Configurar a federação de identidade da carga de trabalho com outros provedores de identidade

OIDC

• O IdP é compatível com o OpenID Connect 1.0.

• O IdP tem um URI do emissor.

• Cloud de Confiance pode acessar um conjunto de chaves JSON da Web (JWKS) que contém chaves JSON da Web (JWKs). Os JWKs são usados para validar tokens de declaração do OIDC. É possível fornecer acesso ao JWKS por um dos seguintes métodos:

  • Cloud de Confiance faz o download dos metadados do OIDC do IdP por um URL do Discovery conhecido, disponível publicamente e acessível pela Internet. Nos metadados, o URL do JWKS precisa ser protegido com SSL e TLS. O URL do JWKS precisa começar com https://. O Cloud de Confiance não é compatível com URLs do JWKS protegidos com certificados autoassinados.

    Por padrão, o Cloud de Confiance anexa /.well-known/openid-configuration ao URI do emissor para localizar o URL do Discovery. Se o IdP hospedar os metadados de descoberta em um endpoint personalizado, será possível especificar um URI de descoberta personalizado (--discovery-uri) (pré-lançamento).

    O URI de descoberta personalizado precisa atender aos seguintes requisitos:

    • O URI precisa começar com https://.
    • O URI não pode exceder 2.000 caracteres.
    • O esquema, o host e a porta precisam corresponder ao URI do emissor.
    • O caminho do URI precisa conter /.well-known/<suffix> (em que <suffix> não está vazio, como openid-configuration) e estar em conformidade com uma das seguintes topologias de URL do emissor:
    • O segmento de caminho conhecido é inserido antes do caminho do emissor (por exemplo, https://example.com/.well-known/openid-configuration/tenant1 para o emissor https://example.com/tenant1).
    • O segmento de caminho conhecido é anexado ao caminho do emissor (por exemplo, https://example.com/tenant1/.well-known/openid-configuration para o emissor https://example.com/tenant1).

    OCloud de Confiance usa esses URLs de endpoint para fazer o download das chaves da Web JSON (JWKs) do IdP e usa essas chaves para validar tokens. OCloud de Confiance não limita o número de chaves que podem ser baixadas.

  • É possível fazer upload de um arquivo JWKS do OIDC diretamente para o Cloud de Confiance ao criar ou atualizar o provedor de pool de Identidade da carga de trabalho do OIDC. Para fazer isso, use a flag --jwk-json-path para fornecer um caminho para o arquivo JWKS. Use esse método quando o URL do endpoint de metadados OIDC do IdP não estiver acessível publicamente. É possível fazer upload de até oito chaves para o Cloud de Confiance. Como prática recomendada, recomendamos que você alterne as chaves JWKS regularmente atualizando o arquivo JWKS.

• Se você estiver federando cargas de trabalho da AWS usando a federação de identidade de saída da AWS, a AWS vai atuar como seu IdP do OIDC. Para preparar o ambiente da AWS, siga estas etapas:

  1. Ative a federação de identidade de saída nas configurações da sua conta da AWS para gerar o URL exclusivo do emissor do OIDC.

  2. Verifique se as cargas de trabalho da AWS (como perfis de instância do EC2 ou papéis de tarefa do ECS) têm a política do IAM da AWS necessária que concede permissão para receber JSON Web Tokens (JWTs).

SAML

• O IdP é compatível com SAML 2.0.

• O IdP fornece um documento de metadados SAML SP que descreve a configuração do provedor de serviços SAML e contém o certificado de assinatura do IdP.

  OCloud de Confiance usa esse certificado para validar declarações e respostas SAML.

• O certificado de assinatura do IdP precisa conter uma chave ECDSA ou RSA em um certificado X.509 v3.

• Os algoritmos de assinatura recomendados incluem:

  • ECDSAwithSHA256
  • RSAwithSHA256 com tamanhos de chave compatíveis de 2048, 3072 e 4096 bits.

• O certificado de assinatura precisa atender aos seguintes requisitos de validade:

  • notBefore: um carimbo de data/hora que não seja maior que sete dias no futuro
  • notAfter: um carimbo de data/hora que não seja mais de 25 anos no futuro

É possível configurar um provedor de pool de identidade da carga de trabalho SAML com no máximo três certificados de assinatura SAML por vez. Essa limitação não se aplica a outros tipos de provedores de pool de identidade da carga de trabalho, como OIDC e X.509. Quando há vários certificados, o Cloud de Confiance faz a iteração por eles e tenta usar cada certificado não expirado para atender a uma solicitação de troca de token.

Como prática recomendada de segurança, recomendamos não reutilizar o mesmo par de chaves com outros serviços.

OIDC

Configure seu IdP para que a carga de trabalho possa receber tokens de ID que atendam a estes critérios:

• Os tokens são assinados usando o algoritmo RS256 ou ES256.

• Os tokens contêm uma declaração aud com o seguinte valor:

  https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID
  

  Substitua:

  • PROJECT_NUMBER: o número do projeto do Cloud de Confiance projeto do Google Cloud que você usa para criar um pool de Identidade da carga de trabalho.
  • POOL_ID: ID de sua escolha que identifica o pool de identidades da carga de trabalho. É necessário usar o mesmo ID ao criar o pool de identidades da carga de trabalho posteriormente.
  • WORKLOAD_PROVIDER_ID: ID de sua escolha que identifica o provedor de pool de Identidade da carga de trabalho. É necessário usar o mesmo ID ao criar o provedor do pool de identidade da carga de trabalho posteriormente.

  Como alternativa, é possível configurar o provedor de pool de identidade da carga de trabalho para esperar um público personalizado.

• Os tokens contêm uma declaração exp no futuro e uma iat no passado.

  O valor de exp precisa ser maior que o valor de iat em até 24 horas.

• Tokens vinculados a certificados (pré-lançamento): opcionalmente, os tokens podem incluir uma declaração cnf (confirmação) que contém uma impressão digital do certificado SHA-256 (x5t#S256):

  "cnf": {
    "x5t#S256": "BASE64URL_SHA256_CERT_FINGERPRINT"
  }
  

  O valor de x5t#S256 precisa ser o hash SHA-256 codificado em base64url da codificação DER do certificado X.509 do cliente. Quando um token que contém essa declaração é apresentado à federação de identidade da carga de trabalho por uma conexão TLS mútua (mTLS) (sts.mtls.googleapis.com), o Security Token Service valida se a impressão digital corresponde ao certificado do cliente apresentado durante o handshake de TLS e emite um token de acesso de curta duração vinculado criptograficamente ao certificado.

  Para proteger os recursos contra roubo de tokens e ataques de repetição, aplique tokens vinculados a certificados configurando políticas de acesso baseado no contexto.

Normalmente, é melhor usar tokens de ID ao realizar uma troca de tokens, porque eles refletem a identidade do usuário. Se você decidir usar tokens de acesso, verifique se eles atendem aos seguintes requisitos adicionais:

• Os tokens de acesso são formatados em JSON Web Token.

• Os tokens de acesso contêm uma declaração ISSUER para que o URL ISSUER/.well-known/openid-configuration aponte para o endpoint de metadados OIDC do IdP.

• Para fazer upload de chaves JWK locais, consulte Gerenciar JWKs do OIDC.

SAML

Configure seu IdP para que as declarações SAML contenham elementos que atendam aos seguintes critérios:

• um elemento Issuer definido como o ID da entidade configurado no provedor do pool de identidades da carga de trabalho. O formato do emissor precisa ser omitido ou definido como urn:oasis:names:tc:SAML:2.0:nameid-format:entity;
• um elemento Subject com:
  • um elemento NameID;
  • exatamente um elemento SubjectConfirmation com Method definido como urn:oasis:names:tc:SAML:2.0:cm:bearer;
  • um elemento SubjectConfirmationData com NotOnOrAfter definido como um carimbo de data/hora que ocorrerá no futuro e nenhum valor NotBefore.

• um elemento Conditions com:

  • NotBefore omitido ou antigo;
  • NotOnOrAfter omitido ou no futuro.

  • um Audience, formatado da seguinte maneira:

    https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID
    

    Substitua:

    • PROJECT_NUMBER: o número do projeto do Cloud de Confiance projeto que você usa para criar o pool de Identidade da carga de trabalho.
    • POOL_ID: ID de sua escolha que identifica o pool de identidades da carga de trabalho. É necessário usar o mesmo ID ao criar o pool de identidades da carga de trabalho posteriormente.
    • WORKLOAD_PROVIDER_ID: ID de sua escolha que identifica o provedor de pool de Identidade da carga de trabalho. É necessário usar o mesmo ID ao criar o provedor do pool de Identidade da carga de trabalho posteriormente.

• pelo menos um elemento AuthnStatement;

• um elemento SessionNotOnOrAfter com um carimbo de data/hora que ocorrerá no futuro. Se preferir, omita o elemento.

Para declarações SAML incluídas em uma resposta SAML, a resposta SAML precisa conter:

• exatamente uma declaração que atenda aos critérios de declaração SAML descritos anteriormente nesta seção;
• um atributo IssueInstant com um valor inferior a uma hora no passado;
• o StatusCode urn:oasis:names:tc:SAML:2.0:status:Success.

É preciso assinar a declaração SAML, a resposta ou ambas.

OIDC

Os mapeamentos de atributos podem usar as declarações incorporadas no token de ID ou de acesso emitido pelo IdP externo.

Mapeie uma dessas declarações para google.subject para identificar exclusivamente o usuário. Para se proteger contra ameaças de spoofing, escolha uma reivindicação com um valor exclusivo que não possa ser alterado.

Muitos IdPs preenchem a declaração sub com um ID exclusivo e imutável. Para esses IdPs, considere mapear a declaração sub para google.subject:

google.subject=assertion.sub

Evite usar uma reivindicação como email para essa finalidade. Geralmente, os endereços de e-mail podem ser reatribuídos ou alterados para que não identifiquem um usuário de maneira exclusiva e permanente.

Mapear atributos de ator com delegação de identidade (pré-lançamento): quando você usa a delegação de identidade, o Security Token Service combina as declarações de sujeito e de ator, expondo as declarações de ator no objeto de declaração act. É possível referenciar declarações de ator nos mapeamentos de atributos usando assertion.act.<claim_name>.

Ao realizar uma troca de token delegada, somente os mapeamentos e as condições de atributo do provedor de assunto são avaliados e aplicados. Todos os mapeamentos ou condições de atributos configurados no provedor de ator são ignorados.

Por exemplo, é possível mapear o identificador de assunto e o URI do emissor do ator para atributos personalizados do Google:

attribute.actor_subject=assertion.act.sub,attribute.actor_issuer=assertion.act.iss

Se a delegação de vários saltos for usada, os atores upstream serão aninhados em assertion.act.act. No entanto, a ordem das declarações aninhadas não é garantida.

SAML

Os mapeamentos de atributos podem usar os elementos <Subject> e <Attribute> incorporados na declaração emitida pelo IdP externo. Os atributos SAML podem ser referenciados usando as seguintes palavras-chave:

• assertion.subject contém o NameID do usuário autenticado encontrado no elemento <Subject>.
• assertion.attributes['ATTRIBUTE_NAME'] contém uma lista de valores com o nome <Attribute>.

Mapeie uma dessas declarações para google.subject para identificar exclusivamente o usuário. Para se proteger contra ameaças de spoofing, escolha uma reivindicação com um valor exclusivo que não possa ser alterado.

Muitos IdPs preenchem o NameId com um ID exclusivo e imutável. Para esses IdPs, considere mapear o atributo NameId para google.subject:

google.subject=assertion.subject

Evite usar um atributo como http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress para essa finalidade. Geralmente, os endereços de e-mail podem ser reatribuídos ou alterados para que não identifiquem um usuário de maneira exclusiva e permanente.

OIDC

Use uma condição de atributo para restringir quais usuários podem usar a federação de identidade da carga de trabalho para conseguir tokens do Cloud de Confiancede curta duração.

Por exemplo, a condição a seguir restringe o acesso a tokens que contêm uma declaração service_account personalizada com um valor true:

assertion.service_account==true

Condições de delegação de identidade (token de ator) (pré-lançamento): ao usar a delegação de identidade, é possível usar condições de atributo CEL para restringir quais atores podem realizar operações em nome de indivíduos ou aplicar declarações específicas no token de ator.

Por exemplo, a condição a seguir exige que um token de ator esteja presente e que o ator tenha sido originado de um emissor esperado:

has(assertion.act) && assertion.act.iss == 'https://actor-idp.example.com'

Para restringir o acesso a um identificador de assunto de ator específico:

assertion.act.sub == 'authorized-agent-worker'

SAML

Use uma condição de atributo para restringir quais usuários podem usar a federação de identidade da carga de trabalho para conseguir tokens do Cloud de Confiancede curta duração.

Por exemplo, a condição a seguir restringe o acesso a declarações que contenham um atributo https://example.com/SAML/Attributes/AllowGcpFederation personalizado com um valor true:

assertion.attributes['https://example.com/SAML/Attributes/AllowGcpFederation'][0]=='true'

Console

1. No console do Cloud de Confiance , acesse a página Novo provedor de carga de trabalho e pool.

   Acessar "Novo provedor de carga de trabalho" e "Pool"

2. Em Criar um pool de identidades, digite o seguinte:

   • Nome: o nome do pool. O nome também é usado como o ID do pool. Não será possível alterar o ID do pool posteriormente.
   • Descrição: texto que descreve a finalidade do pool.

3. Clique em Continuar.

4. Defina as configurações do provedor da seguinte maneira:

   OIDC

   • Em Selecionar um provedor, selecione OpenID Connect (OIDC).
   • Em Nome do provedor, digite um nome para o provedor. O nome também é usado como o ID do provedor. Não é possível alterar o ID do provedor depois que ele for criado.
   • Em URL do emissor, digite o URL do emissor do seu IdP. O URL precisa começar com https://.
   • Opcional: em Arquivo JWK(JSON), escolha um arquivo JWK para fazer upload. Se esse campo não for fornecido, o Cloud de Confiance tentará buscar um JWK do emissor.
   • Públicos-alvo permitidos: público-alvo esperado dos tokens de ID.

   SAML

   • Em Selecionar um provedor, escolha SAML.
   • Em Nome do provedor, digite um nome para o provedor. O nome também é usado como o ID do provedor. Não é possível alterar o ID do provedor depois que ele for criado.
   • Em Arquivo de metadados do IdP (XML), faça upload do documento XML de metadados SAML fornecido pelo seu IdP.

5. Clique em Continuar.

6. Em Configurar atributos do provedor, adicione os mapeamentos de atributos identificados anteriormente neste guia.

7. Em Condições de atributo, insira a condição de atributo que você identificou anteriormente neste guia. Deixe o campo em branco se não houver uma condição de atributo.

8. Para criar o pool de Identidade da carga de trabalho e o provedor, clique em Salvar.

gcloud

1. Para criar um novo pool de identidade da carga de trabalho, execute o seguinte comando:

   gcloud iam workload-identity-pools create POOL_ID \
       --location="global" \
       --description="DESCRIPTION" \
       --display-name="DISPLAY_NAME"
   

   Substitua:

   • POOL_ID: o ID exclusivo do pool.
   • DISPLAY_NAME: o nome do pool.
   • DESCRIPTION: uma descrição do pool escolhido. Essa descrição aparece quando você concede acesso às identidades do pool.

2. Para adicionar um provedor de pool de Identidade da carga de trabalho, faça o seguinte:

   OIDC

   Para adicionar um provedor de pool de Identidade da carga de trabalho do OIDC, execute o seguinte comando:

   gcloud iam workload-identity-pools providers create-oidc WORKLOAD_PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="POOL_ID" \
       --issuer-uri="ISSUER" \
       --discovery-uri="DISCOVERY_URI" \
       --allowed-audiences="AUDIENCE" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS" \
       --jwk-json-path="JWK_JSON_PATH" \
       --actor-providers="ACTOR_PROVIDERS"
   

   Substitua:

   • WORKLOAD_PROVIDER_ID: um ID de provedor do pool de Identidade da carga de trabalho exclusivo de sua escolha.
   • POOL_ID: o ID do pool de Identidade da carga de trabalho que você criou anteriormente.
   • ISSUER: um URI do emissor, conforme definido nos metadados OIDC.
   • DISCOVERY_URI Pré-lançamento: um URL de descoberta personalizado opcional para buscar metadados do OIDC se o IdP não hospedar o endpoint de descoberta do OIDC conhecido em https://<issuer_url>/.well-known/openid-configuration. O esquema, o host e a porta precisam corresponder ao ISSUER, e o caminho precisa estar em conformidade com a topologia do URL do emissor (contendo /.well-known/<suffix>).
   • AUDIENCE: o público esperado de tokens de ID, que, para muitos provedores, correspondem ao ID do cliente.
   • MAPPINGS: uma lista separada por vírgulas de mapeamentos de atributos criados anteriormente neste guia.
   • CONDITIONS: uma condição de atributo opcional que você criou anteriormente neste guia. Remova o parâmetro se você não tiver uma condição de atributo.
   • JWK_JSON_PATH: um caminho opcional para JWKs do OIDC de upload local. Se esse parâmetro não for fornecido, o Cloud de Confiance vai usar o URL do Discovery (DISCOVERY_URI ou o caminho /.well-known/openid-configuration do IdP) para gerar as JWKs que contêm as chaves públicas.
   • ACTOR_PROVIDERS Pré-lançamento: uma lista opcional separada por vírgulas dos nomes de recursos completos dos provedores de pool de Identidade da carga de trabalho no mesmo pool que estão autorizados a emitir tokens de ator para esse provedor (por exemplo, projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/ACTOR_PROVIDER_ID). O ID do contêiner do projeto no nome do recurso precisa corresponder ao formato usado para o provedor de assunto (ambos usando o número numérico do projeto ou ambos usando o ID do projeto). É possível especificar no máximo três provedores de ator. Para mais informações, consulte Configurar a delegação de identidade e os tokens de ator.

   SAML

   Para adicionar um provedor de pool de identidade da carga de trabalho SAML, execute o seguinte comando:

   gcloud iam workload-identity-pools providers create-saml WORKLOAD_PROVIDER_ID \
       --location="global" \
       --workload-identity-pool="POOL_ID" \
       --idp-metadata-path="IDP_METADATA_PATH" \
       --attribute-mapping="MAPPINGS" \
       --attribute-condition="CONDITIONS"
   

   Substitua:

   • POOL_ID: o ID do pool
   • IDP_METADATA_PATH: o caminho local para o documento de metadados do IdP do SAML.
   • MAPPINGS: uma lista separada por vírgulas de mapeamentos de atributos criados anteriormente neste guia.
   • CONDITIONS: opcional. A condição do atributo que você criou anteriormente neste guia.

   O prefixo gcp- é reservado e não pode ser usado em um ID de pool de identidades de colaboradores ou de provedor de pool de identidades de colaboradores.

   Opcional: aceitar declarações SAML criptografadas do seu IdP

   Para permitir que o IdP do SAML 2.0 produza declarações SAML criptografadas que podem ser aceitas pela federação de identidade da carga de trabalho, faça isto:

   • Na federação de identidade da carga de trabalho, faça isto:
   • Crie um par de chaves assimétricas para seu provedor de pool de identidade da carga de trabalho.
   • Faça o download de um arquivo de certificado que contém a chave pública.
   • Configure o IdP do SAML para que use a chave pública para criptografar as declarações SAML emitidas.
   • No IdP, faça isto:
   • Ative a criptografia de declaração, também conhecida como criptografia de token.
   • Faça upload da chave pública que você criou na federação de identidade da carga de trabalho.
   • Confirme se o IdP produz declarações SAML criptografadas.

   Observação: mesmo com as chaves do provedor de criptografia SAML configuradas, a federação de identidade da carga de trabalho ainda pode processar uma declaração de texto simples.

   Criar chaves de criptografia de declaração SAML da federação de identidade da carga de trabalho

   Nesta seção, mostramos como criar um par de chaves assimétricas que permite que a federação de identidade da carga de trabalho aceite declarações SAML criptografadas.

   O Cloud de Confiance by S3NS usa a chave privada para descriptografar as declarações SAML emitidas pelo IdP. Para criar um par de chaves assimétricas para uso com criptografia SAML, execute o seguinte comando. Para saber mais, consulte Algoritmos de criptografia SAML compatíveis.

   gcloud iam workload-identity-pools providers keys create KEY_ID \
       --workload-identity-pool WORKLOAD_POOL_ID \
       --provider WORKLOAD_PROVIDER_ID \
       --location global \
       --use encryption \
       --spec KEY_SPECIFICATION

   Substitua:

   • KEY_ID: o nome da chave que você escolher
   • WORKLOAD_POOL_ID: o ID do pool
   • WORKLOAD_PROVIDER_ID: o ID do provedor do pool de identidade de colaboradores
   • KEY_SPECIFICATION: a especificação da chave, que pode ser uma destas: rsa-2048, rsa-3072 e rsa-4096.

   Depois que o par de chaves for criado, execute o comando a seguir para fazer o download da chave pública em um arquivo de certificado. Somente a federação de identidade da carga de trabalho tem acesso à chave privada.

   gcloud iam workload-identity-pools providers keys describe KEY_ID \
       --workload-identity-pool WORKLOAD_POOL_ID \
       --provider WORKLOAD_PROVIDER_ID \
       --location global \
       --format "value(keyData.key)" \
       > CERTIFICATE_PATH

   Substitua:

   • KEY_ID: o nome da chave
   • WORKLOAD_POOL_ID: o ID do pool
   • WORKLOAD_PROVIDER_ID: o ID do provedor do pool de identidade de colaboradores
   • CERTIFICATE_PATH: o caminho para gravar o certificado em, por exemplo, saml-certificate.cer ou saml-certificate.pem

   Configurar o IdP compatível com SAML 2.0 para emitir declarações SAML criptografadas

   Configure o IdP do SAML para que use o certificado público transferido por download na última etapa para criptografar as declarações SAML emitidas. Consulte a equipe do IdP para ter instruções específicas.

   Depois de configurar o IdP para criptografar declarações SAML, recomendamos que você confira se as declarações geradas estão realmente criptografadas. Mesmo com a criptografia da declaração SAML configurada, a federação de identidade da carga de trabalho ainda pode processar declarações de texto simples.

   Excluir chaves de criptografia da federação de identidade da carga de trabalho

   Para excluir as chaves de criptografia SAML, execute o seguinte comando:

     gcloud iam workload-identity-pools providers keys delete KEY_ID \
         --workload-identity-pool WORKLOAD_POOL_ID \
         --provider WORKLOAD_PROVIDER_ID \
         --location global

   Substitua:

   • KEY_ID: o nome da chave
   • WORKLOAD_POOL_ID: o ID do pool
   • WORKLOAD_PROVIDER_ID: o ID do provedor do pool de identidade de colaboradores

   Algoritmos de criptografia SAML compatíveis

   A federação de identidade da carga de trabalho é compatível com os seguintes algoritmos de transporte de chaves:

   • http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p (link em inglês)
   • http://www.w3.org/2009/xmlenc11#rsa-oaep" (link em inglês)
   • http://www.w3.org/2001/04/xmlenc#rsa-1_5" (link em inglês)

   A federação de identidade da carga de trabalho é compatível com os seguintes algoritmos de criptografia em blocos:

   • http://www.w3.org/2001/04/xmlenc#aes128-cbc (link em inglês)
   • http://www.w3.org/2001/04/xmlenc#aes192-cbc (link em inglês)
   • http://www.w3.org/2001/04/xmlenc#aes256-cbc (link em inglês)
   • http://www.w3.org/2009/xmlenc11#aes128-gcm (link em inglês)
   • http://www.w3.org/2009/xmlenc11#aes256-gcm (link em inglês)

Acesso direto a recursos

É possível conceder acesso a uma identidade federada diretamente nos recursos usando o console do Cloud de Confiance ou a CLI gcloud.

Identidade temporária de conta de serviço

1. Para criar uma conta de serviço para a carga de trabalho externa, faça isto:

   1. Ative as APIs IAM, Security Token Service e API Service Account Credentials, se ainda não estiverem ativadas.

      Funções necessárias para ativar APIs

      Para ativar APIs, você precisa da permissão serviceusage.services.enable. Se você criou o projeto, provavelmente já tem essa permissão pelo papel de proprietário (roles/owner). Caso contrário, é possível conseguir essa permissão pelo papel de administrador do Service Usage (roles/serviceusage.serviceUsageAdmin). Saiba como conceder papéis.

      Ativar as APIs

   2. Crie uma conta de serviço que represente a carga de trabalho. Recomendamos que você use uma conta de serviço dedicada para cada carga de trabalho. A conta de serviço não precisa estar no mesmo projeto que o pool de Identidade da carga de trabalho, mas você precisa se referir ao projeto que contém a conta de serviço.

   3. Conceda à conta de serviço acesso a recursos que você quer que as identidades externas acessem.

2. Para permitir que a identidade federada represente a conta de serviço, faça o seguinte:

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP"

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
    --role=roles/iam.workloadIdentityUser \
    --member="principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE"

Credenciais de origem executáveis

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --service-account-token-lifetime-seconds=SERVICE_ACCOUNT_TOKEN_LIFETIME \
    --sts-location=REGION \
    --output-file=FILEPATH.json \
    --executable-command=EXECUTABLE_COMMAND \
    --executable-timeout-millis=EXECUTABLE_TIMEOUT \
    --executable-output-file=EXECUTABLE_OUTPUT_FILE

Substitua:

• PROJECT_NUMBER: o número do projeto que contém o pool de Identidade da carga de trabalho
• POOL_ID: o ID do pool de Identidade da carga de trabalho
• WORKLOAD_PROVIDER_ID: o ID do provedor do pool de Identidade da carga de trabalho
• SERVICE_ACCOUNT_EMAIL: se você usa a identidade temporária de conta de serviço, substitua pelo endereço de e-mail da conta de serviço. Omita essa flag se você não usa a identidade temporária de conta de serviço.
• SERVICE_ACCOUNT_TOKEN_LIFETIME: se você usa a identidade temporária de conta de serviço, substitua pelo ciclo de vida do token de acesso à conta de serviço, em segundos. Quando não informado, o padrão é uma hora. Omita essa flag se você não usa a identidade temporária de conta de serviço. Para especificar um ciclo de vida com mais de uma hora, configure a restrição da política da organização constraints/iam.allowServiceAccountCredentialLifetimeExtension.
• REGION: opcional. Especifique a região dos endpoints regionais do Security Token Service, se estiverem disponíveis.
• FILEPATH: o arquivo em que a configuração será salva.
• EXECUTABLE_COMMAND: o comando completo, incluindo argumentos, a ser executado para recuperar o token de ID do OIDC. Por exemplo, --executable-command="/path/to/command --foo=bar".
• EXECUTABLE_TIMEOUT: a duração opcional em milissegundos para aguardar a execução do executável (o padrão é 30s).
• EXECUTABLE_OUTPUT_FILE: um caminho que aponta para as credenciais 3PI geradas pelo executável. Isso é útil para armazenar as credenciais em cache. Ao especificar esse caminho, as bibliotecas do Auth verificam a existência dele antes de executar o executável.

Credenciais fornecidas pelo arquivo

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --service-account-token-lifetime-seconds=SERVICE_ACCOUNT_TOKEN_LIFETIME \
    --sts-location=REGION \
    --output-file=FILEPATH.json \
    --credential-source-file=TOKEN_FILEPATH \
    --credential-source-type=SOURCE_TYPE \
    --credential-source-field-name=FIELD_NAME \
    --actor-token-field-name=ACTOR_FIELD_NAME \
    --actor-token-type=ACTOR_TOKEN_TYPE \
    --credential-cert-path=WORKLOAD_CERTIFICATE_PATH \
    --credential-cert-private-key-path=WORKLOAD_KEY_PATH \
    --credential-cert-configuration-output-file=CERT_CONFIG_FILEPATH

Substitua:

• PROJECT_NUMBER: o número do projeto que contém o pool de Identidade da carga de trabalho
• POOL_ID: o ID do pool de Identidade da carga de trabalho
• WORKLOAD_PROVIDER_ID: o ID do provedor do pool de Identidade da carga de trabalho
• SERVICE_ACCOUNT_EMAIL: se você usa a identidade temporária de conta de serviço, substitua pelo endereço de e-mail da conta de serviço. Omita essa flag se você não usa a identidade temporária de conta de serviço.
• SERVICE_ACCOUNT_TOKEN_LIFETIME: se você usa a identidade temporária de conta de serviço, substitua pelo ciclo de vida do token de acesso à conta de serviço, em segundos. Quando não informado, o padrão é uma hora. Omita essa flag se você não usa a identidade temporária de conta de serviço. Para especificar um ciclo de vida com mais de uma hora, configure a restrição da política da organização constraints/iam.allowServiceAccountCredentialLifetimeExtension.
• REGION: opcional. Especifique a região dos endpoints regionais do Security Token Service, se estiverem disponíveis.
• FILEPATH: o arquivo em que a configuração será salva.
• TOKEN_FILEPATH: caminho em que os tokens de ID do OIDC são armazenados.
• SOURCE_TYPE: formato do arquivo de token de ID do OIDC, definido como text (padrão) ou json. Se a flag --actor-token-field-name for especificada, ela precisará ser definida como json.
• FIELD_NAME: campo no arquivo de texto que contém o token (se SOURCE_TYPE for json)
• ACTOR_FIELD_NAME (pré-lançamento): opcional. Se você usar a delegação de ator, especifique o campo no arquivo JSON (TOKEN_FILEPATH) que contém o token de ator. Ele precisa ser diferente de FIELD_NAME. Omita essa flag se você não usa a delegação de ator.
• ACTOR_TOKEN_TYPE (pré-lançamento): opcional. O tipo de token do ator quando a flag --actor-token-field-name é especificada. O padrão é urn:ietf:params:oauth:token-type:jwt. Omita essa flag se você não usa a delegação de ator.
• WORKLOAD_CERTIFICATE_PATH (pré-lançamento): opcional. Se você usar tokens vinculados a certificados, especifique o caminho para o arquivo de certificado de folha X.509 codificado em PEM da carga de trabalho. Quando essa flag é especificada, a CLI gcloud configura endpoints mTLS (sts.mtls.googleapis.com e iamcredentials.mtls.googleapis.com) e gera um arquivo de configuração de certificado.
• WORKLOAD_KEY_PATH (pré-lançamento): opcional. O caminho para o arquivo de chave privada codificado em PEM do certificado X.509 da carga de trabalho. Se a flag --credential-cert-path for especificada, essa flag será obrigatória.
• CERT_CONFIG_FILEPATH (pré-lançamento): opcional. Um caminho de saída personalizado para o arquivo de configuração de certificado gerado. Se você omitir essa flag e especificar a flag --credential-cert-path, a CLI gcloud vai gravar certificate_config.json no local de configuração padrão da CLI gcloud (~/.config/gcloud/certificate_config.json no Linux e no macOS ou %APPDATA%\gcloud\certificate_config.json no Windows).

As configurações de credenciais resultantes que incluem delegação de ator usando as flags --actor-token-field-name e --actor-token-type são compatíveis apenas com a Biblioteca de autenticação do Google para Java.

Credenciais fornecidas pelo URL

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/WORKLOAD_PROVIDER_ID \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --service-account-token-lifetime-seconds=SERVICE_ACCOUNT_TOKEN_LIFETIME \
    --sts-location=REGION \
    --output-file=FILEPATH.json \
    --credential-source-url="TOKEN_URL" \
    --credential-source-headers="KEY_1=VALUE_1,KEY_2=VALUE_2" \
    --credential-source-type=SOURCE_TYPE \
    --credential-source-field-name=FIELD_NAME

Substitua:

• PROJECT_NUMBER: o número do projeto que contém o pool de Identidade da carga de trabalho.
• POOL_ID: ID do pool de Identidade da carga de trabalho.
• WORKLOAD_PROVIDER_ID: ID do provedor do pool de Identidade da carga de trabalho
• SERVICE_ACCOUNT_EMAIL: se você usa a identidade temporária de conta de serviço, substitua pelo endereço de e-mail da conta de serviço. Omita essa flag se você não usa a identidade temporária de conta de serviço.
• SERVICE_ACCOUNT_TOKEN_LIFETIME: se você usa a identidade temporária de conta de serviço, substitua pelo ciclo de vida do token de acesso à conta de serviço, em segundos. Quando não informado, o padrão é uma hora. Omita essa flag se você não usa a identidade temporária de conta de serviço. Para especificar um ciclo de vida com mais de uma hora, configure a restrição da política da organização constraints/iam.allowServiceAccountCredentialLifetimeExtension.
• REGION: opcional. Especifique a região dos endpoints regionais do Security Token Service, se estiverem disponíveis.
• FILEPATH: o arquivo em que a configuração será salva.
• TOKEN_URL: URL do qual o token de ID do OIDC será recuperado
• KEY_n, VALUE_n: cabeçalhos personalizados para incluir na solicitação HTTP para TOKEN_URL
• SOURCE_TYPE: formato do arquivo de token de ID do OIDC, definido como text (padrão) ou json
• FIELD_NAME: campo no arquivo de texto que contém o token (se SOURCE_TYPE for json)