Configure a federação de identidades de cargas de trabalho com o Active Directory

OIDC

Para permitir que as cargas de trabalho usem o OIDC, precisa de dois registos de aplicações no AD FS:

• Um registo de aplicação do tipo aplicação nativa ou aplicação de servidor.

• Um registo de aplicação do tipo API Web que corresponde a um fornecedor do Workload Identity Pool no Trusted Cloud.

Registar a aplicação cliente

Crie uma aplicação cliente que represente a carga de trabalho. Se tiver várias cargas de trabalho que precisam de acesso à Trusted Cloud, pode ter de criar várias aplicações cliente.

Para registar uma aplicação cliente no AD FS, faça o seguinte:

1. Abra o snap-in MMC do AD FS e navegue para Grupos de aplicações.
2. Clique em Adicionar grupo de aplicações.

3. Na página Boas-vindas, faça o seguinte:

   1. No campo de texto, introduza um nome para o cliente.
   2. Selecione Aplicação de servidor.
   3. Clicar em Seguinte.

4. Na página Aplicação de servidor, faça o seguinte:

   1. No campo de texto text-field, introduza um identificador de cliente (ID de cliente) e um URI de redirecionamento.

      Se planeia usar apenas o tipo de autorização client_credentials, o URI de redirecionamento não é usado e pode usar um URI, como http://localhost/.

   2. Clicar em Seguinte.

5. Na página Configure as credenciais da aplicação, faça o seguinte:

   1. Escolha como o cliente faz a autenticação. Para usar a IWA, defina a opção Autenticação integrada do Windows como ativada.
   2. Selecione o utilizador do domínio para o qual a sua aplicação está configurada para ser executada.
   3. Clicar em Seguinte.

6. Na página Resumo, reveja as definições e clique em Seguinte.

7. Clique em Fechar para ignorar a caixa de diálogo.

Criar uma aplicação de API Web para o Workload Identity Pool

Crie outro registo de aplicação do tipo API Web. Esta aplicação corresponde a um fornecedor do Workload Identity Pool e usa-o para configurar uma relação de confiança com Trusted Cloud.

Para criar a aplicação no AD FS, faça o seguinte:

1. Abra o snap-in MMC do AD FS e navegue para Grupos de aplicações.
2. Clique em Adicionar grupo de aplicações.
3. Na página de boas-vindas, introduza um nome, como Workload Identity Federation (test environment), e selecione API Web. Em seguida, clique em Seguinte.

4. Na página Configurar API Web, introduza um identificador de parte fidedigna para a API Web.

   Em vez de definir um identificador de parte fidedigna personalizado, pode usar o URI seguinte como identificador de parte fidedigna:

   https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/WORKLOAD_POOL_ID/providers/WORKLOAD_PROVIDER_ID
   

   Substitua o seguinte:

   • PROJECT_NUMBER: o número do projeto do projeto que usa para criar o conjunto de identidades da carga de trabalho. Trusted Cloud
   • WORKLOAD_POOL_ID: um ID à sua escolha que identifica o Workload Identity Pool. Tem de usar o mesmo ID quando criar o Workload Identity Pool mais tarde.
   • WORKLOAD_PROVIDER_ID: um ID à sua escolha que identifica o fornecedor do Workload Identity Pool. Tem de usar o mesmo ID quando criar o fornecedor do Workload Identity Pool mais tarde.

   A formatação do URI desta forma garante que o identificador da parte fidedigna identifica exclusivamente um fornecedor do Workload Identity Pool.

   Precisa do identificador da parte fidedigna mais tarde quando configurar o fornecedor do Workload Identity Pool.

5. Clicar em Seguinte.

6. Na página Aplicar política de controlo de acesso, selecione uma política de acesso adequada e, de seguida, clique em Seguinte.

7. Na página Configurar autorizações da aplicação, adicione a aplicação cliente que criou anteriormente. Em seguida, clique em Seguinte.

8. Na página Resumo, reveja as definições e clique em Seguinte.

9. Clique em Fechar para ignorar a caixa de diálogo.

SAML ou WS-Trust

Crie uma relação de confiança de entidade confiável no AD FS:

1. Abra o snap-in MMC do AD FS.
2. Navegue para Relações de confiança de partes fidedignas.
3. Clique em Adicionar confiança de parte fidedigna.
4. Na página Boas-vindas do assistente Adicionar confiança de parte fidedigna, faça o seguinte:
   1. Selecione Com reconhecimento de reivindicações
   2. Clique em Iniciar.
5. Na página Selecionar origem de dados, faça o seguinte:
   1. Selecione Introduzir dados sobre a entidade fidedigna manualmente.
   2. Clicar em Seguinte.

6. Na página Especifique o nome a apresentar, faça o seguinte:

   1. Introduza um nome para a confiança.
   2. Clicar em Seguinte.

7. Na página Configurar certificado, clique em Seguinte. Embora a Workload Identity Federation suporte SAML encriptado, não é descrita neste procedimento. Para saber mais, consulte as instruções da CLI gcloud em Crie o Workload Identity Pool e o fornecedor, mais adiante neste guia.

8. Na página Configurar URL, faça o seguinte:

   SAML

   Use as seguintes definições:

   • Defina a opção Ativar compatibilidade com o protocolo WebSSO SAML 2.0 como ativada

   • No campo URL do serviço SSO SAML 2.0 da parte fidedigna, introduza o seguinte URL:

     https://sts.s3nsapis.fr/v1/token
     

   WS-Trust

   Manter as predefinições

9. Clicar em Seguinte.

10. Na página Configurar identificadores, introduza um identificador de parte fidedigna.

    Em vez de definir um identificador de parte fidedigna personalizado, pode usar o seguinte URI como identificador de parte fidedigna:

    https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/WORKLOAD_POOL_ID/providers/WORKLOAD_PROVIDER_ID
    

    Substitua o seguinte:

    • PROJECT_NUMBER: o número do projeto do projeto que usa para criar o conjunto de identidades da carga de trabalho. Trusted Cloud
    • WORKLOAD_POOL_ID: um ID à sua escolha que identifica o Workload Identity Pool. Tem de usar o mesmo ID quando criar o Workload Identity Pool mais tarde.
    • WORKLOAD_PROVIDER_ID: um ID à sua escolha que identifica o fornecedor do Workload Identity Pool. Tem de usar o mesmo ID quando criar o fornecedor do Workload Identity Pool mais tarde.

    A formatação do URI desta forma garante que o identificador da parte fidedigna identifica exclusivamente um fornecedor do Workload Identity Pool.

    Precisa do identificador da parte fidedigna mais tarde quando configurar o fornecedor do Workload Identity Pool.

11. Clicar em Seguinte.

12. Na página Escolha a política de controlo de acesso, selecione uma política de controlo de acesso adequada e, de seguida, clique em Seguinte.

13. Na página Pronto para adicionar confiança, reveja as definições e clique em Seguinte.

14. Na página Concluir, clique em Fechar para ignorar a caixa de diálogo.

Para serem compatíveis com a Workload Identity Federation, as afirmações SAML têm de conter, pelo menos, uma reivindicação que identifique exclusivamente o utilizador do Active Directory. Normalmente, usa a reivindicação Name ID para este fim, que corresponde ao valor do elemento NameID na declaração SAML.

Para personalizar o conjunto de reivindicações da declaração SAML, tem de editar a política de emissão de reivindicações da relação de confiança da parte fidedigna. Para editar a política de emissão de reivindicações, faça o seguinte:

1. Na lista de relações de confiança de partes fidedignas, selecione a relação de confiança que acabou de criar e clique em Editar política de emissão de reivindicações.
2. Clique em Adicionar regra
3. Na página Escolher tipo de regra do assistente Adicionar regra de reivindicação de transformação, faça o seguinte:
   1. Selecione Transformar uma reivindicação recebida.
   2. Clicar em Seguinte.

4. Na página Configurar regra de reivindicação, configure as seguintes definições:

   • Nome da regra de reivindicação: Name Identifier.
   • Tipo de reivindicação recebida: selecione SID principal, UPN ou uma reivindicação diferente para identificar o assunto de forma exclusiva.
   • Tipo de reivindicação de saída: ID do nome.
   • Formato do ID do nome de saída: não especificado.

5. Selecione Transmitir todos os valores de reivindicação e clique em Concluir.

6. Opcionalmente, configure regras adicionais para incluir mais atributos nas afirmações SAML.

7. Clique em OK para fechar a caixa de diálogo da política de emissão de reivindicações.

OIDC

Os seus mapeamentos de atributos podem usar as reivindicações incorporadas em tokens de acesso do AD FS como atributos de origem.

Para autenticar uma aplicação, pode usar o seguinte mapeamento de atributos:

google.subject=assertion.appid

Esta mapeamento define google.subject para o valor da reivindicação appid, que contém o ID do cliente da aplicação AD FS.

SAML ou WS-Trust

Os mapeamentos de atributos podem usar as reivindicações incorporadas na declaração emitida pelo AD FS, conforme descrito anteriormente neste guia.

Use o seguinte mapeamento para permitir que a Workload Identity Federation use a reivindicação Name ID da declaração SAML para identificar o utilizador de forma exclusiva:

google.subject=assertion.subject

Se configurou a sua política de emissão de reivindicações para incluir reivindicações adicionais em afirmações SAML, pode adicionar mapeamentos adicionais. Por exemplo:

google.groups=assertion.attributes['http://schemas.microsoft.com/ws/2008/06/identity/claims/groupsid']
attribute.userip=['http://schemas.microsoft.com/2014/09/requestcontext/claims/userip'][0]

OIDC

Pode usar uma condição de atributo para restringir os clientes que podem usar a Workload Identity Federation para obter tokens de curta duração.Trusted Cloud

Por exemplo, a seguinte condição define que as aplicações têm de usar a IWA para fazer a autenticação no AD FS:

assertion.authmethod=='http://schemas.microsoft.com/ws/2008/06/identity/authenticationmethod/windows'

Para controlar a lista de aplicações que podem obter credenciais de curta duração para Trusted Cloud, não defina condições de atributos. Em alternativa, use autorizações de cliente no AD FS para definir as aplicações permitidas.

SAML ou WS-Trust

Pode usar uma condição de atributo para restringir os utilizadores do Active Directory que podem usar a Workload Identity Federation para obter tokensTrusted Cloud de curta duração.

Por exemplo, a condição seguinte só permite afirmações SAML que incluem uma determinada reivindicação de associação a um grupo:

"S-1-5-6" in google.groups

Consola

1. Na Trusted Cloud consola, aceda à página Novo fornecedor e grupo de cargas de trabalho.

   Aceda a Novo fornecedor e Workload Identity Pool

2. Em Crie um Identity Pool, introduza o seguinte:

   • Nome: nome do conjunto. O nome também é usado como ID do conjunto. Não pode alterar o ID do conjunto mais tarde.
   • Descrição: texto que descreve a finalidade do grupo.

3. Clique em Continuar.

4. Configure as definições do fornecedor:

   OIDC

   • Selecione um fornecedor: OpenID Connect (OIDC).
   • Nome do fornecedor: o nome do fornecedor. O nome também é usado como o ID do fornecedor. Não pode alterar o ID do fornecedor mais tarde.
   • URL do emissor: https://ADFS_DOMAIN/adfs onde ADFS_DOMAIN é o nome de domínio público do servidor ou farm do AD FS.

   SAML

   Para configurar a federação de identidade da carga de trabalho a partir de um IdP compatível com SAML 2.0, pode usar as instruções da CLI gcloud.

5. Clique em Continuar.

6. Em Configurar atributos do fornecedor, adicione os mapeamentos de atributos que identificou anteriormente.

7. Em Condições de atributos, introduza a condição de atributo que identificou anteriormente. Deixe o campo em branco se não tiver uma condição de atributo.

8. Clique em Guardar para criar o Workload Identity Pool e o fornecedor.

gcloud

1. Crie um novo Workload Identity Pool:

   gcloud iam workload-identity-pools create WORKLOAD_POOL_ID \
       --location="global" \
       --description="DESCRIPTION" \
       --display-name="DISPLAY_NAME"
   

   Substitua o seguinte:

   • WORKLOAD_POOL_ID: ID exclusivo do conjunto.
   • DISPLAY_NAME: nome do grupo.
   • DESCRIPTION: descrição da piscina. Esta descrição é apresentada quando concede acesso a identidades de pool.

2. Adicione um fornecedor do Workload Identity Pool:

   OIDC

   gcloud iam workload-identity-pools providers create-oidc WORKLOAD_PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="WORKLOAD_POOL_ID" \
       --issuer-uri="https://ADFS_DOMAIN/adfs" \
       --allowed-audiences="RELYING_PARTY_ID" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
   

   Substitua o seguinte:

   • WORKLOAD_PROVIDER_ID: um ID exclusivo para o fornecedor.
   • WORKLOAD_POOL_ID: o ID do conjunto.
   • ADFS_DOMAIN: o nome do domínio público do servidor ou farm do AD FS.
   • RELYING_PARTY_ID: o identificador da parte fidedigna da aplicação da API Web para o conjunto de identidades da carga de trabalho no AD FS. Só precisa deste parâmetro se usar um identificador de parte fidedigna personalizado.
   • MAPPINGS: lista separada por vírgulas de mapeamentos de atributos que identificou anteriormente.
   • CONDITIONS: condição do atributo que identificou anteriormente. Remova o parâmetro se não tiver uma condição de atributo.

   O prefixo gcp- está reservado e não pode ser usado num ID do Workload Identity Pool ou do fornecedor do Workload Identity Pool.

   SAML ou WS-Trust

   curl -O https://ADFS_DOMAIN/federationmetadata/2007-06/federationmetadata.xml
   
   gcloud iam workload-identity-pools providers create-saml WORKLOAD_PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="POOL_ID" \
       --idp-metadata-path="federationmetadata.xml" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
   

   Substitua o seguinte:

   • WORKLOAD_PROVIDER_ID: um ID exclusivo para o fornecedor.
   • ADFS_DOMAIN: o nome de domínio do seu servidor AD FS ou conjunto de servidores.
   • WORKLOAD_POOL_ID: o ID do conjunto.
   • MAPPINGS: uma lista separada por vírgulas de mapeamentos de atributos que identificou anteriormente.
   • CONDITIONS: opcional: a condição do atributo que criou anteriormente neste guia.

   O prefixo gcp- está reservado e não pode ser usado num ID do Workload Identity Pool ou do fornecedor do Workload Identity Pool.

   Exemplo:

   gcloud iam workload-identity-pools providers create-saml example-provider \
       --location="global" \
       --workload-identity-pool="pool-1" \
       --idp-metadata-path="federationmetadata.xml" \
       --attribute-mapping=google.subject=assertion.subject"
   

   Opcional: aceite afirmações SAML encriptadas do seu IdP

   Para permitir que o seu IdP SAML 2.0 produza afirmações SAML encriptadas que podem ser aceites pela federação de identidade da carga de trabalho, faça o seguinte:

   • Na federação de identidade da carga de trabalho, faça o seguinte:
   • Crie um par de chaves assimétricas para o fornecedor do Workload Identity Pool.
   • Transferir um ficheiro de certificado que contém a chave pública.
   • Configure o seu IdP SAML para usar a chave pública para encriptar as afirmações SAML que emite.
   • No IdP, faça o seguinte:
   • Ative a encriptação de afirmações, também conhecida como encriptação de tokens.
   • Carregue a chave pública que criou na federação de identidade da carga de trabalho.
   • Confirme que o seu IdP produz afirmações SAML encriptadas.

   Tenha em atenção que, mesmo com as chaves do fornecedor de encriptação SAML configuradas, a federação de identidade da carga de trabalho pode continuar a processar uma afirmação de texto simples.

   Crie chaves de encriptação de afirmações SAML de federação de identidade da força de trabalho

   Esta secção explica como criar um par de chaves assimétricas que permite à federação de identidades de cargas de trabalho aceitar afirmações SAML encriptadas.

   Trusted Cloud by S3NS usa a chave privada para desencriptar as afirmações SAML emitidas pelo seu IdP. Para criar um par de chaves assimétricas para utilização com a encriptação SAML, execute o seguinte comando. Para saber mais, consulte o artigo Algoritmos de encriptação SAML suportados.

   gcloud iam workload-identity-pools providers keys create KEY_ID \
       --workload-identity-pool WORKLOAD_POOL_ID \
       --provider WORKLOAD_PROVIDER_ID \
       --location global \
       --use encryption \
       --spec KEY_SPECIFICATION

   Substitua o seguinte:

   • KEY_ID: um nome de chave à sua escolha
   • WORKLOAD_POOL_ID: o ID da piscina
   • WORKLOAD_PROVIDER_ID: o ID do fornecedor do Workforce Identity Pool
   • KEY_SPECIFICATION: a especificação principal, que pode ser uma das seguintes: rsa-2048, rsa-3072 e rsa-4096.

   Depois de criar o par de chaves, para transferir a chave pública para um ficheiro de certificado, execute o seguinte comando. Apenas a federação de identidade da carga de trabalho tem acesso à chave privada.

   gcloud iam workload-identity-pools providers keys describe KEY_ID \
       --workload-identity-pool WORKLOAD_POOL_ID \
       --provider WORKLOAD_PROVIDER_ID \
       --location global \
       --format "value(keyData.key)" \
       > CERTIFICATE_PATH

   Substitua o seguinte:

   • KEY_ID: o nome da chave
   • WORKLOAD_POOL_ID: o ID da piscina
   • WORKLOAD_PROVIDER_ID: o ID do fornecedor do Workforce Identity Pool
   • CERTIFICATE_PATH: o caminho para escrever o certificado, por exemplo, saml-certificate.cer ou saml-certificate.pem

   Configure o seu IdP compatível com SAML 2.0 para emitir afirmações SAML encriptadas

   1. Mova o ficheiro de certificado para o servidor do AD FS.
   2. No servidor AD FS, clique com o botão direito do rato no botão Iniciar (ou prima Win+X) e clique em Windows PowerShell (administrador).
   3. No PowerShell, execute o seguinte comando para ativar a encriptação:

              Set-AdfsRelyingPartyTrust `
              -TargetName NAME `
              -SamlResponseSignature MessageAndAssertion `
              -EncryptionCertificate PATH `
              -EncryptClaims $True
          

      Substitua o seguinte:

      • NAME: o nome da sua confiança de parte fidedigna
      • PATH: o caminho do ficheiro de certificado

   Utilizadores do WS-Trust: esta funcionalidade só está disponível quando usa SAML.

   Depois de configurar o IdP para encriptar afirmações SAML, recomendamos que verifique se as afirmações que gera estão realmente encriptadas. Mesmo com a encriptação de afirmações SAML configurada, a federação de identidade da carga de trabalho ainda pode processar afirmações de texto simples.

   Elimine as chaves de encriptação da federação de identidade da carga de trabalho

   Para eliminar chaves de encriptação SAML, execute o seguinte comando:

     gcloud iam workload-identity-pools providers keys delete KEY_ID \
         --workload-identity-pool WORKLOAD_POOL_ID \
         --provider WORKLOAD_PROVIDER_ID \
         --location global

   Substitua o seguinte:

   • KEY_ID: o nome da chave
   • WORKLOAD_POOL_ID: o ID da piscina
   • WORKLOAD_PROVIDER_ID: o ID do fornecedor do Workforce Identity Pool

   Algoritmos de encriptação SAML suportados

   A federação de identidade da carga de trabalho suporta os seguintes algoritmos de transporte de chaves:

   • http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p
   • http://www.w3.org/2009/xmlenc11#rsa-oaep"
   • http://www.w3.org/2001/04/xmlenc#rsa-1_5"

   A federação de identidade da carga de trabalho suporta os seguintes algoritmos de encriptação de blocos:

   • http://www.w3.org/2001/04/xmlenc#aes128-cbc
   • http://www.w3.org/2001/04/xmlenc#aes192-cbc
   • http://www.w3.org/2001/04/xmlenc#aes256-cbc
   • http://www.w3.org/2009/xmlenc11#aes128-gcm
   • http://www.w3.org/2009/xmlenc11#aes256-gcm

OIDC

Esta funcionalidade só está disponível quando usa SAML.

SAML ou WS-Trust

1. Crie uma chave de encriptação para o seu fornecedor do Workload Identity Pool:

   gcloud iam workload-identity-pools providers keys create rsa2048 \
       --workload-identity-pool=POOL_ID \
       --provider=WORKLOAD_PROVIDER_ID \
       --location=global \
       --use=ENCRYPTION \
       --spec=RSA_2048
   

   Substitua o seguinte:

   • WORKLOAD_PROVIDER_ID: ID do fornecedor.
   • POOL_ID: o ID do conjunto.

   O par de chaves é armazenado e gerido pela federação de identidade da força de trabalho. Pode exportar a chave pública, mas apenas a Workload Identity Federation pode aceder à chave privada.

2. Exporte um certificado que contenha a chave pública:

   gcloud iam workload-identity-pools providers keys describe rsa2048 \
       --workload-identity-pool=POOL_ID \
       --provider=WORKLOAD_PROVIDER_ID \
       --location=global \
       --format="value(keyData.key)" > workload-identity-federation.cer
   

3. Mova o ficheiro de certificado para o servidor do AD FS.

4. No servidor AD FS, clique com o botão direito do rato em Iniciar e, de seguida, clique em Windows PowerShell (administrador).

5. No PowerShell, modifique a confiança da parte fidedigna para que use a encriptação:

   Set-AdfsRelyingPartyTrust `
     -TargetName NAME `
     -SamlResponseSignature MessageAndAssertion `
     -EncryptionCertificate PATH `
     -EncryptClaims $True
   

   Substitua o seguinte:

   • NAME: o nome da sua confiança de parte fidedigna
   • PATH: o caminho do ficheiro de certificado

Acesso direto aos recursos

Pode conceder acesso a uma identidade federada diretamente nos recursos através da Trusted Cloud consola ou da CLI gcloud.

Simulação de identidade de conta de serviço

1. Para criar uma conta de serviço para a carga de trabalho externa, faça o seguinte:

   2. Enable the IAM, Security Token Service, and Service Account Credentials APIs.

      Enable the APIs

   3. Crie uma conta de serviço que represente a carga de trabalho. Recomendamos que use uma conta de serviço dedicada para cada carga de trabalho. A conta de serviço não tem de estar no mesmo projeto que o conjunto de identidades de carga de trabalho, mas tem de fazer referência ao projeto que contém a conta de serviço.

   4. Conceda acesso à conta de serviço aos recursos aos quais quer que as identidades externas acedam.

2. Para permitir que a identidade federada use a identidade da conta de serviço, faça o seguinte:

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE"