Configurar la federación de identidades de cargas de trabajo con otros proveedores de identidades

OIDC

• El IdP es compatible con OpenID Connect 1.0.

• El IdP tiene un URI de emisor.

• El JWK del proveedor de identidades que se usa para verificar un token de aserción OIDC se puede proporcionar de una de las siguientes formas:

  • Endpoints de metadatos de OIDC protegidos con SSL y TLS. Las URLs de los endpoints deben empezar por https:// y los endpoints deben ser de acceso público a través de Internet. Trusted Cloudno admite los endpoints protegidos con certificados autofirmados.

    Trusted Cloud usa estos endpoints para descargar el JWK de tu proveedor de identidades y usa este conjunto de claves para validar tokens.

  • Archivos JWKS de OIDC que se suben directamente a Trusted Cloud. Si usas este método, no es necesario que el endpoint sea accesible públicamente. Los campos x5c y x5t del JWK no se admiten y deben eliminarse antes de subir el archivo.

SAML

• El IdP es compatible con SAML 2.0.

• El IdP proporciona un documento de metadatos del SP de SAML que describe la configuración del proveedor de servicios SAML y contiene el certificado de firma del IdP.

  Trusted Cloud usa este certificado para validar las aserciones y las respuestas de SAML.

• Los requisitos de la clave de firma X.509 de SAML son los siguientes:

  • Una clave pública RSA encapsulada en un certificado X.509 v3.

  • Requisitos de validez de los certificados:

    • notBefore: una marca de tiempo que no sea posterior a 7 días
    • notAfter: una marca de tiempo que no sea posterior a 25 años

  • Algoritmos recomendados:

    • RSAwithSHA256 (tamaños de clave admitidos [bits]: 2048, 3072 y 4096)
    • ECDSAwithSHA256

Un proveedor de grupos de identidades de carga de trabajo se puede configurar con un máximo de tres claves de firma en un momento dado. Si hay varias claves, Trusted Cloud las recorre e intenta usar cada clave no caducada para completar una solicitud de intercambio de tokens.

Como medida de seguridad recomendada, te aconsejamos que no reutilices el mismo par de claves con otros servicios.

OIDC

Configura tu proveedor de identidades para que tu carga de trabajo pueda obtener tokens de ID que cumplan los siguientes criterios:

• Los tokens se firman con el algoritmo RS256 o ES256.

• Los tokens contienen una reclamación aud con el siguiente valor:

  https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID
  

  Haz los cambios siguientes:

  • PROJECT_NUMBER: el número de proyecto del Trusted Cloud proyecto que usas para crear el grupo de identidades de carga de trabajo.
  • POOL_ID: un ID de tu elección que identifica el grupo de identidades de carga de trabajo. Debe usar el mismo ID cuando cree el grupo de identidades de carga de trabajo más adelante.
  • WORKLOAD_PROVIDER_ID: un ID de tu elección que identifica al proveedor de grupos de identidades de carga de trabajo. Debes usar el mismo ID cuando crees el proveedor de grupos de identidades de carga de trabajo más adelante.

  También puedes configurar el proveedor de grupos de identidades de carga de trabajo para que espere una audiencia personalizada.

• Los tokens contienen una reclamación exp que es futura y una reclamación iat que es pasada.

  El valor de exp debe ser superior al valor de iat en un máximo de 24 horas.

Por lo general, es mejor usar tokens de ID al realizar un intercambio de tokens, ya que reflejan la identidad del usuario. Si decides usar tokens de acceso, asegúrate de que cumplan los siguientes requisitos adicionales:

• Los tokens de acceso tienen el formato JSON Web Token.

• Los tokens de acceso contienen una reclamación ISSUER para que la URL ISSUER/.well-known/openid-configuration apunte al endpoint de metadatos de OIDC del IdP.

• Para subir claves JWK locales, consulta Gestionar JWKs de OIDC.

SAML

Configura tu proveedor de identidades para que las aserciones SAML contengan elementos que cumplan los siguientes criterios:

• Un elemento Issuer que se ha definido como el ID de entidad configurado en el proveedor de grupos de identidades de carga de trabajo. El formato de la entidad emisora debe omitirse o definirse como urn:oasis:names:tc:SAML:2.0:nameid-format:entity.
• un elemento Subject con lo siguiente:
  • un elemento NameID.
  • exactamente un elemento SubjectConfirmation con Method definido como urn:oasis:names:tc:SAML:2.0:cm:bearer.
  • Un elemento SubjectConfirmationData con el atributo NotOnOrAfter definido con una marca de tiempo futura y sin valor NotBefore.

• un elemento Conditions con lo siguiente:

  • NotBefore se ha omitido o es una fecha pasada.
  • NotOnOrAfter se ha omitido o es posterior a la fecha actual.

  • Un Audience con el siguiente formato:

    https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID
    

    Haz los cambios siguientes:

    • PROJECT_NUMBER: el número de proyecto del Trusted Cloud proyecto que usas para crear el grupo de identidades de carga de trabajo.
    • POOL_ID: un ID de tu elección que identifica el grupo de identidades de carga de trabajo. Debe usar el mismo ID cuando cree el grupo de identidades de carga de trabajo más adelante.
    • WORKLOAD_PROVIDER_ID: un ID de tu elección que identifica al proveedor de grupos de identidades de carga de trabajo. Debes usar el mismo ID cuando crees el proveedor de grupos de identidades de carga de trabajo más adelante.

• al menos un elemento AuthnStatement.

• Un elemento SessionNotOnOrAfter con una marca de tiempo que se produce en el futuro. También puedes omitir el elemento.

En el caso de las aserciones SAML que se incluyen en una respuesta SAML, esta debe contener lo siguiente:

• exactamente una aserción que cumpla los criterios de aserción SAML que se describen más arriba en esta sección.
• Un atributo IssueInstant con un valor de menos de una hora.
• StatusCode urn:oasis:names:tc:SAML:2.0:status:Success.

Se debe firmar la aserción SAML, la respuesta o ambas.

OIDC

Tus asignaciones de atributos pueden usar las reclamaciones insertadas en el token de ID o en el token de acceso emitido por el proveedor de identidades externo.

Debe asignar una de estas reclamaciones a google.subject para identificar al usuario de forma única. Para protegerte frente a las amenazas de suplantación de identidad, elige una reclamación con un valor único que no se pueda cambiar.

Muchos proveedores de identidades rellenan la reclamación sub con un ID único e inmutable. En estos proveedores de identidades, puedes asignar la reclamación sub a google.subject:

google.subject=assertion.sub

No uses una afirmación como email para este fin. Las direcciones de correo electrónico se pueden reasignar o cambiar, por lo que no identifican a un usuario de forma única y permanente.

SAML

Tus asignaciones de atributos pueden usar los elementos <Subject> y <Attribute> insertados en la aserción emitida por el proveedor de identidades externo. Se puede hacer referencia a los atributos SAML mediante las siguientes palabras clave:

• assertion.subject contiene el NameID del usuario autenticado que se encuentra en el elemento <Subject>.
• assertion.attributes['ATTRIBUTE_NAME'] contiene una lista de valores para el <Attribute> con el mismo nombre.

Debe asignar una de estas reclamaciones a google.subject para identificar al usuario de forma única. Para protegerte frente a las amenazas de suplantación de identidad, elige una reclamación con un valor único que no se pueda cambiar.

Muchos proveedores de identidades rellenan el NameId con un ID único e inmutable. En el caso de estos proveedores de identidades, puede asignar el atributo NameId a google.subject:

google.subject=assertion.subject

No utilice un atributo como http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress para este fin. Las direcciones de correo suelen poder reasignarse o cambiarse, por lo que no identifican a un usuario de forma única y permanente.

OIDC

Puede usar una condición de atributo para restringir los usuarios que pueden usar la federación de identidades de cargas de trabajo para obtener tokens de corta duración. Trusted Cloud

Por ejemplo, la siguiente condición restringe el acceso a los tokens que contienen una reclamación personalizada service_account con el valor true:

assertion.service_account==true

SAML

Puede usar una condición de atributo para restringir los usuarios que pueden usar la federación de identidades de cargas de trabajo para obtener tokens de corta duración. Trusted Cloud

Por ejemplo, la siguiente condición restringe el acceso a las aserciones que contienen un atributo https://example.com/SAML/Attributes/AllowGcpFederation personalizado con el valor true:

assertion.attributes['https://example.com/SAML/Attributes/AllowGcpFederation'][0]=='true'

Consola

1. En la Trusted Cloud consola, ve a la página Nuevo proveedor y grupo de cargas de trabajo.

   Ve a Nuevo proveedor y grupo de cargas de trabajo.

2. En Create an identity pool (Crear un grupo de identidades), introduce lo siguiente:

   • Nombre: nombre del grupo. El nombre también se usa como ID del grupo. No podrás cambiar el ID del grupo más adelante.
   • Descripción: texto que describe el propósito del grupo.

3. Haz clic en Continuar.

4. Configura los ajustes del proveedor de la siguiente manera:

   OIDC

   • En Seleccionar un proveedor, selecciona OpenID Connect (OIDC).
   • En Nombre del proveedor, escribe el nombre del proveedor. El nombre también se usa como ID de proveedor. No puedes cambiar el ID del proveedor después de crearlo.
   • En Issuer URL (URL del emisor), introduce la URL del emisor de tu proveedor de identidades. La URL debe empezar por https://.
   • Opcional: En Archivo JWK (JSON), elige un archivo JWK para subirlo. Si no se proporciona este campo, Trusted Cloud intentará obtener una JWK del emisor.
   • Audiencias permitidas: audiencia esperada de los tokens de ID.

   SAML

   • En Select a provider (Seleccionar un proveedor), selecciona SAML.
   • En Nombre del proveedor, escribe el nombre del proveedor. El nombre también se usa como ID de proveedor. No puedes cambiar el ID del proveedor después de crearlo.
   • En IDP Metadata file (XML) (Archivo de metadatos del proveedor de identidades [XML]), sube el documento XML de metadatos SAML que te haya proporcionado tu proveedor de identidades.

5. Haz clic en Continuar.

6. En Configurar atributos del proveedor, añade las asignaciones de atributos que has identificado anteriormente en esta guía.

7. En Condiciones de los atributos, introduzca la condición del atributo que ha identificado anteriormente en esta guía. Deje el campo en blanco si no tiene ninguna condición de atributo.

8. Para crear el grupo de identidades de carga de trabajo y el proveedor, haz clic en Guardar.

gcloud

1. Para crear un grupo de identidades de carga de trabajo, ejecuta el siguiente comando:

   gcloud iam workload-identity-pools create POOL_ID \
       --location="global" \
       --description="DESCRIPTION" \
       --display-name="DISPLAY_NAME"
   

   Haz los cambios siguientes:

   • POOL_ID: ID único del grupo.
   • DISPLAY_NAME: el nombre del grupo.
   • DESCRIPTION: una descripción de la piscina que elijas. Esta descripción aparece cuando concedes acceso a identidades de grupo.

2. Para añadir un proveedor de grupos de identidades de carga de trabajo, sigue estos pasos:

   OIDC

   Para añadir un proveedor de grupos de identidades de carga de trabajo OIDC, ejecuta el siguiente comando:

   gcloud iam workload-identity-pools providers create-oidc WORKLOAD_PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="POOL_ID" \
       --issuer-uri="ISSUER" \
       --allowed-audiences="AUDIENCE" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
       --jwk-json-path="JWK_JSON_PATH"
   

   Haz los cambios siguientes:

   • WORKLOAD_PROVIDER_ID: un ID de proveedor de grupos de identidades de carga de trabajo único que elijas.
   • POOL_ID: el ID del grupo de identidades de carga de trabajo que has creado anteriormente.
   • ISSUER: un URI de emisor tal como se define en los metadatos de OIDC.
   • AUDIENCE: la audiencia esperada de los tokens de ID, que, en el caso de muchos proveedores, coincide con el ID de cliente.
   • MAPPINGS: lista separada por comas de asignaciones de atributos que has creado anteriormente en esta guía.
   • CONDITIONS: una condición de atributo opcional que ha creado anteriormente en esta guía. Quita el parámetro si no tienes una condición de atributo.
   • JWK_JSON_PATH: Ruta opcional a un archivo JWKs de OIDC subido localmente. Si no se proporciona este parámetro, Trusted Cloud en su lugar se usa la ruta /.well-known/openid-configuration de tu IdP para obtener los JWKs que contienen las claves públicas.

   SAML

   Para añadir un proveedor de grupos de identidades de carga de trabajo SAML, ejecuta el siguiente comando:

   gcloud iam workload-identity-pools providers create-saml WORKLOAD_PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="POOL_ID" \
       --idp-metadata-path="IDP_METADATA_PATH" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
   

   Haz los cambios siguientes:

   • POOL_ID: el ID del grupo
   • IDP_METADATA_PATH: la ruta local al documento de metadatos del proveedor de identidades SAML
   • MAPPINGS: lista separada por comas de asignaciones de atributos que has creado anteriormente en esta guía
   • CONDITIONS: Opcional: la condición del atributo que has creado anteriormente en esta guía

   El prefijo gcp- está reservado y no se puede usar en un ID de grupo de identidades de Workforce ni en un ID de proveedor de grupos de identidades de Workforce.

   Opcional: Aceptar aserciones SAML cifradas de tu proveedor de identidades

   Para habilitar tu proveedor de identidades SAML 2.0 para que genere aserciones SAML cifradas que pueda aceptar la federación de identidades de carga de trabajo, haz lo siguiente:

   • En la federación de identidades de cargas de trabajo, haz lo siguiente:
   • Crea un par de claves asimétricas para tu proveedor de grupos de identidades de carga de trabajo.
   • Descarga un archivo de certificado que contenga la clave pública.
   • Configura tu proveedor de identidades SAML para que use la clave pública para cifrar las aserciones SAML que emita.
   • En tu proveedor de identidades, haz lo siguiente:
   • Habilita el cifrado de aserciones, también conocido como cifrado de tokens.
   • Sube la clave pública que has creado en la federación de identidades de cargas de trabajo.
   • Confirma que tu IdP genera aserciones SAML cifradas.

   Ten en cuenta que, aunque se hayan configurado claves de proveedor de cifrado SAML, la federación de identidades de cargas de trabajo puede seguir procesando una aserción de texto sin cifrar.

   Crear claves de cifrado de aserciones SAML de federación de identidades de cargas de trabajo

   En esta sección se explica cómo crear un par de claves asimétricas que permita a la federación de identidades de cargas de trabajo aceptar aserciones SAML cifradas.

   Trusted Cloud by S3NS usa la clave privada para descifrar las aserciones SAML que emite tu proveedor de identidades. Para crear un par de claves asimétricas que se pueda usar con el cifrado SAML, ejecuta el siguiente comando. Para obtener más información, consulta Algoritmos de cifrado SAML admitidos.

   gcloud iam workload-identity-pools providers keys create KEY_ID \
       --workload-identity-pool WORKLOAD_POOL_ID \
       --provider WORKLOAD_PROVIDER_ID \
       --location global \
       --use encryption \
       --spec KEY_SPECIFICATION

   Haz los cambios siguientes:

   • KEY_ID: el nombre de la clave que elijas
   • WORKLOAD_POOL_ID: el ID del grupo
   • WORKLOAD_PROVIDER_ID: el ID del proveedor de grupos de identidades de Workforce
   • KEY_SPECIFICATION: la especificación de la clave, que puede ser rsa-2048, rsa-3072 o rsa-4096.

   Una vez creado el par de claves, ejecuta el siguiente comando para descargar la clave pública en un archivo de certificado. Solo la federación de identidades de cargas de trabajo tiene acceso a la clave privada.

   gcloud iam workload-identity-pools providers keys describe KEY_ID \
       --workload-identity-pool WORKLOAD_POOL_ID \
       --provider WORKLOAD_PROVIDER_ID \
       --location global \
       --format "value(keyData.key)" \
       > CERTIFICATE_PATH

   Haz los cambios siguientes:

   • KEY_ID: el nombre de la clave
   • WORKLOAD_POOL_ID: el ID del grupo
   • WORKLOAD_PROVIDER_ID: el ID del proveedor de grupos de identidades de Workforce
   • CERTIFICATE_PATH: la ruta en la que se escribirá el certificado (por ejemplo, saml-certificate.cer o saml-certificate.pem).

   Configurar un IdP compatible con SAML 2.0 para que emita aserciones SAML cifradas

   Configura tu proveedor de identidades SAML para que use el certificado público descargado en el último paso para cifrar las aserciones de SAML que emita. Pídele instrucciones específicas al equipo de tu IdP.

   Una vez que haya configurado su proveedor de identidades para cifrar las aserciones SAML, le recomendamos que compruebe que las aserciones que genera estén cifradas. Aunque se haya configurado el cifrado de aserciones SAML, la federación de identidades de cargas de trabajo puede seguir procesando aserciones de texto sin formato.

   Eliminar claves de cifrado de federación de identidades de cargas de trabajo

   Para eliminar las claves de cifrado SAML, ejecuta el siguiente comando:

     gcloud iam workload-identity-pools providers keys delete KEY_ID \
         --workload-identity-pool WORKLOAD_POOL_ID \
         --provider WORKLOAD_PROVIDER_ID \
         --location global

   Haz los cambios siguientes:

   • KEY_ID: el nombre de la clave
   • WORKLOAD_POOL_ID: el ID del grupo
   • WORKLOAD_PROVIDER_ID: el ID del proveedor de grupos de identidades de Workforce

   Algoritmos de cifrado SAML admitidos

   La federación de identidades de cargas de trabajo admite los siguientes algoritmos de transporte de claves:

   • http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p
   • http://www.w3.org/2009/xmlenc11#rsa-oaep"
   • http://www.w3.org/2001/04/xmlenc#rsa-1_5"

   La federación de identidades de cargas de trabajo admite los siguientes algoritmos de cifrado por bloques:

   • http://www.w3.org/2001/04/xmlenc#aes128-cbc
   • http://www.w3.org/2001/04/xmlenc#aes192-cbc
   • http://www.w3.org/2001/04/xmlenc#aes256-cbc
   • http://www.w3.org/2009/xmlenc11#aes128-gcm
   • http://www.w3.org/2009/xmlenc11#aes256-gcm

Acceso directo a recursos

Puedes conceder acceso a una identidad federada directamente a los recursos mediante la Trusted Cloud consola o la CLI de gcloud.

Suplantación de identidad de cuentas de servicio

1. Para crear una cuenta de servicio para la carga de trabajo externa, sigue estos pasos:

   2. Enable the IAM, Security Token Service, and Service Account Credentials APIs.

      Enable the APIs

   3. Crea una cuenta de servicio que represente la carga de trabajo. Te recomendamos que utilices una cuenta de servicio específica para cada carga de trabajo. La cuenta de servicio no tiene que estar en el mismo proyecto que el grupo de identidades de carga de trabajo, pero debes hacer referencia al proyecto que contiene la cuenta de servicio.

   4. Concede acceso a la cuenta de servicio a los recursos a los que quieras que accedan las identidades externas.

2. Para permitir que la identidad federada suplante la cuenta de servicio, haz lo siguiente:

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE"

Credenciales procedentes de ejecutables

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --service-account-token-lifetime-seconds=SERVICE_ACCOUNT_TOKEN_LIFETIME \
    --output-file=FILEPATH.json \
    --executable-command=EXECUTABLE_COMMAND \
    --executable-timeout-millis=EXECUTABLE_TIMEOUT \
    --executable-output-file=EXECUTABLE_OUTPUT_FILE

Haz los cambios siguientes:

• PROJECT_NUMBER: número del proyecto que contiene el grupo de identidades de carga de trabajo.
• POOL_ID: el ID del grupo de identidades de carga de trabajo.
• WORKLOAD_PROVIDER_ID: el ID del proveedor de grupos de identidades de carga de trabajo.
• SERVICE_ACCOUNT_EMAIL: Si usas la suplantación de identidad de la cuenta de servicio, sustitúyelo por la dirección de correo de la cuenta de servicio. Omite esta marca si no usas la suplantación de identidad de cuentas de servicio.
• SERVICE_ACCOUNT_TOKEN_LIFETIME: si usas la suplantación de identidad de la cuenta de servicio, sustitúyelo por el tiempo de vida del token de acceso de la cuenta de servicio, en segundos. Si no se proporciona, el valor predeterminado es una hora. Omite esta marca si no usas la suplantación de identidad de cuentas de servicio. Para especificar un tiempo de vida superior a una hora, debes configurar la constraints/iam.allowServiceAccountCredentialLifetimeExtension restricción de la política de organización.
• FILEPATH: el archivo en el que se guardará la configuración.
• EXECUTABLE_COMMAND: el comando completo, incluidos los argumentos, que se debe ejecutar para obtener el token de ID de OIDC. Por ejemplo, --executable-command="/path/to/command --foo=bar".
• EXECUTABLE_TIMEOUT: duración opcional en milisegundos que se debe esperar a que se ejecute el archivo ejecutable (el valor predeterminado es 30 s).
• EXECUTABLE_OUTPUT_FILE: una ruta que apunta a las credenciales de terceros generadas por el archivo ejecutable. Esto resulta útil para almacenar en caché las credenciales. Si especificas esta ruta, las bibliotecas de autenticación comprobarán primero si existe antes de ejecutar el archivo ejecutable.

Credenciales procedentes de archivos

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --service-account-token-lifetime-seconds=SERVICE_ACCOUNT_TOKEN_LIFETIME \
    --output-file=FILEPATH.json \
    --credential-source-file=TOKEN_FILEPATH \
    --credential-source-type=SOURCE_TYPE \
    --credential-source-field-name=FIELD_NAME

Haz los cambios siguientes:

• PROJECT_NUMBER: número del proyecto que contiene el grupo de identidades de carga de trabajo.
• POOL_ID: el ID del grupo de identidades de carga de trabajo.
• WORKLOAD_PROVIDER_ID: el ID del proveedor de grupos de identidades de carga de trabajo.
• SERVICE_ACCOUNT_EMAIL: Si usas la suplantación de identidad de una cuenta de servicio, sustitúyelo por la dirección de correo de la cuenta de servicio. Omite esta marca si no usas la suplantación de identidad de cuentas de servicio.
• SERVICE_ACCOUNT_TOKEN_LIFETIME: si usas la suplantación de identidad de la cuenta de servicio, sustitúyelo por el tiempo de vida del token de acceso de la cuenta de servicio, en segundos. Si no se proporciona, el valor predeterminado es una hora. Omite esta marca si no usas la suplantación de identidad de cuentas de servicio. Para especificar un tiempo de vida superior a una hora, debes configurar la constraints/iam.allowServiceAccountCredentialLifetimeExtension restricción de la política de organización.
• FILEPATH: el archivo en el que se guardará la configuración.
• TOKEN_FILEPATH: ruta en la que se almacenan los tokens de ID de OIDC.
• SOURCE_TYPE: formato del archivo de token de ID de OIDC, que puede ser text (valor predeterminado) o json.
• FIELD_NAME: el campo del archivo de texto que contiene el token (si SOURCE_TYPE es json).

Credenciales procedentes de URLs

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --service-account-token-lifetime-seconds=SERVICE_ACCOUNT_TOKEN_LIFETIME \
    --output-file=FILEPATH.json \
    --credential-source-url="TOKEN_URL" \
    --credential-source-headers="KEY_1=VALUE_1,KEY_2=VALUE_2" \
    --credential-source-type=SOURCE_TYPE \
    --credential-source-field-name=FIELD_NAME

Haz los cambios siguientes:

• PROJECT_NUMBER: número de proyecto del proyecto que contiene el grupo de identidades de carga de trabajo.
• POOL_ID: ID del grupo de identidades de carga de trabajo.
• WORKLOAD_PROVIDER_ID: ID del proveedor de grupos de identidades de carga de trabajo
• SERVICE_ACCOUNT_EMAIL: si usas la suplantación de identidad de una cuenta de servicio, sustitúyelo por la dirección de correo de la cuenta de servicio. Omite esta marca si no usas la suplantación de identidad de cuentas de servicio.
• SERVICE_ACCOUNT_TOKEN_LIFETIME: si usas la suplantación de identidad de la cuenta de servicio, sustitúyelo por el tiempo de vida del token de acceso de la cuenta de servicio, en segundos. Si no se proporciona, el valor predeterminado es una hora. Omite esta marca si no usas la suplantación de identidad de cuentas de servicio. Para especificar un tiempo de vida superior a una hora, debes configurar la constraints/iam.allowServiceAccountCredentialLifetimeExtension restricción de la política de organización.
• FILEPATH: archivo en el que se guardará la configuración.
• TOKEN_URL: URL para obtener el token de ID de OIDC
• KEY_n, VALUE_n: encabezados personalizados que se incluirán en la solicitud HTTP a TOKEN_URL
• SOURCE_TYPE: formato del archivo de token de ID de OIDC. El valor predeterminado es text, pero también puede ser json.
• FIELD_NAME: campo del archivo de texto que contiene el token (si SOURCE_TYPE es json)