הגדרה של איחוד שירותי אימות הזהות של כוח העבודה באמצעות PingOne AIC

במאמר הזה מוסבר איך להגדיר איחוד שירותי אימות הזהות של כוח העבודה באמצעות PingOne Advanced Identity Cloud ‏ (AIC) כספק זהויות (IdP) ולנהל את הגישה אלCloud de Confiance. אחרי שמגדירים את ספק הזהויות PingOne AIC, משתמשים מאוחדים יכולים לגשת לשירותי Cloud de Confiance שמבוססים על איחוד שירותי אימות הזהות של כוח העבודה באמצעות פרוטוקול SAML 2.0.

לפני שמתחילים

1. מוודאים שהגדרתם Cloud de Confiance ארגון.
2. מגדירים את משתנה הסביבה GOOGLE_CLOUD_UNIVERSE_DOMAIN לערך s3nsapis.fr.

3. התקינו את ה-CLI של Google Cloud ואז היכנסו ל-CLI של gcloud באמצעות הזהות המאוחדת שלכם. אחרי שנכנסתם לחשבון, אתחלו את ה-CLI של Google Cloud באמצעות הפקודה הבאה:

   gcloud init

4. כדי להיכנס לחשבון, ספק הזהויות שלכם צריך לספק פרטי אימות חתומים: תשובות שמגיעות מספקי זהויות שתומכים ב-SAML חייבות להיות חתומות.
5. כדי לקבל מידע חשוב על שינויים בארגון או Cloud de Confiance במוצרים שלכם, אתם צריכים לספק אנשי קשר חיוניים. מידע נוסף זמין במאמר סקירה כללית על איחוד שירותי אימות הזהות של כוח עבודה.

עלויות

איחוד שירותי אימות הזהות של כוח עבודה זמין כתכונה ללא עלות. עם זאת, רישום מפורט ביומני הביקורת של איחוד שירותי אימות הזהות של כוח עבודה מתבצע באמצעות Cloud Logging. למידע על התמחור של Logging, ראו תמחור של Google Cloud Observability.

התפקידים הנדרשים

כדי לקבל את ההרשאות שנדרשות להגדרת איחוד שירותי אימות הזהות של כוח העבודה, צריך לבקש מהאדמין להקצות לכם ב-IAM את התפקיד IAM Workforce Pool Admin (roles/iam.workforcePoolAdmin) בארגון. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

אם אתם מגדירים הרשאות בסביבת פיתוח או בסביבת בדיקה – אבל לא בסביבת ייצור – אתם יכולים להעניק את התפקיד הבסיסי 'בעלים' (roles/owner) בניהול זהויות והרשאות גישה (IAM). התפקיד הזה כולל גם הרשאות לשימוש באיחוד שירותי אימות הזהות של כוח עבודה.

יצירת מאגר זהויות של כוח העבודה

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

יצירה של אפליקציית PingOne AIC

בקטע הזה מוסבר איך ליצור שילוב אפליקציה של PingOne AIC.

יצירת IdP מתארח

1. בקטע Native Consoles > Access Management, עוברים אל Realms > REALM_NAME > Dashboard ולוחצים על SAML Applications.
2. לוחצים על הוספת ספק ישויות > מתארח.

3. מזינים מזהה ישות. שומרים את הערך הזה לשימוש מאוחר יותר.

   1. מוודאים שהערך של Entity Provider Base URL (כתובת הבסיס של ספק הישות) נכון. מערכת Advanced Identity Cloud משתמשת בערך הזה לכל נקודות הקצה שקשורות ל-SAML 2.0.
   2. בקטע Meta Aliases, מציינים ערך שמתאים לכתובת URL במאפיין Identity Provider Meta Alias. הכינוי הזה חייב להיות ייחודי במעגל האמון.
   3. לוחצים על יצירה.
   4. בכרטיסייה Assertion Processing (עיבוד הצהרות), בקטע Attribute Mapper (מיפוי מאפיינים), ממפים את שמות מאפייני ה-SAML לשמות המאפיינים המקומיים. שמות מאפייני ה-SAML הם השמות שמשמשים בטענת הנכונות (assertion).
   5. לוחצים על הוספה או על עדכון לכל מיפוי.
   6. לוחצים על שמירת השינויים.

שימוש במאפיינים

בקטע הזה מוסבר איך להשתמש במאפיינים מטענת הנכונות (assertion) של SAML.

בדוגמאות הבאות, מאפיינים בטענת הנכוֹנוּת (assertion) של SAML ממופים למאפיינים מקומיים:

מגדירים את המאפיינים הנדרשים בקטע 'מיפוי מאפיינים'. תמפו את המאפיינים האלה בהמשך המדריך הזה, כשתיצרו את ספק מאגר הזהויות של כוח העבודה.

ייצוא מטא-נתונים של ספק

אפשר לגשת למטא-נתונים של SAML 2.0 של הספק המתארח באחת מהדרכים הבאות:

• באמצעות REST

  מריצים את הפקודה הבאה:

  curl --output METADATA_XML \
      "https://TENANT_ENV_FQDN/am/ExportSamlMetadata?entityid=ENTITY_ID&realm=/REALM"
  

• בדפדפן

  פותחים את כתובת ה-URL של המטא-נתונים של סביבת הדייר בדפדפן כדי להוריד את קובץ ה-XML: https://TENANT_ENV_FQDN/am/ExportSamlMetadata?entityid=ENTITY_ID&realm=/REALM

1. שומרים את קובץ ה-XML במחשב המקומי.

ייבוא Google כספק SP מרוחק

1. מכינים את Cloud de Confiance קובץ ה-XML של המטא-נתונים של ספק השירות. משתמשים בתבנית הבאה ומחליפים את ערכי ה-placeholder:

   <?xml version="1.0" encoding="UTF-8"?>
   <md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" xmlns:ds="http://www.w3.org/2000/09/xmldsig#" entityID="https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID">
      <md:SPSSODescriptor AuthnRequestsSigned="false" WantAssertionsSigned="true" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
         <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified</md:NameIDFormat>
         <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</md:NameIDFormat>
         <md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://auth.cloud.s3nscloud.fr/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID" index="0" isDefault="true"/>
      </md:SPSSODescriptor>
   </md:EntityDescriptor>
   

2. מייבאים את המטא-נתונים באחת מהדרכים הבאות:

   • במסוף

     1. במסוף Admin של PingOne AIC, עוברים אל SAML Applications (אפליקציות SAML).
     2. לוחצים על הוספת ספק ישויות > מרחוק.
     3. מעלים את קובץ ה-XML של מטא-נתוני Cloud de Confiance ספק השירות שיצרתם.
     4. לוחצים על יצירה.

   • באמצעות REST

     1. ממירים את המטא-נתונים של ה-XML למחרוזת בקידוד base64url.
     2. קבלת טוקן גישה

     3. מריצים את הפקודה הבאה:

        curl --request POST \
            --header 'authorization: Bearer ACCESS_TOKEN' \
            --header 'Content-Type: application/json' \
            --header 'Accept-API-Version: resource=1.0' \
            --data-raw '{"standardMetadata": "BASE64URL_ENCODED_METADATA"}' \
            'https://TENANT_ENV_FQDN/am/json/realms/root/realms/alpha/realm-config/saml2/remote?_action=importEntity'
        

יצירת מעגל מהימן (CoT)

1. עוברים אל תחומים > REALM_NAME > אפליקציות > פדרציה > מעגלי אמון.
2. לוחצים על הוספת מעגל מהימן.
3. מזינים שם ולוחצים על יצירה.
4. בדף Circle of Trust, בנכס Entity Providers, בוחרים את ספק הזהויות המתארח ואת Cloud de Confiance ספק השירות המרוחק.
5. לוחצים על שמירת השינויים.

יצירת ספק זהויות של מאגר כוח העבודה ב-PingOne AIC

בקטע הזה מוסבר איך ליצור ספק מאגר זהויות של כוח עבודה כדי לאפשר למשתמשים בספק הזהויות שלכם לגשת אל Cloud de Confiance. אפשר להגדיר את הספק לשימוש בפרוטוקול SAML.

יצירת ספק של מאגר זהויות של כוח עבודה ב-SAML

1. כדי ליצור ספק של מאגר זהויות של כוח עבודה ב-SAML, צריך לוודא שמטא-הנתונים של ספק הזהויות כוללים לפחות את מזהה הישות ב-SAML, את כתובת ה-URL של הכניסה היחידה ומפתח ציבורי אחד לחתימה. לשם כך, בצע את הצעדים הבאים:

   gcloud

   1. שומרים את המטא-נתונים של SAML מאפליקציית PingOne AIC.

   2. כדי ליצור את הספק של מאגר הזהויות של כוח העבודה ב-SAML, מריצים את הפקודה הבאה:

      gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
          --workforce-pool="WORKFORCE_POOL_ID" \
          --display-name="DISPLAY_NAME" \
          --description="DESCRIPTION" \
          --idp-metadata-path="XML_METADATA_PATH" \
          --attribute-mapping="ATTRIBUTE_MAPPING" \
          --attribute-condition="ATTRIBUTE_CONDITION" \
          --location=global
      

      מחליפים את מה שכתוב בשדות הבאים:

      • ‫WORKFORCE_PROVIDER_ID: מזהה הספק.
      • WORKFORCE_POOL_ID: המזהה של מאגר הזהויות של כוח העבודה.
      • ‫DISPLAY_NAME: שם מוצג.
      • ‫DESCRIPTION: תיאור.
      • ‫XML_METADATA_PATH: הנתיב לקובץ המטא-נתונים בפורמט XML שייצאתם מ-PingOne AIC.
      • ‫ATTRIBUTE_MAPPING: מיפוי המאפיינים. לדוגמה, google.subject=assertion.subject,google.groups=assertion.attributes.groups,attribute.department=assertion.attributes.department[0].
      • ‫ATTRIBUTE_CONDITION: תנאי למאפיין (לא חובה). לדוגמה, כדי להגביל את המאפיין ipaddr לטווח מסוים של כתובות IP, אפשר ליצור את התנאי assertion.ipaddr.startsWith('98.11.12.').

      מידע נוסף זמין במאמר בנושא מיפוי מאפיינים.

      הפקודה הזו מקצה את subject, ‏groups ו-department בטענת הנכונות (assertion) של SAML למאפיינים google.subject, ‏google.groups ו-attribute.department בהתאמה. בנוסף, באמצעות התנאי למאפיין אפשר להבטיח שרק משתמשים בטווח מסוים של כתובות IP יוכלו להיכנס באמצעות ספק הזהויות הזה לכוח העבודה.

   המסוף

   כדי להגדיר את פלאגין שמתממשק עם שירותים חיצוניים של SAML באמצעות המסוף Cloud de Confiance , בצע את הפעולות הבאות:

   1. במסוף Cloud de Confiance , עוברים לדף Workforce Identity Pools: מעבר אל Workforce Identity Pools
   2. בטבלה Workforce Identity Pools (מאגרי זהויות של כוח עבודה), בוחרים את המאגר שרוצים ליצור עבורו את הספק.
   3. בקטע ספקים, לוחצים על addהוספת ספק.
   4. ברשימה Select a Provider vendor בוחרים באפשרות Generic Identity Provider.
   5. בקטע Select an authentication protocol, בוחרים באפשרות SAML.
   6. בקטע Create a provider, מבצעים את הפעולות הבאות:
      1. בשדה שם, מזינים שם לספק.
      2. אופציונלי: בשדה Description, מזינים תיאור לספק.
      3. בקטע IDP metadata file (XML) (קובץ מטא-נתונים של IdP‏ (XML)), בוחרים את קובץ ה-XML של המטא-נתונים שייצאתם מ-PingOne AIC.
      4. כדי ליצור פלאגין שמתממשק עם שירותים חיצוניים שמופעל, מוודאים שהאפשרות הפעלת פלאגין שמתממשק עם שירותים חיצוניים מופעלת.
      5. לוחצים על Continue.
   7. בקטע שיתוף פרטי הספק, לוחצים על המשך.
   8. אופציונלי: כדי להפעיל רישום מפורט ביומן הביקורת, בקטע Configure provider (הגדרת הספק), בDetailed logging (רישום מפורט), לוחצים על המתג Enable attribute value audit logging (הפעלת רישום ביומן הביקורת של ערכי מאפיינים).

      איחוד שירותי אימות הזהות של כוח עבודה רישום מפורט ביומן הביקורת רושם ביומן את המידע שמתקבל מ-IdP. רישום מפורט של ביקורת יכול לעזור לכם לפתור בעיות בהגדרות של ספק הזהויות של כוח העבודה. כדי ללמוד איך לפתור בעיות במיפוי מאפיינים באמצעות רישום מפורט ביומן הביקורת, אפשר לעיין במאמר בנושא בעיות כלליות במיפוי מאפיינים. למידע על התמחור של Logging, ראו תמחור של Google Cloud Observability.

      כדי להשבית את יומני הביקורת המפורטים של ספק של מאגר זהויות של כוח עבודה, משאירים את המתג הפעלת יומני ביקורת של ערכי מאפיינים מושבת כשיוצרים את הספק. כדי להשבית את רישום הביקורת המפורט, אפשר גם לעדכן את הספק.

   9. כדי ליצור את הספק, לוחצים על שליחה.

   אחרי שיוצרים את הספק, מועברים לדף המאפיינים של הספק.

   כדי להגדיר מיפויים ותנאים של מאפיינים:

   1. כשמוצגת בקשה, נכנסים לחשבון ב-IdP החיצוני כדי לאמת את מיפויי ברירת המחדל של המאפיינים.

   2. בדף 'מאפיינים של הספק', אפשר לראות ולערוך את מיפויי המאפיינים והתנאים:

      1. כדי להוסיף או לערוך מיפויים של מאפיינים:

         1. לוחצים על הוספת מיפוי כדי להוסיף מיפוי חדש, או עורכים את המיפויים הקיימים.
         2. בשדה Google n, כאשר n הוא מספר, בוחרים מפתח שנתמך על ידי Cloud de Confiance.

         3. בשדה SAML n המתאים, מזינים את שם מאפיין ה-IdP או ביטוי CEL – לדוגמה:

            google.subject=assertion.subject,
            google.groups=assertion.attributes['https://example.com/aliases'],
            attribute.costcenter=assertion.attributes.costcenter[0]
            

      2. כדי להוסיף תנאי מאפיין:

         1. לוחצים על הוספת תנאי.
         2. בשדה Attribute Conditions, מזינים תנאי בפורמט CEL – לדוגמה, assertion.attributes.ipaddr.startsWith('98.11.12.').

   3. כדי לאמת את המיפויים, לוחצים על Save and refetch token (שמירה ואחזור מחדש של טוקן).

   4. כדי להשלים את ההגדרה, לוחצים על שמירה ויציאה.

ניהול הגישה למשאבים Cloud de Confiance

בקטע הזה מוסבר איך לנהל את הגישה ל Cloud de Confiance משאבים עבור משתמשי PingOne AIC.

הפרויקט לדוגמה שמופיע במדריך הזה יכול להיות שונה מהפרויקט שבו השתמשתם כדי להגדיר את איחוד שירותי אימות הזהות של כוח העבודה.

אפשר לנהל תפקידים לזהויות בודדות, לקבוצת זהויות או למאגר שלם. מידע נוסף מופיע במאמר מזהים של חשבונות משתמשים בכוח העבודה בכללי מדיניות הרשאה.

שימוש במאפיינים של מחלקה ממופה

כדי להקצות את התפקיד Storage Admin (roles/storage.admin) לכל הזהויות במחלקה ספציפית בפרויקט TEST_PROJECT_ID, מריצים את הפקודה הבאה:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.department/DEPARTMENT_VALUE"

מחליפים את מה שכתוב בשדות הבאים:

• ‫TEST_PROJECT_ID: מזהה הפרויקט.
• WORKFORCE_POOL_ID: המזהה של מאגר הזהויות של כוח העבודה.
• ‫DEPARTMENT_VALUE: הערך הממופה של attribute.department.

שימוש בקבוצות ממופות

כדי להקצות את התפקיד Storage Admin (roles/storage.admin) לכל הזהויות בקבוצה GROUP_ID בפרויקט TEST_PROJECT_ID, מריצים את הפקודה הבאה:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

מחליפים את מה שכתוב בשדות הבאים:

• ‫TEST_PROJECT_ID: מזהה הפרויקט.
• WORKFORCE_POOL_ID: המזהה של מאגר הזהויות של כוח העבודה.
• ‫GROUP_ID: קבוצה בהצהרה הממופה google.groups.

כניסה לחשבון ובדיקת גישה

בקטע הזה נכנסים כמשתמש של מאגר הזהויות של כוח העבודה ובודקים את הגישה.

כניסה

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

{
  "universe_domain": "s3nsapis.fr",
  "universe_cloud_web_domain": "cloud.s3nscloud.fr",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.s3nscloud.fr/authorize",
  "token_url": "https://sts.s3nsapis.fr/v1/oauthtoken",
  "token_info_url": "https://sts.s3nsapis.fr/v1/introspect"
}

gcloud config unset auth/login_config_file

בדיקת גישה

אתם יכולים לגשת לשירותים של Cloud de Confiance שמאפשרים איחוד שירותי אימות הזהות של כוח העבודה, שקיבלתם אליהם גישה. מוקדם יותר במדריך הזה הקציתם את התפקיד Storage Admin לכל הזהויות במחלקה או בקבוצה ספציפית בפרויקט TEST_PROJECT_ID. כדי לבדוק אם יש לכם גישה, אתם יכולים להציג את הרשימה של הקטגוריות של Cloud Storage.

gcloud alpha storage ls --project="TEST_PROJECT_ID"

המאמרים הבאים

• מחיקה של המשתמשים באיחוד שירותי אימות הזהות של כוח העבודה והנתונים שלהם.
• מידע על מוצרי Cloud de Confiance Google Cloud שתומכים באיחוד שירותי אימות הזהות של כוח העבודה.
• הגדרת גישה של משתמשים למסוף (מאוחד)