使用 PingOne AIC 配置员工身份联合

本文档介绍了如何使用 PingOne Advanced Identity Cloud (AIC) 作为身份提供方 (IdP) 来配置员工身份联合，以及如何管理对Cloud de Confiance的访问权限。配置 PingOne AIC IdP 后，联合用户可以使用 SAML 2.0 协议访问支持员工身份联合的 Cloud de Confiance 服务。

准备工作

1. 确保您已设置 Cloud de Confiance 组织。
2. 将环境变量 GOOGLE_CLOUD_UNIVERSE_DOMAIN 设置为 s3nsapis.fr。

3. 安装 Google Cloud CLI，然后 使用联合身份登录 gcloud CLI。 登录后，运行以下命令来初始化 Google Cloud CLI：

   gcloud init

4. 如需登录，您的 IdP 必须提供已签名的身份验证信息：SAML IdP 响应必须经过签名。
5. 如需接收有关贵组织或Cloud de Confiance 产品的变更的重要信息，您必须提供必要的联系人。如需了解详情，请参阅员工身份联合概览。

费用

员工身份联合是一项免费功能。不过，员工身份联合的详细审核日志记录使用 Cloud Logging。如需了解 Logging 价格，请参阅 Google Cloud Observability 价格。

所需的角色

如需获得配置员工身份联合所需的权限，请让您的管理员为您授予组织的 IAM Workforce Pool Admin (roles/iam.workforcePoolAdmin) IAM 角色。 如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

您也可以通过自定义角色或其他预定义角色来获取所需的权限。

如果您是在开发或测试环境（而非生产环境）中配置权限，则可以授予 Identity and Access Management (IAM) Owner (roles/owner) 基本角色。此角色还包括员工身份联合所需的权限。

创建员工身份池

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

创建 PingOne AIC 应用

本部分介绍如何创建 PingOne AIC 应用集成。

创建托管的 IdP

1. 在原生控制台 > 访问权限管理中，依次前往Realm > REALM_NAME > 信息中心，然后点击 SAML 应用。
2. 依次点击添加实体提供方> 托管。

3. 输入实体 ID。记录此值以备日后使用。

   1. 验证实体提供方基本网址值是否正确。Advanced Identity Cloud 会将此值用于所有与 SAML 2.0 相关的端点。
   2. 在 Meta Aliases（元别名）部分，在 Identity Provider Meta Alias（身份提供方元别名）属性中提供一个适合用作网址的值。此别名在信任圈中必须是唯一的。
   3. 点击创建。
   4. 在 Assertion Processing（断言处理）标签页的 Attribute Mapper（属性映射器）部分，将 SAML 属性名称映射到本地属性名称。SAML 属性名称是指在断言中使用的名称。
   5. 点击每个映射的添加或更新。
   6. 点击保存更改。

使用属性

本部分介绍了如何使用 SAML 断言中的属性。

在以下示例中，SAML 断言中的属性会映射到本地属性：

在属性映射部分中设置必需的属性。在本指南的后面部分，您将在创建员工身份池提供方时映射这些属性。

导出提供方元数据

您可以通过以下任一方式访问托管提供商的 SAML 2.0 元数据：

• 通过 REST

  运行以下命令：

  curl --output METADATA_XML \
      "https://TENANT_ENV_FQDN/am/ExportSamlMetadata?entityid=ENTITY_ID&realm=/REALM"
  

• 在浏览器中

  在浏览器中打开租户环境的元数据网址，下载 XML 文件： https://TENANT_ENV_FQDN/am/ExportSamlMetadata?entityid=ENTITY_ID&realm=/REALM

1. 将 XML 文件保存到本地机器。

将 Google 作为远程 SP 导入

1. 准备 Cloud de Confiance SP 元数据 XML。使用以下模板，替换占位值：

   <?xml version="1.0" encoding="UTF-8"?>
   <md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" xmlns:ds="http://www.w3.org/2000/09/xmldsig#" entityID="https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID">
      <md:SPSSODescriptor AuthnRequestsSigned="false" WantAssertionsSigned="true" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
         <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified</md:NameIDFormat>
         <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</md:NameIDFormat>
         <md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://auth.cloud.s3nscloud.fr/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID" index="0" isDefault="true"/>
      </md:SPSSODescriptor>
   </md:EntityDescriptor>
   

2. 您可以通过以下任一方式导入元数据：

   • 在控制台中

     1. 在 PingOne AIC 管理控制台中，前往 SAML Applications（SAML 应用）。
     2. 依次点击添加实体提供程序 > 远程。
     3. 上传您刚刚创建的 Cloud de Confiance SP 元数据 XML 文件。
     4. 点击创建。

   • 通过 REST

     1. 将 XML 元数据转换为 base64url 编码的字符串。
     2. 获取访问令牌。

     3. 运行以下命令：

        curl --request POST \
            --header 'authorization: Bearer ACCESS_TOKEN' \
            --header 'Content-Type: application/json' \
            --header 'Accept-API-Version: resource=1.0' \
            --data-raw '{"standardMetadata": "BASE64URL_ENCODED_METADATA"}' \
            'https://TENANT_ENV_FQDN/am/json/realms/root/realms/alpha/realm-config/saml2/remote?_action=importEntity'
        

创建信任圈 (CoT)

1. 依次前往大区 > REALM_NAME > 应用 > 联盟 > 信任圈。
2. 点击添加信任圈。
3. 输入名称，然后点击创建。
4. 在 Circle of Trust 页面上，在 Entity Providers 属性中，选择您的托管 IdP 和 Cloud de Confiance 远程 SP。
5. 点击保存更改。

创建 PingOne AIC 员工身份池提供方

本部分介绍如何创建员工身份池提供方，以便您的 IdP 用户能够访问 Cloud de Confiance。您可以将提供方配置为使用 SAML 协议。

创建 SAML 员工身份池提供方

1. 如需创建 SAML 员工身份池提供方，您需要确保身份提供方元数据至少包含 SAML 实体 ID、单点登录网址和一个签名公钥。请按以下步骤进行此操作：

   gcloud

   1. 保存 PingOne AIC 应用中的 SAML 元数据。

   2. 如需创建 SAML 员工身份池提供方，请运行以下命令：

      gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
          --workforce-pool="WORKFORCE_POOL_ID" \
          --display-name="DISPLAY_NAME" \
          --description="DESCRIPTION" \
          --idp-metadata-path="XML_METADATA_PATH" \
          --attribute-mapping="ATTRIBUTE_MAPPING" \
          --attribute-condition="ATTRIBUTE_CONDITION" \
          --location=global
      

      替换以下内容：

      • WORKFORCE_PROVIDER_ID：提供方 ID。
      • WORKFORCE_POOL_ID：员工身份池 ID。
      • DISPLAY_NAME：显示名称。
      • DESCRIPTION：说明。
      • XML_METADATA_PATH：您从 PingOne AIC 导出的 XML 格式元数据文件的路径。
      • ATTRIBUTE_MAPPING：属性映射；例如，google.subject=assertion.subject,google.groups=assertion.attributes.groups,attribute.department=assertion.attributes.department[0]。
      • ATTRIBUTE_CONDITION：可选属性条件；例如，如需将 ipaddr 属性限制为特定 IP 范围，您可以设置条件 assertion.ipaddr.startsWith('98.11.12.')。

      如需了解详情，请参阅属性映射。

      此命令会将 SAML 断言中的 subject、groups 和 department 分别分配给 google.subject、google.groups 和 attribute.department 属性。该属性条件还可确保只有特定 IP 范围内的用户才能使用此员工提供方登录。

   控制台

   如需使用 Cloud de Confiance 控制台配置 SAML 提供方，请执行以下操作：

   1. 在 Cloud de Confiance 控制台中，前往员工身份池页面： 前往“员工身份池”
   2. 在员工身份池表中，选择要为其创建提供方的池。
   3. 在提供方部分中，点击 add 添加提供方。
   4. 在选择提供方供应商列表中，选择通用身份提供方。
   5. 在选择身份验证协议中，选择 SAML。
   6. 在创建提供方部分中，执行以下操作：
      1. 在名称中，输入提供方的名称。
      2. 可选：在说明中，输入提供方的说明。
      3. 在 IDP 元数据文件 (XML) 中，选择您从 PingOne AIC 导出的元数据 XML 文件。
      4. 如需创建状态为已启用的提供方，请确保启用提供方处于开启状态。
      5. 点击继续。
   7. 在分享提供方信息部分中，点击继续。
   8. 可选：如需启用详细审核日志记录，请在配置提供方部分的详细日志记录中，点击启用属性值审核日志记录切换开关。

      员工身份联合详细审核日志记录会将从 IdP 接收的信息记录到 Logging。详细的审核日志记录有助于排查员工身份池提供方配置的问题。如需了解如何通过详细审核日志记录来排查属性映射错误，请参阅一般属性映射错误。如需了解 Logging 价格，请参阅 Google Cloud Observability 价格。

      如需为员工身份池提供方停用详细审核日志记录，请在创建提供方时将启用属性值审核日志记录切换开关保持在关闭状态。如需停用详细审核日志记录，您还可以更新提供方。

   9. 如需创建提供方，请点击提交。

   创建提供方后，系统会将您重定向到提供方属性页面。

   如需配置属性映射和条件，请执行以下操作：

   1. 系统提示时，登录您的外部 IdP 以验证默认属性映射。

   2. 在提供方属性页面上，查看和修改属性映射和条件：

      1. 如需添加或修改属性映射，请执行以下操作：

         1. 点击添加映射以添加新映射，或修改现有映射。
         2. 在 Google n 字段中（其中 n 为数字），选择一个 Cloud de Confiance支持的密钥。

         3. 在相应的 SAML n 字段中，输入 IdP 属性名称或 CEL 表达式，例如：

            google.subject=assertion.subject,
            google.groups=assertion.attributes['https://example.com/aliases'],
            attribute.costcenter=assertion.attributes.costcenter[0]
            

      2. 如需添加属性条件，请执行以下操作：

         1. 点击添加条件。
         2. 在属性条件字段中，以 CEL 格式输入条件，例如 assertion.attributes.ipaddr.startsWith('98.11.12.')。

   3. 如需验证映射，请点击保存并重新获取令牌。

   4. 如需完成设置，请点击保存并退出。

管理对 Cloud de Confiance 资源的访问权限。

本部分介绍了如何管理 PingOne AIC 用户对 Cloud de Confiance 资源的访问权限。

本指南中使用的示例项目可能与您设置员工身份联合时使用的项目不同。

您可以管理单个身份、一组身份或整个池的角色。如需了解详情，请参阅允许政策的员工主账号标识符。

使用映射的部门属性

如需向 TEST_PROJECT_ID 项目的特定部门中的所有身份授予 Storage Admin 角色 (roles/storage.admin)，请运行以下命令：

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.department/DEPARTMENT_VALUE"

替换以下内容：

• TEST_PROJECT_ID：项目 ID。
• WORKFORCE_POOL_ID：员工身份池 ID。
• DEPARTMENT_VALUE：映射的 attribute.department 值。

使用映射群组

如需向 TEST_PROJECT_ID 项目的 GROUP_ID 群组中的所有身份授予 Storage Admin (roles/storage.admin) 角色，请运行以下命令：

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

替换以下内容：

• TEST_PROJECT_ID：项目 ID。
• WORKFORCE_POOL_ID：员工身份池 ID。
• GROUP_ID：映射的 google.groups 声明中的群组。

登录并测试访问权限

在本部分中，您将以员工身份池用户的身份登录，并测试您的访问权限。

登录

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

{
  "universe_domain": "s3nsapis.fr",
  "universe_cloud_web_domain": "cloud.s3nscloud.fr",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.s3nscloud.fr/authorize",
  "token_url": "https://sts.s3nsapis.fr/v1/oauthtoken",
  "token_info_url": "https://sts.s3nsapis.fr/v1/introspect"
}

gcloud config unset auth/login_config_file

测试访问权限

您可以访问您有权访问的 Cloud de Confiance 支持员工身份联合的服务。在本指南的前面部分中，您向特定部门或群组中的所有身份授予了项目 TEST_PROJECT_ID 的 Storage Admin 角色。您可以通过列出 Cloud Storage 存储分区来测试您是否具有访问权限。

gcloud alpha storage ls --project="TEST_PROJECT_ID"

后续步骤

• 删除员工身份联合用户及其数据。
• 了解哪些 Cloud de Confiance 产品支持员工身份联合。
• 设置用户对控制台（联合）的访问权限。