_ID : ID du projet.
• WORKFORCE_POOL_ID : ID du pool d'identités de personnel
• GROUP_ID : groupe de la revendication google.groups mappée.

Se connecter et tester l'accès

Dans cette section, vous vous connectez en tant qu'utilisateur de pool d'identités de personnel et testez votre accès.

Se connecter

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

{
  "universe_domain": "s3nsapis.fr",
  "universe_cloud_web_domain": "cloud.s3nscloud.fr",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.s3nscloud.fr/authorize",
  "token_url": "https://sts.s3nsapis.fr/v1/oauthtoken",
  "token_info_url": "https://sts.s3nsapis.fr/v1/introspect"
}

gcloud config unset auth/login_config_file

Tester l'accès

Vous pouvez accéder aux services Cloud de Confiance compatibles avec la fédération d'identité de personnel auxquels vous avez accès. Plus tôt dans ce guide, vous avez accordé le rôle Administrateur de l'espace de stockage à toutes les identités d'un service ou d'un groupe spécifique pour le projet TEST_PROJECT_ID. Vous pouvez tester l'accès en répertoriant les buckets Cloud Storage.

gcloud alpha storage ls --project="TEST_PROJECT_ID"

Étapes suivantes

• Supprimer les utilisateurs et leurs données de la fédération d'identité de personnel
• Découvrez les produits Cloud de Confiance compatibles avec la fédération d'identité de personnel.
• Configurer l'accès utilisateur à la console (fédéré)