Configura la federación de identidades para cargas de trabajo con otros proveedores de identidad

OIDC

• El IdP es compatible con OpenID Connect 1.0.

• El IdP tiene un URI de entidad emisora.

• Cloud de Confiance puede acceder a un conjunto de claves web JSON (JWKS) que contiene claves web JSON (JWK). Las JWK se usan para validar los tokens de aserción de OIDC. Puedes proporcionar acceso al JWKS con uno de los siguientes métodos:

  • Cloud de Confiance descarga metadatos de OIDC del IdP a través de una URL de Discovery conocida, disponible públicamente y accesible por Internet. Dentro de los metadatos, la URL de JWKS debe protegerse con SSL y TLS. La URL de JWKS debe comenzar con https://. Cloud de Confiance no admite URLs de JWKS que estén protegidas con certificados autofirmados.

    De forma predeterminada, Cloud de Confiance agrega /.well-known/openid-configuration al URI de la entidad emisora para ubicar la URL de descubrimiento. Si tu IdP aloja los metadatos de descubrimiento en un extremo personalizado, puedes especificar un URI de descubrimiento personalizado (--discovery-uri) (versión preliminar).

    El URI de descubrimiento personalizado debe cumplir con los siguientes requisitos:

    • El URI debe comenzar con https://.
    • El URI no puede superar los 2,000 caracteres.
    • El esquema, el host y el puerto deben coincidir con el URI del emisor.
    • La ruta del URI debe contener /.well-known/<suffix> (donde <suffix> no está vacío, como openid-configuration) y cumplir con una de las siguientes topologías de URL de la entidad emisora:
    • El segmento de ruta conocido se inserta antes de la ruta de la entidad emisora (por ejemplo, https://example.com/.well-known/openid-configuration/tenant1 para la entidad emisora https://example.com/tenant1).
    • El segmento de ruta conocido se agrega debajo de la ruta de la entidad emisora (por ejemplo, https://example.com/tenant1/.well-known/openid-configuration para la entidad emisora https://example.com/tenant1).

    Cloud de Confiance usa estas URLs de extremos para descargar las claves web JSON (JWK) de tu IdP y usa estas claves para validar los tokens. Cloud de Confiance no limita la cantidad de claves que puede descargar.

  • Puedes subir un archivo JWKS de OIDC directamente a Cloud de Confiance cuando creas o actualizas el proveedor del grupo de identidades para cargas de trabajo de OIDC. Para ello, usa la marca --jwk-json-path para proporcionar una ruta de acceso a tu archivo JWKS. Puedes usar este método cuando la URL del extremo de metadatos de OIDC del IdP no sea de acceso público. Se puede subir un máximo de 8 claves a Cloud de Confiance. Como práctica recomendada, te sugerimos que rotes tus claves de JWKS con regularidad actualizando el archivo JWKS.

• Si federas cargas de trabajo de AWS con la federación de identidades de salida de AWS, AWS actúa como tu IdP de OIDC. Para preparar tu entorno de AWS, sigue estos pasos:

  1. Habilita la federación de identidades saliente en la configuración de tu cuenta de AWS para generar tu URL de entidad emisora de OIDC única.

  2. Asegúrate de que tus cargas de trabajo de AWS (como los perfiles de instancias de EC2 o los roles de tareas de ECS) tengan la política de IAM de AWS requerida que otorga permiso para obtener tokens web JSON (JWT).

SAML

• El IdP es compatible con SAML 2.0.

• El IdP proporciona un documento de metadatos del SP de SAML que describe la configuración del proveedor de servicios de SAML y contiene el certificado de firma del IdP.

  Cloud de Confiance usa este certificado para validar las aserciones y respuestas de SAML.

• El certificado de firma del IdP debe contener una clave ECDSA o RSA que esté dentro de un certificado X.509 v3.

• Entre los algoritmos de firma recomendados, se incluyen los siguientes:

  • ECDSAwithSHA256
  • RSAwithSHA256 con tamaños de clave admitidos de 2048, 3072 y 4096 bits.

• El certificado de firma debe cumplir con los siguientes requisitos de validez:

  • notBefore: una marca de tiempo que no sea superior a 7 días en el futuro
  • notAfter: una marca de tiempo que no sea más de 25 años en el futuro

Puedes configurar un proveedor de grupos de identidades para cargas de trabajo de SAML con un máximo de tres certificados de firma de SAML en un momento determinado. Esta limitación no se aplica a otros tipos de proveedores de grupos de identidades para cargas de trabajo, como OIDC y X.509. Cuando existen varios certificados, Cloud de Confiance itera a través de ellos y trata de usar cada certificado no vencido para entregar una solicitud de intercambio de tokens.

Como práctica recomendada de seguridad, te recomendamos que no vuelvas a usar el mismo par de claves con otros servicios.

OIDC

Configura tu IdP para que tu carga de trabajo pueda obtener tokens de ID que cumplan con los siguientes criterios:

• Los tokens se firman con el algoritmo RS256 o ES256.

• Los tokens contienen una reclamación aud con el siguiente valor:

  https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID
  

  Reemplaza lo siguiente:

  • PROJECT_NUMBER: Es el número del proyecto de Cloud de Confiance que usas para crear un grupo de identidades para cargas de trabajo.
  • POOL_ID: Es un ID que elijas que identifique el grupo de identidades para cargas de trabajo. Debes usar el mismo ID cuando crees el grupo de identidades para cargas de trabajo más adelante.
  • WORKLOAD_PROVIDER_ID: Es un ID que elijas que identifique al proveedor de grupos de identidades para cargas de trabajo. Debes usar el mismo ID cuando crees el proveedor de grupos de identidades para cargas de trabajo más adelante.

  Como alternativa, puedes configurar el proveedor del grupo de identidades para cargas de trabajo para que espere un público personalizado.

• Los tokens contienen una reclamación exp que es futura y una reclamación iat que es pasada.

  El valor de exp debe ser mayor que el de iat en 24 horas como máximo.

• Tokens vinculados a certificados (versión preliminar): De manera opcional, los tokens pueden incluir una reclamación cnf (confirmación) que contenga una huella digital del certificado SHA-256 (x5t#S256):

  "cnf": {
    "x5t#S256": "BASE64URL_SHA256_CERT_FINGERPRINT"
  }
  

  El valor de x5t#S256 debe ser el hash SHA-256 codificado en base64url de la codificación DER del certificado X.509 de tu cliente. Cuando se presenta un token que contiene esta reclamación a la federación de identidades para cargas de trabajo a través de una conexión de TLS mutua (mTLS) (sts.mtls.googleapis.com), el Servicio de tokens de seguridad valida que la huella digital coincida con el certificado de cliente presentado durante el protocolo de enlace TLS y emite un token de acceso de corta duración vinculado criptográficamente al certificado.

  Para ayudar a proteger los recursos contra el robo de tokens y los ataques repetidos, aplica tokens vinculados a certificados configurando políticas de acceso adaptado al contexto.

Por lo general, es mejor usar tokens de ID cuando realizas un intercambio de tokens, ya que estos reflejan la identidad del usuario. Si decides usar tokens de acceso, asegúrate de que cumplan con los siguientes requisitos adicionales:

• Los tokens de acceso tienen el formato de token web JSON.

• Los tokens de acceso contienen una reclamación ISSUER para que la URL ISSUER/.well-known/openid-configuration apunte al extremo de metadatos OIDC del IdP.

• Para subir claves JWK locales (vista previa), consulta Administra JWKs de OIDC.

SAML

Configura tu IdP para que las aserciones de SAML contengan elementos que cumplan con los siguientes criterios:

• Un elemento Issuer configurado en el ID de entidad configurado en el proveedor del grupo de identidades para cargas de trabajo. El formato de la entidad emisora debe omitirse o establecerse en urn:oasis:names:tc:SAML:2.0:nameid-format:entity.
• Un elemento Subject con lo siguiente:
  • un elemento NameID.
  • Exactamente un elemento SubjectConfirmation con Method establecido en urn:oasis:names:tc:SAML:2.0:cm:bearer.
  • un elemento SubjectConfirmationData con NotOnOrAfter configurado en una marca de tiempo que se produce en el futuro y no hay un valor NotBefore

• Un elemento Conditions con lo siguiente:

  • Se omitió NotBefore o pertenece al pasado.
  • Se omitió NotOnOrAfter o pertenece al futuro.

  • Un Audience con el siguiente formato:

    https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID
    

    Reemplaza lo siguiente:

    • PROJECT_NUMBER: Es el número del proyecto de Cloud de Confiance que usas para crear el grupo de identidades para cargas de trabajo.
    • POOL_ID: Es un ID que elijas que identifique el grupo de identidades para cargas de trabajo. Debes usar el mismo ID cuando crees el grupo de identidades para cargas de trabajo más adelante.
    • WORKLOAD_PROVIDER_ID: Es un ID que elijas que identifique al proveedor de grupos de identidades para cargas de trabajo. Debes usar el mismo ID cuando crees el proveedor de grupos de identidades para cargas de trabajo más adelante.

• al menos un elemento AuthnStatement.

• un elemento SessionNotOnOrAfter con una marca de tiempo que ocurra en el futuro. Como alternativa, omite el elemento.

Para las aserciones de SAML que se incluyen en una respuesta de SAML, esta debe contener lo siguiente:

• exactamente una aserción que cumpla con los criterios de aserción de SAML que se describieron antes en esta sección.
• un atributo IssueInstant con un valor de menos de 1 hora de antigüedad.
• el código de estado urn:oasis:names:tc:SAML:2.0:status:Success.

Se debe firmar la aserción de SAML, la respuesta o ambas.

OIDC

Las asignaciones de atributos pueden usar las reclamaciones incorporadas en el token de ID o el token de acceso emitido por el IdP externo.

Debes asignar una de estas reclamaciones a google.subject para identificar de forma única al usuario. Para protegerte contra las amenazas de falsificación de identidad, elige un reclamo con un valor único que no pueda cambiarse.

Muchos IdP propagan la reclamación sub con un ID único e inmutable. Para estos IdP, considera asignar la reclamación sub a google.subject:

google.subject=assertion.sub

Evita usar una reclamación como email con este propósito. Por lo general, las direcciones de correo electrónico se pueden reasignar o cambiar, por lo que no identifican de forma única y permanente a un usuario.

Asigna atributos de actor con delegación de identidad (versión preliminar): Cuando usas la delegación de identidad, el servicio de tokens de seguridad combina las reclamaciones de sujeto y las reclamaciones de actor, lo que expone las reclamaciones de actor en el objeto de reclamación act. Puedes hacer referencia a las reclamaciones de actor en tus asignaciones de atributos con assertion.act.<claim_name>.

Cuando se realiza un intercambio de tokens delegado, solo se evalúan y aplican las asignaciones de atributos y las condiciones de los atributos del proveedor de sujetos. Se ignoran las asignaciones o condiciones de atributos configuradas en el proveedor de actores.

Por ejemplo, puedes asignar el identificador de sujeto y el URI de la entidad emisora del actor a atributos personalizados de Google:

attribute.actor_subject=assertion.act.sub,attribute.actor_issuer=assertion.act.iss

Si se usa la delegación de varios saltos, los actores upstream se anidan dentro de assertion.act.act. Sin embargo, no se garantiza el orden de las reclamaciones anidadas.

SAML

Tus asignaciones de atributos pueden usar los elementos <Subject> y <Attribute> incorporados en la aserción emitida por el IdP externo. Se puede hacer referencia a los atributos de SAML mediante las siguientes palabras clave:

• assertion.subject, contiene el NameID del usuario autenticado que se encontró en el elemento <Subject>.
• assertion.attributes['ATTRIBUTE_NAME'], contiene una lista de valores para el <Attribute> con nombre similar.

Debes asignar una de estas reclamaciones a google.subject para identificar de forma única al usuario. Para protegerte contra las amenazas de falsificación de identidad, elige un reclamo con un valor único que no pueda cambiarse.

Muchos IdP propagan el NameId con un ID único e inmutable. Para estos IdP, considera asignar el atributo NameId a google.subject:

google.subject=assertion.subject

Evita usar un atributo como http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress para este fin. Por lo general, las direcciones de correo electrónico se pueden reasignar o cambiar, por lo que no identifican de forma única y permanente a un usuario.

OIDC

Puedes usar una condición de atributo para restringir qué usuarios pueden usar la federación de identidades para cargas de trabajo para obtener tokens de Cloud de Confiance de corta duración.

Por ejemplo, la siguiente condición restringe el acceso a los tokens que contienen una reclamación service_account personalizada con un valor true:

assertion.service_account==true

Condiciones de delegación de identidad (token de actor) (versión preliminar): Cuando usas la delegación de identidad, puedes usar condiciones de atributos de CEL para restringir qué actores pueden realizar operaciones en nombre de los sujetos o aplicar reclamaciones específicas en el token de actor.

Por ejemplo, la siguiente condición requiere que haya un token de actor presente y que el actor se haya originado de una entidad emisora esperada:

has(assertion.act) && assertion.act.iss == 'https://actor-idp.example.com'

Para restringir el acceso a un identificador de sujeto de actor específico, haz lo siguiente:

assertion.act.sub == 'authorized-agent-worker'

SAML

Puedes usar una condición de atributo para restringir qué usuarios pueden usar la federación de identidades para cargas de trabajo para obtener tokens de Cloud de Confiance de corta duración.

Por ejemplo, la siguiente condición restringe el acceso a las aserciones que contienen un atributo https://example.com/SAML/Attributes/AllowGcpFederation personalizado con un valor true:

assertion.attributes['https://example.com/SAML/Attributes/AllowGcpFederation'][0]=='true'

Console

1. En la consola de Cloud de Confiance , ve a la página Nuevo proveedor y grupo de cargas de trabajo.

   Ir a Nuevo proveedor y grupo de cargas de trabajo

2. En Crear un grupo de identidades, ingresa lo siguiente:

   • Nombre: Es el nombre del grupo. El nombre también se usa como el ID del grupo. No puedes cambiar el ID del grupo más adelante.
   • Descripción: Es el texto que describe el propósito del grupo.

3. Haz clic en Continuar.

4. Establece la configuración del proveedor de la siguiente manera:

   OIDC

   • En Selecciona un proveedor, elige OpenID Connect (OIDC).
   • En Nombre del proveedor, ingresa un nombre para el proveedor. El nombre también se usa como el ID del proveedor. No puedes cambiar el ID del proveedor después de crearlo.
   • En URL del emisor, ingresa la URL del emisor de tu IdP. La URL debe comenzar con https://.
   • Opcional: En Archivo JWK (JSON), elige un archivo JWK para subir. Si no se proporciona este campo, Cloud de Confiance intenta recuperar un JWK de la entidad emisora.
   • Público permitido: Público esperado de tokens de ID.

   SAML

   • En Selecciona un proveedor, selecciona SAML.
   • En Nombre del proveedor, ingresa un nombre para el proveedor. El nombre también se usa como el ID del proveedor. No puedes cambiar el ID del proveedor después de crearlo.
   • En Archivo de metadatos de IdP (XML), sube el documento XML de metadatos de SAML que proporciona tu IdP.

5. Haz clic en Continuar.

6. En Configura los atributos del proveedor, agrega las asignaciones de atributos que identificaste antes en esta guía.

7. En Condiciones del atributo, ingresa la condición del atributo que identificaste antes en esta guía. Deja el campo en blanco si no tienes una condición de atributo.

8. Para crear el grupo de identidades para cargas de trabajo y el proveedor, haz clic en Guardar.

gcloud

1. Para crear un nuevo grupo de identidades para cargas de trabajo, ejecuta el siguiente comando:

   gcloud iam workload-identity-pools create POOL_ID \
       --location="global" \
       --description="DESCRIPTION" \
       --display-name="DISPLAY_NAME"
   

   Reemplaza lo siguiente:

   • POOL_ID: el ID único para el grupo.
   • DISPLAY_NAME: el nombre del grupo.
   • DESCRIPTION: una descripción del grupo que eliges. Esta descripción aparece cuando otorgas acceso a identidades de grupo.

2. Para agregar un proveedor de grupos de identidades para cargas de trabajo, haz lo siguiente:

   OIDC

   Para agregar un proveedor de grupos de identidades para cargas de trabajo de OIDC, ejecuta el siguiente comando:

   gcloud iam workload-identity-pools providers create-oidc WORKLOAD_PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="POOL_ID" \
       --issuer-uri="ISSUER" \
       --discovery-uri="DISCOVERY_URI" \
       --allowed-audiences="AUDIENCE" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS" \
       --jwk-json-path="JWK_JSON_PATH" \
       --actor-providers="ACTOR_PROVIDERS"
   

   Reemplaza lo siguiente:

   • WORKLOAD_PROVIDER_ID: Es un ID de proveedor de grupos de identidades para cargas de trabajo único que elijas.
   • POOL_ID: Es el ID del grupo de identidades para cargas de trabajo que creaste antes.
   • ISSUER: Es un URI de la entidad emisora, como se define en los metadatos de OIDC.
   • DISCOVERY_URI Versión preliminar: Es una URL de descubrimiento personalizada opcional para recuperar metadatos de OIDC si tu IdP no aloja el extremo de descubrimiento de OIDC conocido en https://<issuer_url>/.well-known/openid-configuration. El esquema, el host y el puerto deben coincidir con el ISSUER, y la ruta de acceso debe cumplir con la topología de la URL de la entidad emisora (que contiene /.well-known/<suffix>).
   • AUDIENCE: El público esperado de los tokens de ID, que, para muchos proveedores, coincide con el ID de cliente.
   • MAPPINGS: Una lista separada por comas de las asignaciones de atributos que creaste antes en esta guía.
   • CONDITIONS: Es una condición de atributo opcional que creaste antes en esta guía. Quita el parámetro si no tienes una condición de atributo.
   • JWK_JSON_PATH: Una ruta de acceso opcional a un JWK de OIDC subido de forma local. Si no se proporciona este parámetro, Cloud de Confiance usa la URL de Discovery (DISCOVERY_URI o la ruta de acceso /.well-known/openid-configuration de tu IdP) para obtener los JWK que contienen las claves públicas.
   • ACTOR_PROVIDERS Versión preliminar: Es una lista opcional separada por comas de los nombres de recursos completos de los proveedores de grupos de identidades para cargas de trabajo en el mismo grupo que están autorizados para emitir tokens de actor para este proveedor (por ejemplo, projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/ACTOR_PROVIDER_ID). El ID del contenedor del proyecto en el nombre del recurso debe coincidir con el formato que se usa para el proveedor del sujeto (ambos usan el número de proyecto numérico o ambos usan el ID del proyecto). Puedes especificar un máximo de tres proveedores de actores. Para obtener más información, consulta Configura la delegación de identidad y los tokens de actor.

   SAML

   Para agregar un proveedor de grupos de identidades para cargas de trabajo de SAML, ejecuta el siguiente comando:

   gcloud iam workload-identity-pools providers create-saml WORKLOAD_PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="POOL_ID" \
       --idp-metadata-path="IDP_METADATA_PATH" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
   

   Reemplaza lo siguiente:

   • POOL_ID: el ID del grupo.
   • IDP_METADATA_PATH: la ruta local al documento de metadatos del IdP de SAML
   • MAPPINGS: una lista separada por comas de las asignaciones de atributos que creaste antes en esta guía.
   • CONDITIONS: la condición de atributo que creaste antes en esta guía (opcional).

   El prefijo gcp- está reservado y no se puede usar en un ID de grupo de identidades de personal ni de proveedor de grupo de identidades de personal.

   Opcional: Acepta las aserciones de SAML encriptadas de tu IdP

   Para permitir que tu IdP de SAML 2.0 produzca aserciones de SAML encriptadas que la federación de identidades de personal pueda aceptar, haz lo siguiente:

   • En la federación de identidades para cargas de trabajo, haz lo siguiente:
   • Crea un par de claves asimétricas para tu proveedor de grupos de identidades para cargas de trabajo.
   • Descargar un archivo de certificado que contenga la clave pública
   • Configura tu IdP de SAML para usar la clave pública a fin de encriptar las aserciones de SAML que emite.
   • En el IdP, haz lo siguiente:
   • Habilita la encriptación de aserciones, también conocida como encriptación de tokens.
   • Sube la clave pública que creaste en la federación de identidades para cargas de trabajo.
   • Confirma que tu IdP produzca aserciones de SAML encriptadas.

   Ten en cuenta que, incluso con las claves de proveedor de encriptación de SAML configuradas, la federación de identidades para cargas de trabajo aún puede procesar una aserción de texto simple.

   Crea claves de encriptación de aserciones de SAML de la federación de identidades para cargas de trabajo

   En esta sección, se explica cómo crear un par de claves asimétricas que permite que la federación de identidades para cargas de trabajo acepte aserciones de SAML encriptadas.

   Cloud de Confiance by S3NS usa la clave privada para desencriptar las aserciones de SAML que emite tu IdP. Para crear un par de claves asimétricas que se usarán con la encriptación SAML, ejecuta el siguiente comando. Para obtener más información, consulta Algoritmos de encriptación de SAML compatibles.

   gcloud iam workload-identity-pools providers keys create KEY_ID \
       --workload-identity-pool WORKLOAD_POOL_ID \
       --provider WORKLOAD_PROVIDER_ID \
       --location global \
       --use encryption \
       --spec KEY_SPECIFICATION

   Reemplaza lo siguiente:

   • KEY_ID: un nombre de clave que elijas
   • WORKLOAD_POOL_ID: el ID del grupo
   • WORKLOAD_PROVIDER_ID: Es el ID del proveedor del grupo de identidades de personal.
   • KEY_SPECIFICATION: la especificación de clave, que puede ser rsa-2048, rsa-3072 y rsa-4096.

   Después de crear el par de claves, ejecuta el siguiente comando para descargar la clave pública en un archivo de certificado. Solo la federación de identidades de personal tiene acceso a la clave privada.

   gcloud iam workload-identity-pools providers keys describe KEY_ID \
       --workload-identity-pool WORKLOAD_POOL_ID \
       --provider WORKLOAD_PROVIDER_ID \
       --location global \
       --format "value(keyData.key)" \
       > CERTIFICATE_PATH

   Reemplaza lo siguiente:

   • KEY_ID: el nombre de la clave
   • WORKLOAD_POOL_ID: el ID del grupo
   • WORKLOAD_PROVIDER_ID: Es el ID del proveedor del grupo de identidades de personal.
   • CERTIFICATE_PATH: la ruta en la que se escribe el certificado, por ejemplo, saml-certificate.cer o saml-certificate.pem

   Configura tu IdP compatible con SAML 2.0 para emitir aserciones de SAML encriptadas

   Configura tu IdP de SAML para usar el certificado público descargado del último paso a fin de encriptar las aserciones de SAML que emite. Consulta al equipo de IdP para obtener instrucciones específicas.

   Después de configurar tu IdP para encriptar las aserciones de SAML, te recomendamos que te asegures de que las aserciones que genera en realidad estén encriptadas. Incluso con la encriptación de aserciones de SAML configurada, la federación de identidades de personal puede procesar aserciones de texto simple.

   Borra claves de encriptación de la federación de Workload Identity

   Para borrar claves de encriptación de SAML, ejecuta el siguiente comando:

     gcloud iam workload-identity-pools providers keys delete KEY_ID \
         --workload-identity-pool WORKLOAD_POOL_ID \
         --provider WORKLOAD_PROVIDER_ID \
         --location global

   Reemplaza lo siguiente:

   • KEY_ID: el nombre de la clave
   • WORKLOAD_POOL_ID: el ID del grupo
   • WORKLOAD_PROVIDER_ID: Es el ID del proveedor del grupo de identidades de personal.

   Algoritmos de encriptación SAML compatibles

   La federación de identidades de personal admite los siguientes algoritmos de transporte de claves:

   • http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p
   • http://www.w3.org/2009/xmlenc11#rsa-oaep"
   • http://www.w3.org/2001/04/xmlenc#rsa-1_5"

   La federación de identidades para cargas de trabajo admite los siguientes algoritmos de encriptación de bloques:

   • http://www.w3.org/2001/04/xmlenc#aes128-cbc
   • http://www.w3.org/2001/04/xmlenc#aes192-cbc
   • http://www.w3.org/2001/04/xmlenc#aes256-cbc
   • http://www.w3.org/2009/xmlenc11#aes128-gcm
   • http://www.w3.org/2009/xmlenc11#aes256-gcm

Acceso directo a recursos

Puedes otorgar acceso a una identidad federada directamente en los recursos con la consola de Cloud de Confiance o gcloud CLI.

Uso de identidad temporal como cuenta de servicio

1. Para crear una cuenta de servicio para la carga de trabajo externa, haz lo siguiente:

   1. Habilita las APIs de IAM, Security Token Service y Service Account Credentials, si aún no están habilitadas.

      Roles necesarios para habilitar las APIs

      Para habilitar las APIs, necesitas el permiso serviceusage.services.enable. Si creaste el proyecto, es probable que ya tengas este permiso a través del rol de propietario (roles/owner). De lo contrario, puedes obtenerlo a través del rol de administrador de Service Usage (roles/serviceusage.serviceUsageAdmin). Obtén más información para otorgar roles.

      Habilitar las API

   2. Crea una cuenta de servicio que represente la carga de trabajo. Te recomendamos que uses una cuenta de servicio dedicada para cada carga de trabajo. No es necesario que la cuenta de servicio esté en el mismo proyecto que el grupo de identidades para cargas de trabajo, pero debes consultar el proyecto que contiene la cuenta de servicio.

   3. Otorga acceso a la cuenta de servicio a los recursos a los que deseas que accedan las identidades externas.

2. Para permitir que la identidad federada actúe en nombre de la cuenta de servicio, haz lo siguiente:

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE"

Credenciales basadas en ejecutables

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --service-account-token-lifetime-seconds=SERVICE_ACCOUNT_TOKEN_LIFETIME \
    --sts-location=REGION \
    --output-file=FILEPATH.json \
    --executable-command=EXECUTABLE_COMMAND \
    --executable-timeout-millis=EXECUTABLE_TIMEOUT \
    --executable-output-file=EXECUTABLE_OUTPUT_FILE

Reemplaza lo siguiente:

• PROJECT_NUMBER: Es el número del proyecto que contiene el grupo de identidades para cargas de trabajo.
• POOL_ID: Es el ID del grupo de identidades para cargas de trabajo.
• WORKLOAD_PROVIDER_ID: El ID del proveedor de grupos de Workload Identity
• SERVICE_ACCOUNT_EMAIL: Si usas la identidad temporal como cuenta de servicio, reemplaza por la dirección de correo electrónico de la cuenta de servicio. Omite esta marca si no usas la identidad temporal como cuenta de servicio.
• SERVICE_ACCOUNT_TOKEN_LIFETIME: Si usas la identidad temporal como cuenta de servicio, reemplaza por la vida útil del token de acceso de la cuenta de servicio, en segundos; el valor predeterminado es de una hora cuando no se proporciona. Omite esta marca si no usas la identidad temporal como cuenta de servicio. Para especificar un ciclo de vida de más de una hora, debes configurar la restricción de la política de la organización constraints/iam.allowServiceAccountCredentialLifetimeExtension.
• REGION: Opcional Especifica la región de los extremos regionales del servicio de tokens de seguridad, si están disponibles.
• FILEPATH: El archivo en el que se guardará la configuración
• EXECUTABLE_COMMAND: Es el comando completo, incluidos los argumentos, que se ejecuta para recuperar el token de ID de OIDC, por ejemplo, --executable-command="/path/to/command --foo=bar".
• EXECUTABLE_TIMEOUT: La duración opcional en milisegundos que se esperará para que se ejecute el ejecutable (el valor predeterminado es de 30 segundos).
• EXECUTABLE_OUTPUT_FILE: Es una ruta de acceso que apunta a las credenciales de 3PI que genera el ejecutable. Esto es útil para almacenar en caché las credenciales. Si especificas esta ruta de acceso, las bibliotecas de Auth verificarán su existencia antes de ejecutar el archivo ejecutable.

Credenciales basadas en archivos

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --service-account-token-lifetime-seconds=SERVICE_ACCOUNT_TOKEN_LIFETIME \
    --sts-location=REGION \
    --output-file=FILEPATH.json \
    --credential-source-file=TOKEN_FILEPATH \
    --credential-source-type=SOURCE_TYPE \
    --credential-source-field-name=FIELD_NAME \
    --actor-token-field-name=ACTOR_FIELD_NAME \
    --actor-token-type=ACTOR_TOKEN_TYPE \
    --credential-cert-path=WORKLOAD_CERTIFICATE_PATH \
    --credential-cert-private-key-path=WORKLOAD_KEY_PATH \
    --credential-cert-configuration-output-file=CERT_CONFIG_FILEPATH

Reemplaza lo siguiente:

• PROJECT_NUMBER: Es el número del proyecto que contiene el grupo de identidades para cargas de trabajo.
• POOL_ID: Es el ID del grupo de identidades para cargas de trabajo.
• WORKLOAD_PROVIDER_ID: El ID del proveedor de grupos de Workload Identity
• SERVICE_ACCOUNT_EMAIL: Si usas la identidad temporal como cuenta de servicio, reemplaza por la dirección de correo electrónico de la cuenta de servicio. Omite esta marca si no usas la identidad temporal como cuenta de servicio.
• SERVICE_ACCOUNT_TOKEN_LIFETIME: Si usas la identidad temporal como cuenta de servicio, reemplaza por la vida útil del token de acceso de la cuenta de servicio, en segundos; el valor predeterminado es de una hora cuando no se proporciona. Omite esta marca si no usas la identidad temporal como cuenta de servicio. Para especificar un ciclo de vida de más de una hora, debes configurar la restricción de la política de la organización constraints/iam.allowServiceAccountCredentialLifetimeExtension.
• REGION: Opcional Especifica la región de los extremos regionales del servicio de tokens de seguridad, si están disponibles.
• FILEPATH: El archivo en el que se guardará la configuración.
• TOKEN_FILEPATH: La ruta en la que se almacenan los tokens de ID de OIDC.
• SOURCE_TYPE: El formato del archivo de token de ID de OIDC, configurado como text (predeterminado) o json. Si se especifica la marca --actor-token-field-name, se debe establecer en json.
• FIELD_NAME: El campo en el archivo de texto que contiene el token (si SOURCE_TYPE es json).
• ACTOR_FIELD_NAME (versión preliminar): Opcional. Si usas la delegación de actores, especifica el campo en el archivo JSON (TOKEN_FILEPATH) que contiene el token del actor. Debe ser diferente de FIELD_NAME. Omite esta marca si no usas la delegación de actores.
• ACTOR_TOKEN_TYPE (versión preliminar): Opcional. Es el tipo de token del token de actor cuando se especifica la marca --actor-token-field-name. El valor predeterminado es urn:ietf:params:oauth:token-type:jwt. Omite esta marca si no usas la delegación de actores.
• WORKLOAD_CERTIFICATE_PATH (versión preliminar): Opcional. Si usas tokens vinculados a certificados, especifica la ruta de acceso al archivo de certificado de hoja X.509 codificado con PEM de tu carga de trabajo. Cuando se especifica esta marca, gcloud CLI configura los extremos de mTLS (sts.mtls.googleapis.com y iamcredentials.mtls.googleapis.com) y genera un archivo de configuración de certificado.
• WORKLOAD_KEY_PATH (versión preliminar): Opcional. Es la ruta de acceso al archivo de clave privada codificado con PEM para el certificado X.509 de tu carga de trabajo. Si se especifica la marca --credential-cert-path, esta marca es obligatoria.
• CERT_CONFIG_FILEPATH (versión preliminar): Opcional. Es una ruta de acceso de salida personalizada para el archivo de configuración del certificado generado. Si omites esta marca y especificas la marca --credential-cert-path, gcloud CLI escribe certificate_config.json en la ubicación de configuración predeterminada de gcloud CLI (~/.config/gcloud/certificate_config.json en Linux y macOS, o %APPDATA%\gcloud\certificate_config.json en Windows).

Las configuraciones de credenciales resultantes que incluyen la delegación de actores con las marcas --actor-token-field-name y --actor-token-type solo son compatibles con la biblioteca de Google Auth para Java.

Credenciales basadas en URL

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --service-account-token-lifetime-seconds=SERVICE_ACCOUNT_TOKEN_LIFETIME \
    --sts-location=REGION \
    --output-file=FILEPATH.json \
    --credential-source-url="TOKEN_URL" \
    --credential-source-headers="KEY_1=VALUE_1,KEY_2=VALUE_2" \
    --credential-source-type=SOURCE_TYPE \
    --credential-source-field-name=FIELD_NAME

Reemplaza lo siguiente:

• PROJECT_NUMBER: Es el número del proyecto que contiene el grupo de identidades para cargas de trabajo.
• POOL_ID: Es el ID del grupo de identidades para cargas de trabajo.
• WORKLOAD_PROVIDER_ID: Es el ID del proveedor de grupos de identidades para cargas de trabajo.
• SERVICE_ACCOUNT_EMAIL: Si usas la identidad temporal como cuenta de servicio, reemplaza por la dirección de correo electrónico de la cuenta de servicio. Omite esta marca si no usas la identidad temporal como cuenta de servicio.
• SERVICE_ACCOUNT_TOKEN_LIFETIME: Si usas la identidad temporal como cuenta de servicio, reemplaza por la vida útil del token de acceso de la cuenta de servicio, en segundos; el valor predeterminado es de una hora cuando no se proporciona. Omite esta marca si no usas la identidad temporal como cuenta de servicio. Para especificar un ciclo de vida de más de una hora, debes configurar la restricción de la política de la organización constraints/iam.allowServiceAccountCredentialLifetimeExtension.
• REGION: Opcional Especifica la región de los extremos regionales del servicio de tokens de seguridad, si están disponibles.
• FILEPATH: El archivo para guardar la configuración.
• TOKEN_URL: Es la URL de la que se recuperará el token de ID de OIDC.
• KEY_n, VALUE_n: Son los encabezados personalizados que se deben incluir en la solicitud HTTP a TOKEN_URL.
• SOURCE_TYPE: Es el formato del archivo de token de ID de OIDC, configurado como text (predeterminado) o json.
• FIELD_NAME: Es el campo en el archivo de texto que contiene el token (si SOURCE_TYPE es json).