本頁面的部分或所有資訊可能不適用於 S3NS 的 Cloud de Confiance。詳情請參閱「與 Google Cloud 的差異」。

Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

使用 PingOne AIC 設定員工身分聯盟

本文說明如何使用 PingOne Advanced Identity Cloud (AIC) 做為識別資訊提供者 (IdP) 設定員工身分聯盟，以及如何管理Cloud de Confiance的存取權。設定 PingOne AIC IdP 後，聯合使用者就能使用 SAML 2.0 通訊協定，存取 Cloud de Confiance 支援員工身分聯盟的服務。

事前準備

請務必設定 Cloud de Confiance 機構。

將 GOOGLE_CLOUD_UNIVERSE_DOMAIN 環境變數設為 s3nsapis.fr。

安裝 Google Cloud CLI，然後使用聯合身分登入 gcloud CLI。登入後，執行下列指令來初始化 Google Cloud CLI：
```
gcloud init
```
注意：如果您已經安裝 gcloud CLI，請務必執行 gcloud components update，確認您安裝的是最新版本。

建立代管 IdP

在「Native Consoles」> Access Management 中，依序前往「Realms」> REALM_NAME > Dashboard，然後點選「SAML Applications」。
依序點選「新增實體提供者」>「代管」。
輸入實體 ID。請記下這個值，稍後會用到。

注意： 在實體 ID 等值中，Advanced Identity Cloud 會將多個空格截斷為單一空格。舉例來說，如果存在「MyEntityID value」(一個空格)，新增名為「My Entity ID」(多個空格) 的實體會導致錯誤，因為 Advanced Identity Cloud 會將兩者視為相同。
1. 確認「實體供應商基本網址」值正確無誤。Advanced Identity Cloud 會將這個值用於所有 SAML 2.0 相關端點。
2. 在「Meta Aliases」部分，於「Identity Provider Meta Alias」屬性中提供適合網址的值。這個別名在信任圈中不得重複。
3. 點選「建立」。
4. 在「Assertion Processing」(聲明處理) 分頁的「Attribute Mapper」(屬性對應器) 部分中，將 SAML 屬性名稱對應至本機屬性名稱。SAML 屬性名稱是判斷結果中使用的名稱。
5. 針對每個對應項目，按一下「新增」或「更新」。
6. 按一下 [儲存變更]。

使用屬性

本節說明如何使用 SAML 判斷提示中的屬性。

在下列範例中，SAML 判斷中的屬性會對應至本機屬性：

SAML 屬性	區域屬性
`IDPEmail`	`mail`
`FirstName`	`givenName`
`groups`	`groups`

在屬性對應部分設定必要屬性。在本指南稍後建立工作團隊身分集區提供者時，您會對應這些屬性。

匯出供應商中繼資料

您可以透過下列任一方式，存取代管供應商的 SAML 2.0 中繼資料：

透過 REST

執行下列指令：

curl --output METADATA_XML \
    "https://TENANT_ENV_FQDN/am/ExportSamlMetadata?entityid=ENTITY_ID&realm=/REALM"

使用瀏覽器

在瀏覽器中開啟租戶環境的中繼資料網址，下載 XML 檔案： https://TENANT_ENV_FQDN/am/ExportSamlMetadata?entityid=ENTITY_ID&realm=/REALM

將 XML 檔案儲存至本機電腦。

將 Google 匯入為遠端 SP

準備 Cloud de Confiance 服務供應商中繼資料 XML。使用下列範本，並替換預留位置值：

<?xml version="1.0" encoding="UTF-8"?>
<md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" xmlns:ds="http://www.w3.org/2000/09/xmldsig#" entityID="https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID">
   <md:SPSSODescriptor AuthnRequestsSigned="false" WantAssertionsSigned="true" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
      <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified</md:NameIDFormat>
      <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</md:NameIDFormat>
      <md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://auth.cloud.s3nscloud.fr/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID" index="0" isDefault="true"/>
   </md:SPSSODescriptor>
</md:EntityDescriptor>

請使用下列任一方式匯入中繼資料：
- 在控制台中
  1. 在 PingOne AIC 管理控制台中，前往「SAML Applications」。
  2. 依序點選「新增實體提供者」>「遠端」。
  3. 上傳您剛建立的 Cloud de Confiance 服務供應商中繼資料 XML 檔案。
  4. 點選「建立」。
- 透過 REST
  1. 將 XML 中繼資料轉換為 base64url 編碼字串。
  2. 取得存取權杖。
  3. 執行下列指令：
```
curl --request POST \
    --header 'authorization: Bearer ACCESS_TOKEN' \
    --header 'Content-Type: application/json' \
    --header 'Accept-API-Version: resource=1.0' \
    --data-raw '{"standardMetadata": "BASE64URL_ENCODED_METADATA"}' \
    'https://TENANT_ENV_FQDN/am/json/realms/root/realms/alpha/realm-config/saml2/remote?_action=importEntity'
```

建立信任圈 (CoT)

依序前往「Realms」> REALM_NAME >「Applications」>「Federation」>「Circles of Trust」。
按一下「新增信任圈」。
輸入名稱並按一下 [建立]。
在「信任圈」頁面的「實體供應商」屬性中，選取代管的 IdP 和 Cloud de Confiance 遠端 SP。
按一下 [儲存變更]。

建立 PingOne AIC 工作團隊身分集區提供者

本節說明如何建立員工身分集區提供者，讓 IdP 使用者存取 Cloud de Confiance。您可以設定提供者使用 SAML 通訊協定。

建立 SAML 工作團隊身分集區提供者

如要建立 SAML 工作團隊身分識別集區提供者，請確保識別資訊提供者中繼資料至少包含 SAML 實體 ID、單一登入網址和一組簽署用公開金鑰。詳細步驟如下：
gcloud
1. 儲存 PingOne AIC 應用程式的 SAML 中繼資料。
2. 如要建立 SAML 工作團隊身分集區提供者，請執行下列指令：
  
  gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \ --workforce-pool="WORKFORCE_POOL_ID" \ --display-name="DISPLAY_NAME" \ --description="DESCRIPTION" \ --idp-metadata-path="XML_METADATA_PATH" \ --attribute-mapping="ATTRIBUTE_MAPPING" \ --attribute-condition="ATTRIBUTE_CONDITION" \ --location=global
  
  更改下列內容：
  
  WORKFORCE_PROVIDER_ID：供應商 ID。
  
  WORKFORCE_POOL_ID：員工身分集區 ID。
  
  DISPLAY_NAME：顯示名稱。
  
  DESCRIPTION：說明。
  
  XML_METADATA_PATH：從 PingOne AIC 匯出的 XML 格式中繼資料檔案路徑。
  
  ATTRIBUTE_MAPPING：屬性對應，例如 google.subject=assertion.subject,google.groups=assertion.attributes.groups,attribute.department=assertion.attributes.department[0]。
  
  ATTRIBUTE_CONDITION：選用的屬性條件；舉例來說，如要將 ipaddr 屬性限制在特定 IP 範圍內，可以設定 assertion.ipaddr.startsWith('98.11.12.') 條件。
  
  詳情請參閱「屬性對應」。
  
  這項指令會將 SAML 判斷中的 subject、groups 和 department 分別指派給 google.subject、google.groups 和 attribute.department 屬性。屬性條件也會確保只有特定 IP 範圍內的使用者，才能使用這個員工身分提供者登入。
控制台
如要使用 Cloud de Confiance 控制台設定 SAML 供應商，請執行下列操作：
1. 前往 Cloud de Confiance 控制台的「Workforce Identity Pools」(員工身分集區) 頁面：前往「Workforce Identity Pools」(員工身分集區)
2. 在「Workforce Identity Pools」(員工身分集區) 表格中，選取要建立提供者的集區。
3. 在「供應商」部分，按一下「新增供應商」。
4. 在「Select a Provider vendor」清單中，選取「Generic Identity Provider」。
5. 在「選取驗證通訊協定」中，選取「SAML」。
6. 在「建立供應商」部分，執行下列操作：
  
  在「名稱」部分，輸入供應商名稱。
  
  選用：在「Description」(說明) 中輸入供應商說明。
  
  在「IDP metadata file (XML)」中，選取從 PingOne AIC 匯出的中繼資料 XML 檔案。
  
  確認已啟用「Enabled provider」(已啟用供應商)。
  
  按一下「繼續」。
7. 在「分享供應商資訊」部分中，按一下「繼續」。
8. 在「設定供應商」部分，完成下列步驟：
  
  在「屬性對應」中，輸入 google.subject 的 CEL 運算式 (例如 assertion.subject)。
  
  選用：如要輸入其他對應，請按一下「新增對應」，然後輸入其他對應，例如：
  
  google.subject=assertion.subject, google.groups=assertion.attributes['https://example.com/aliases'], attribute.costcenter=assertion.attributes.costcenter[0]
  
  選用：如要新增屬性條件，請按一下「新增條件」，然後輸入代表屬性條件的 CEL 運算式。舉例來說，如要將 ipaddr 屬性限制在特定 IP 範圍，可以設定 assertion.attributes.ipaddr.startsWith('98.11.12.') 條件。這個條件範例可確保只有 IP 位址開頭為 98.11.12. 的使用者，才能使用這個員工身分提供者登入。
9. 如要啟用詳細稽核記錄，請在「詳細記錄」中，點按「啟用屬性值稽核記錄」切換鈕。
10. 如要建立提供者，請按一下「Submit」(提交)。

管理 Cloud de Confiance 資源存取權

本節說明如何管理 PingOne AIC 使用者的 Cloud de Confiance 資源存取權。

本指南中使用的範例專案，可能與您用來設定員工身分聯盟的專案不同。

您可以管理單一身分、身分群組或整個集區的角色。詳情請參閱「允許政策的員工主體 ID」。

使用對應的部門屬性

如要為 TEST_PROJECT_ID 專案中特定部門的所有身分授予「儲存空間管理員」角色 (roles/storage.admin)，請執行下列指令：

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.department/DEPARTMENT_VALUE"

更改下列內容：

TEST_PROJECT_ID：專案 ID。
WORKFORCE_POOL_ID：員工身分集區 ID。
DEPARTMENT_VALUE：對應的 attribute.department 值。

使用對應群組

如要為 TEST_PROJECT_ID 專案的 GROUP_ID 群組內所有身分授予「儲存空間管理員」角色 (roles/storage.admin)，請執行下列指令：

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

更改下列內容：

TEST_PROJECT_ID：專案 ID。
WORKFORCE_POOL_ID：員工身分集區 ID。
GROUP_ID：對應的 google.groups 聲明中的群組。

在本節中，您將以工作團隊身分集區使用者身分登入，並測試存取權。

如要登入 Cloud de Confiance by S3NS 員工身分聯盟控制台 (又稱聯合控制台)，請按照下列步驟操作：

前往主控台 (聯合) 登入頁面。

前往主控台 (已同盟)

輸入提供者名稱，格式如下：

locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

如要使用瀏覽器登入流程登入 gcloud CLI，請按照下列步驟操作：

執行下列指令，建立登入設定檔：

Linux 和 macOS

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

Windows (PowerShell)

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

注意：您可以選擇新增 --activate 旗標，將登入設定檔設為 gcloud CLI 的預設設定檔。接著，您就可以執行 gcloud auth login 來授權 gcloud CLI，不必每次都指定登入設定檔路徑。

更改下列內容：

WORKFORCE_POOL_ID：員工身分聯盟集區 ID。
WORKFORCE_PROVIDER_ID：員工身分聯盟提供者 ID。
LOGIN_CONFIG_PATH：登入設定檔的寫入路徑。例如：login-config.json。

登入設定檔包含 gcloud CLI 啟動瀏覽器式驗證流程時使用的端點，並將對象設為工作團隊身分集區提供者中設定的 IdP。檔案不含機密資訊。

登入設定檔內容類似於下列範例：

{
  "universe_domain": "s3nsapis.fr",
  "universe_cloud_web_domain": "cloud.s3nscloud.fr",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.s3nscloud.fr/authorize",
  "token_url": "https://sts.s3nsapis.fr/v1/oauthtoken",
  "token_info_url": "https://sts.s3nsapis.fr/v1/introspect"
}

使用環境變數或使用中 gcloud CLI 設定中的屬性，指向登入設定檔，或直接搭配 gcloud auth login 指令使用：

環境變數

如要搭配環境變數使用登入設定檔，請完成下列操作說明：

將 CLOUDSDK_AUTH_LOGIN_CONFIG_FILE 環境變數設為登入設定檔的路徑。
執行下列指令：
```
gcloud auth login
```
gcloud CLI 會參照環境變數，找出登入設定檔，然後啟動驗證程序。按照瀏覽器式流程驗證及授權 gcloud CLI，以便日後代表您存取資源。

如要停止使用 gcloud auth login 指令的登入設定檔，請清除 CLOUDSDK_AUTH_LOGIN_CONFIG_FILE 環境變數。

gcloud CLI 設定

如要搭配使用登入設定檔和 gcloud CLI 設定屬性，請完成下列操作說明：

使用下列指令，將有效 gcloud CLI 設定的 auth/login_config_file 屬性設為登入設定檔的路徑：
```
gcloud config set auth/login_config_file LOGIN_CONFIG_PATH
```
執行下列指令：
```
gcloud auth login
```
gcloud CLI 會參照設定屬性來尋找登入設定檔，然後啟動驗證程序。按照瀏覽器式流程驗證及授權 gcloud CLI，以便日後代表您存取資源。

如要停止使用登入設定檔執行 gcloud auth login 指令，請使用下列指令取消設定屬性：

gcloud config unset auth/login_config_file

如要直接使用登入設定檔搭配 gcloud auth login 指令，請完成下列操作說明：

如果您在建立登入設定檔時使用 --activate 旗標，請執行下列指令：
```
gcloud auth login
```
如果您在建立登入設定檔時未使用 --activate 旗標，請執行下列指令：
Linux 和 macOS
gcloud auth login \ --login-config=LOGIN_CONFIG_PATH
Windows (PowerShell)
gcloud auth login ` --login-config=LOGIN_CONFIG_PATH
請將 LOGIN_CONFIG_PATH 替換為登入設定檔的路徑。

gcloud auth login 指令會將存取憑證儲存在主目錄中。經過驗證的主體會成為有效 gcloud CLI 設定中的有效主體。除非遭到覆寫，否則 gcloud CLI 會使用這些已儲存的憑證存取 Cloud de Confiance by S3NS。

如要使用 SAML 通訊協定，透過 gcloud CLI 登入 PingOne AIC，請按照下列步驟操作：

讓使用者登入 PingOne AIC 應用程式，並取得 SAML 回應。
將 PingOne AIC 傳回的 SAML 回應儲存在本機電腦的安全位置。將路徑儲存在環境變數中，例如：SAML_ASSERTION_PATH=/tmp/saml_assertion.xml。

產生設定檔：

gcloud iam workforce-pools create-cred-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --subject-token-type=urn:ietf:params:oauth:token-type:saml2 \
    --credential-source-file=SAML_ASSERTION_PATH \
    --workforce-pool-user-project=PROJECT_ID \
    --output-file=config.json

更改下列內容：

SAML_ASSERTION_PATH：SAML 聲明檔案的路徑。
PROJECT_ID：專案 ID。

產生的設定檔類似於下列內容：

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "subject_token_type": "urn:ietf:params:oauth:token-type:saml2",
  "token_url": "https://sts.googleapis.com/v1/token",
  "credential_source": {
    "file": "SAML_ASSERTION_PATH"
  },
  "workforce_pool_user_project": "PROJECT_ID"
}

如要使用權杖交換登入 gcloud CLI，請執行下列指令：
```
gcloud auth login --cred-file=config.json
```
gcloud，然後以透明方式將您的 PingOne AIC 憑證換成臨時存取權杖，讓您對 gcloud發出其他呼叫 Cloud de Confiance。 Cloud de Confiance 輸出結果會與下列內容相似：

Authenticated with external account user credentials for: [principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/USER_ID].
如要列出已通過驗證的帳戶和有效帳戶，請執行下列指令：
```
gcloud auth list
```

測試存取權

您可以存取獲准存取的 Cloud de Confiance 支援員工身分聯盟的服務。在本指南稍早的內容中，您已為專案 TEST_PROJECT_ID 的特定部門或群組內所有身分授予 Storage Admin 角色。您可以列出 Cloud Storage 值區，測試自己是否具備存取權。

控制台 (聯盟) 登入

如要在主控台 (已聯合) 中驗證存取權，請執行下列步驟：

前往「Cloud Storage」頁面。
確認您可以看到專案 TEST_PROJECT_ID 的現有 bucket 清單。

gcloud CLI

如要列出您有權存取的專案 Cloud Storage bucket 和物件，請執行下列指令：

gcloud alpha storage ls --project="TEST_PROJECT_ID"

主體必須具備 gcloud CLI 工作階段中設定的專案權限：serviceusage.services.usePROJECT_ID。

使用 PingOne AIC 設定員工身分聯盟

事前準備

建立代管 IdP

使用屬性

匯出供應商中繼資料

將 Google 匯入為遠端 SP

建立信任圈 (CoT)

建立 PingOne AIC 工作團隊身分集區提供者

建立 SAML 工作團隊身分集區提供者

gcloud

控制台

管理 Cloud de Confiance 資源存取權

使用對應的部門屬性

使用對應群組

登入並測試存取權

登入

控制台 (聯盟) 登入

Google Cloud CLI 瀏覽器式登入

Linux 和 macOS

Windows (PowerShell)

環境變數

gcloud CLI 設定

gcloud auth login

Linux 和 macOS

Windows (PowerShell)

gcloud CLI 無頭登入

測試存取權

控制台 (聯盟) 登入

gcloud CLI

後續步驟