Configura la federazione delle identità per la forza lavoro

Questa guida descrive come configurare la federazione delle identità per la forza lavoro con un provider di identità (IdP) che supporti OIDC o SAML 2.0.

Per le istruzioni specifiche per l'IdP, vedi quanto segue:

• Configura la federazione delle identità per la forza lavoro basata su Azure AD
• Configura la federazione delle identità per la forza lavoro basata su Okta

Prima di iniziare

1. Devi aver configurato un'organizzazione Google Cloud.

2. Abilita le API Identity and Access Management (IAM) and Resource Manager.

   Abilita le API

3. Installa Google Cloud CLI, quindi initialize eseguendo questo comando:

   gcloud init

   Nota: se hai già installato gcloud CLI in precedenza, assicurati di disporre della versione più recente eseguendo gcloud components update.

4. Per l'accesso, l'IdP deve fornire le informazioni di autenticazione firmate: gli IdP OIDC devono fornire un JWT e le risposte dell'IdP SAML devono essere firmate.

5. Per ricevere informazioni importanti sulle modifiche apportate alla tua organizzazione o ai prodotti Google Cloud, devi fornire Contatti necessari. Per saperne di più, consulta la panoramica sulla federazione delle identità per la forza lavoro.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per configurare la federazione delle identità per la forza lavoro, chiedi all'amministratore di concederti il ruolo IAM Amministratore pool di identità della forza lavoro (roles/iam.workforcePoolAdmin) per l'organizzazione. Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso.

Potresti anche essere in grado di ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

In alternativa, il ruolo di base Proprietario (roles/owner) include anche le autorizzazioni per configurare la federazione delle identità per la forza lavoro. Non devi concedere ruoli di base in un ambiente di produzione, ma puoi concederli in un ambiente di sviluppo o test.

Configura la federazione delle identità per la forza lavoro

Per configurare la federazione delle identità per la forza lavoro, devi creare un pool di identità per la forza lavoro e un provider di pool di identità per la forza lavoro.

Crea un pool di identità della forza lavoro

Per creare il pool, esegui questo comando:

Console

Anteprima

Questa funzionalità è soggetta ai "Termini delle Offerte pre-GA" nella sezione Termini generali del servizio dei Termini specifici dei servizi. Le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per saperne di più, consulta le descrizioni della fase di lancio.

Per creare il pool di identità della forza lavoro:

1. Nella console Google Cloud, vai alla pagina Pool di identità per la forza lavoro:

   Vai a Pool di identità della forza lavoro

2. Fai clic su Crea pool e segui questi passaggi:

   1. In Nome, inserisci il nome del pool. L'ID pool viene automaticamente derivato dal nome durante la digitazione.

   2. (Facoltativo) Per aggiornare il documento di identità, fai clic su Modifica.

   3. (Facoltativo) In Descrizione, inserisci una descrizione del pool.

   4. La durata della sessione è impostata per impostazione predefinita. Per inserire una durata personalizzata della sessione, fai clic su Modifica. La durata della sessione determina per quanto tempo sono validi i token di accesso di Google Cloud, le sessioni di accesso alla console (federate) e le sessioni di accesso gcloud CLI da questo pool di forza lavoro. La durata deve essere superiore a 15 minuti (900 secondi) e inferiore a 12 ore (43.200 secondi). Se la durata della sessione non è impostata, il valore predefinito sarà di un'ora (3600 s).

   5. Per creare il pool nello stato Attivato, assicurati che il Pool abilitato sia attivato.

   6. Per creare il pool di identità della forza lavoro, fai clic su Avanti.

gcloud

Per creare il pool di identità della forza lavoro, esegui questo comando:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Sostituisci quanto segue:

• WORKFORCE_POOL_ID: un ID che scegli per rappresentare il pool di forza lavoro Google Cloud. Per informazioni sulla formattazione dell'ID, consulta la sezione Parametri di ricerca nella documentazione dell'API.
• ORGANIZATION_ID: l'ID organizzazione numerico della tua organizzazione Google Cloud.
• DESCRIPTION: una descrizione del pool di identità della forza lavoro.
• SESSION_DURATION: la durata della sessione, che determina la durata di validità dei token di accesso a Google Cloud, delle sessioni di accesso alla console (federate) e di gcloud CLI da questo pool di forza lavoro. La durata deve essere superiore a 15 minuti (900 secondi) e inferiore a 12 ore (43.200 secondi). Se la durata della sessione non è impostata, il valore predefinito sarà di un'ora (3600 s).

Suggerimento: esegui gcloud iam workforce-pools create --help per trovare altri parametri che puoi personalizzare per questo comando.

Crea un provider di pool di identità della forza lavoro

Questa sezione descrive come creare un provider di pool di identità della forza lavoro per consentire agli utenti IdP di accedere a Google Cloud. Puoi configurare il provider in modo che utilizzi il protocollo OIDC o SAML.

Crea un provider del pool di forza lavoro OIDC

Per creare un provider di pool di identità della forza lavoro utilizzando il protocollo OIDC:

1. Nel tuo IdP OIDC, registra una nuova applicazione per la federazione delle identità per la forza lavoro di Google Cloud. Prendi nota dell'ID client e dell'URI dell'emittente forniti dall'IdP. Le utilizzi in questo documento.

2. Se prevedi di configurare l'accesso degli utenti alla console, aggiungi il seguente URL di reindirizzamento all'IdP OIDC:

   https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

   Per informazioni su come configurare l'accesso alla console (federato), vedi Configurare l'accesso degli utenti alla console (federato).

3. Per creare il provider in Google Cloud:

   Console

   Flusso codice

   Nella console Google Cloud, per creare un provider OIDC che utilizza il flusso del codice di autorizzazione:

   1. Nella console Google Cloud, vai alla pagina Pool di identità per la forza lavoro:

      Vai a Pool di identità della forza lavoro

   2. Nella tabella Pool di identità della forza lavoro, seleziona il pool per cui vuoi creare il provider.

   3. Nella tabella Provider, fai clic su Aggiungi provider.

   4. In Seleziona un protocollo, scegli Open ID Connect (OIDC).

   5. In Crea un provider di pool, segui questi passaggi:

      1. In Nome, inserisci un nome per il fornitore.
      2. In Emittente (URL), inserisci l'URI dell'emittente. L'URI dell'emittente OIDC deve essere in un formato URI valido e iniziare con https; ad esempio, https://example.com/oidc.
      3. Inserisci l'ID client, ovvero l'ID client OIDC registrato presso il tuo IdP OIDC. L'ID deve corrispondere alla rivendicazione aud del JWT emessa dall'IdP.
      4. Per creare un provider abilitato, assicurati che l'opzione Provider abilitato sia attivata.
      5. Fai clic su Continua.

   6. In Tipo di risposta, procedi nel seguente modo. Il tipo di risposta viene utilizzato solo per un flusso Single Sign-On basato sul web.

      1. In Tipo di risposta, seleziona Codice.
      2. In Client secret, inserisci il client secret del tuo IdP.

      3. In Comportamento delle attestazioni delle asserzioni, seleziona una delle seguenti opzioni:

         • Informazioni utente e token ID
         • Solo token ID

      4. Fai clic su Continua.

   7. In Configura provider, puoi configurare una mappatura degli attributi e una condizione degli attributi. Per creare una mappatura degli attributi: Puoi fornire il nome del campo IdP o un'espressione in formato CEL che restituisce una stringa.

      1. Obbligatorio: in OIDC 1, inserisci l'oggetto indicato nell'IdP, ad esempio assertion.sub.

      2. (Facoltativo) Per aggiungere altre mappature degli attributi:

         1. Fai clic su Aggiungi mappatura.
         2. In Google n, dove n è un numero, inserisci una delle chiavi supportate da Google Cloud.
         3. Nel campo OIDC n corrispondente, inserisci il nome del campo specifico dell'IdP da mappare in formato CEL.

      3. Per creare una condizione dell'attributo:

         1. Fai clic su Aggiungi condizione.
         2. In Condizioni attributi, inserisci una condizione in formato CEL, ad esempio assertion.role == 'gcp-users'. Questa condizione di esempio garantisce che solo gli utenti con il ruolo gcp-users possano accedere utilizzando questo provider.

   8. Per creare il provider, fai clic su Invia.

   Flusso implicito

   Nella console Google Cloud, per creare un provider OIDC che utilizza un flusso implicito:

   1. Nella console Google Cloud, vai alla pagina Pool di identità per la forza lavoro:

      Vai a Pool di identità della forza lavoro

   2. Nella tabella Pool di identità della forza lavoro, seleziona il pool per cui vuoi creare il provider.

   3. Nella tabella Provider, fai clic su Aggiungi provider.

   4. In Seleziona un protocollo, scegli Open ID Connect (OIDC).

   5. In Crea un provider di pool, segui questi passaggi:

      1. In Nome, inserisci un nome per il fornitore.
      2. In Emittente (URL), inserisci l'URI dell'emittente. L'URI dell'emittente OIDC deve essere in un formato URI valido e iniziare con https; ad esempio, https://example.com/oidc.
      3. Inserisci l'ID client, ovvero l'ID client OIDC registrato presso il tuo IdP OIDC. L'ID deve corrispondere alla rivendicazione aud del JWT emessa dall'IdP.
      4. Per creare un provider abilitato, assicurati che l'opzione Provider abilitato sia attivata.
      5. Fai clic su Continua.

   6. In Tipo di risposta, procedi nel seguente modo. Il tipo di risposta viene utilizzato solo per un flusso Single Sign-On basato sul web.

      1. In Tipo di risposta, seleziona Token ID.
      2. Fai clic su Continua.

   7. In Configura provider, puoi configurare una mappatura degli attributi e una condizione degli attributi. Per creare una mappatura degli attributi: Puoi fornire il nome del campo IdP o un'espressione in formato CEL che restituisce una stringa.

      1. Obbligatorio: in OIDC 1, inserisci l'oggetto indicato nell'IdP, ad esempio assertion.sub.

      2. (Facoltativo) Per aggiungere altre mappature degli attributi:

         1. Fai clic su Aggiungi mappatura.
         2. In Google n, dove n è un numero, inserisci una delle chiavi supportate da Google Cloud.
         3. Nel campo OIDC n corrispondente, inserisci il nome del campo specifico dell'IdP da mappare in formato CEL.

      3. Per creare una condizione dell'attributo:

         1. Fai clic su Aggiungi condizione.
         2. In Condizioni attributi, inserisci una condizione in formato CEL, ad esempio assertion.role == 'gcp-users'. Questa condizione di esempio garantisce che solo gli utenti con il ruolo gcp-users possano accedere utilizzando questo provider.

   8. Per creare il provider, fai clic su Invia.

   gcloud

   Flusso codice

   Per creare un provider OIDC che utilizza il flusso del codice di autorizzazione per l'accesso web, esegui questo comando:

   gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
       --workforce-pool=WORKFORCE_POOL_ID \
       --display-name="DISPLAY_NAME" \
       --description="DESCRIPTION" \
       --issuer-uri="ISSUER_URI" \
       --client-id="OIDC_CLIENT_ID" \
       --client-secret-value="OIDC_CLIENT_SECRET" \
       --web-sso-response-type="code" \
       --web-sso-assertion-claims-behavior="merge-user-info-over-id-token-claims" \
       --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --jwk-json-path="JWK_JSON_PATH" \
       --location=global
   

   Sostituisci quanto segue:

   • PROVIDER_ID: un ID provider univoco. Il prefisso gcp- è riservato e non può essere utilizzato in un ID pool o provider.
   • WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro a cui connettere l'IdP.
   • DISPLAY_NAME: un nome visualizzato facoltativo e facile da usare per il fornitore, ad esempio idp-eu-employees.
   • DESCRIPTION: una descrizione facoltativa del fornitore di forza lavoro, ad esempio IdP for Partner Example Organization employees.
   • ISSUER_URI: l'URI dell'emittente OIDC, in un formato URI valido, che inizia con https; ad esempio, https://example.com/oidc. Nota: per motivi di sicurezza, ISSUER_URI deve utilizzare lo schema HTTPS.
   • OIDC_CLIENT_ID: l'ID client OIDC registrato presso il tuo IdP OIDC; l'ID deve corrispondere alla dichiarazione aud del JWT emesso dall'IdP.
   • OIDC_CLIENT_SECRET: il client secret OIDC.
   • WEB_SSO_ADDITIONAL_SCOPES: ambiti aggiuntivi facoltativi da inviare all'IdP OIDC per la console (federato) o per l'accesso basato su browser con gcloud CLI.
   • ATTRIBUTE_MAPPING: una mappatura degli attributi, ad esempio:

     google.subject=assertion.sub,
     google.groups=assertion.group1,
     attribute.costcenter=assertion.costcenter

     In questo esempio gli attributi IdP subject, assertion.group1 e costcenter nell'asserzione OIDC vengono mappati rispettivamente agli attributi google.subject, google.groups e attribute.costcenter.
   • ATTRIBUTE_CONDITION: una condizione dell'attributo, ad esempio assertion.role == 'gcp-users'. Questa condizione di esempio garantisce che solo gli utenti con il ruolo gcp-users possano accedere utilizzando questo provider.
   • JWK_JSON_PATH: un percorso facoltativo di JWK OIDC caricati localmente. Se questo parametro non è specificato, Google Cloud utilizza il percorso "/.well-known/openid-configuration" dell'IdP per eseguire il sourcing dei JWK contenenti le chiavi pubbliche. Per saperne di più sui JWK OIDC caricati localmente, consulta l'articolo su come gestire i JWK OIDC.

   Nota: i JWK OIDC locali possono essere caricati tramite flusso implicito o flusso di codice, ma possono essere utilizzati solo nel flusso programmatico in cui si chiama direttamente l'endpoint "/token" STS con una credenziale dell'IdP di terze parti per scambiare un token di accesso di Google Cloud per il pool di forza lavoro.

   Nella risposta del comando, POOL_RESOURCE_NAME è il nome del pool; ad esempio, locations/global/workforcePools/enterprise-example-organization-employees.

   Flusso implicito

   Per creare un provider OIDC che utilizzi il flusso implicito per l'accesso web, esegui questo comando:

   gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
       --workforce-pool=WORKFORCE_POOL_ID \
       --display-name="DISPLAY_NAME" \
       --description="DESCRIPTION" \
       --issuer-uri="ISSUER_URI" \
       --client-id="OIDC_CLIENT_ID" \
       --web-sso-response-type="id-token" \
       --web-sso-assertion-claims-behavior="only-id-token-claims" \
       --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --jwk-json-path="JWK_JSON_PATH" \
       --location=global
   

   Sostituisci quanto segue:

   • PROVIDER_ID: un ID provider univoco. Il prefisso gcp- è riservato e non può essere utilizzato in un ID pool o provider.
   • WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro a cui connettere l'IdP.
   • DISPLAY_NAME: un nome visualizzato facoltativo e facile da usare per il fornitore, ad esempio idp-eu-employees.
   • DESCRIPTION: una descrizione facoltativa del fornitore di forza lavoro, ad esempio IdP for Partner Example Organization employees.
   • ISSUER_URI: l'URI dell'emittente OIDC, in un formato URI valido, che inizia con https; ad esempio, https://example.com/oidc. Nota: per motivi di sicurezza, ISSUER_URI deve utilizzare lo schema HTTPS.
   • OIDC_CLIENT_ID: l'ID client OIDC registrato presso il tuo IdP OIDC; l'ID deve corrispondere alla dichiarazione aud del JWT emesso dall'IdP.
   • WEB_SSO_ADDITIONAL_SCOPES: ambiti aggiuntivi facoltativi da inviare all'IdP OIDC per la console (federato) o per l'accesso basato su browser con gcloud CLI.
   • ATTRIBUTE_MAPPING: una mappatura degli attributi, ad esempio:

     google.subject=assertion.sub,
     google.groups=assertion.group1,
     attribute.costcenter=assertion.costcenter

     In questo esempio gli attributi IdP subject, assertion.group1 e costcenter nell'asserzione OIDC vengono mappati rispettivamente agli attributi google.subject, google.groups e attribute.costcenter.
   • ATTRIBUTE_CONDITION: una condizione dell'attributo, ad esempio assertion.role == 'gcp-users'. Questa condizione di esempio garantisce che solo gli utenti con il ruolo gcp-users possano accedere utilizzando questo provider.
   • JWK_JSON_PATH: un percorso facoltativo di JWK OIDC caricati localmente. Se questo parametro non è specificato, Google Cloud utilizza il percorso "/.well-known/openid-configuration" dell'IdP per eseguire il sourcing dei JWK contenenti le chiavi pubbliche. Per saperne di più sui JWK OIDC caricati localmente, consulta l'articolo su come gestire i JWK OIDC.

   Nota: i JWK OIDC locali possono essere caricati tramite flusso implicito o flusso di codice, ma possono essere utilizzati solo nel flusso programmatico in cui si chiama direttamente l'endpoint "/token" STS con una credenziale dell'IdP di terze parti per scambiare un token di accesso di Google Cloud per il pool di forza lavoro.

   Nella risposta del comando, POOL_RESOURCE_NAME è il nome del pool; ad esempio, locations/global/workforcePools/enterprise-example-organization-employees.

   Il prefisso gcp- è riservato e non può essere utilizzato in un ID pool o provider.

   Per la federazione OIDC, puoi utilizzare assertion.NAME: una stringa uguale al valore dell'attestazione con nome simile nel payload del token ID.

Crea un provider del pool di forza lavoro SAML

1. Nel tuo IdP SAML, registra una nuova applicazione per la federazione delle identità per la forza lavoro di Google Cloud.

2. Imposta il segmento di pubblico per le asserzioni SAML. In genere è il campo SP Entity ID nella configurazione dell'IdP. Devi impostarlo sul seguente URL:

   https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/PROVIDER_ID
   

3. Se prevedi di configurare l'accesso degli utenti alla console, nell'IdP SAML imposta il campo URL di reindirizzamento o URL ACS (Assertion Consumer Service) sul seguente URL:

   https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

   Per maggiori dettagli sulla configurazione dell'accesso alla console, consulta Configurare l'accesso degli utenti alla console.

4. In Google Cloud, crea un provider di pool di identità per la forza lavoro SAML utilizzando il documento di metadati SAML dell'IdP. Puoi scaricare il documento XML dei metadati SAML dal tuo IdP. Il documento deve includere almeno quanto segue:

   • Un ID entità SAML per il tuo IdP.
   • L'URL Single Sign-On per l'IdP.
   • Almeno una chiave pubblica di firma. Consulta la sezione Requisiti chiave più avanti in questa guida per maggiori dettagli sulle chiavi di firma.

Console

Per configurare il provider SAML utilizzando la console Google Cloud, segui questi passaggi:

1. Nella console Google Cloud, vai alla pagina Pool di identità per la forza lavoro:

   Vai a Pool di identità della forza lavoro

2. Nella tabella Pool di identità della forza lavoro, seleziona il pool per cui vuoi creare il provider.

3. Nella tabella Provider, fai clic su Aggiungi provider.

4. In Seleziona un protocollo, seleziona SAML.

5. In Crea un provider di pool, segui questi passaggi:

   1. In Nome, inserisci un nome per il fornitore.

   2. (Facoltativo) In Descrizione, inserisci una descrizione per il fornitore.

   3. In File di metadati IDP (XML), seleziona il file XML dei metadati che hai generato in precedenza in questa guida.

   4. Assicurati che l'opzione Provider abilitato sia abilitata.

   5. Fai clic su Continua.

6. In Configura il provider, segui questi passaggi:

   1. In Mappatura attributi, inserisci un'espressione CEL per google.subject.

   2. (Facoltativo) Per inserire altre mappature, fai clic su Aggiungi mappatura e inserisci altre mappature, ad esempio:

      google.subject=assertion.subject,
      google.groups=assertion.attributes['https://example.com/aliases'],
      attribute.costcenter=assertion.attributes.costcenter[0]

      In questo esempio gli attributi IdP assertion.subject, assertion.attributes['https://example.com/aliases'] e assertion.attributes.costcenter[0] vengono mappati rispettivamente agli attributi google.subject, google.groups e google.costcenter di Google Cloud.

   3. (Facoltativo) Per aggiungere una condizione dell'attributo, fai clic su Aggiungi condizione e inserisci un'espressione CEL che rappresenti una condizione dell'attributo. Ad esempio, per limitare l'attributo ipaddr a un determinato intervallo IP, puoi impostare la condizione assertion.attributes.ipaddr.startsWith('98.11.12.'). Questa condizione di esempio garantisce che solo gli utenti con un indirizzo IP che inizia con 98.11.12. possano accedere utilizzando questo fornitore di forza lavoro.

   4. Fai clic su Continua.

7. Per creare il provider, fai clic su Invia.

gcloud

Per configurare il provider SAML utilizzando gcloud CLI, procedi nel seguente modo:

  gcloud iam workforce-pools providers create-saml PROVIDER_ID \
      --workforce-pool=WORKFORCE_POOL_ID \
      --display-name="DISPLAY_NAME" \
      --description="DESCRIPTION" \
      --idp-metadata-path=METADATA_FILE_PATH \
      --attribute-mapping="ATTRIBUTE_MAPPING" \
      --attribute-condition="ATTRIBUTE_CONDITION" \
      --location=global

Sostituisci quanto segue:

• PROVIDER_ID: l'ID provider.
• WORKFORCE_POOL_ID: l'ID pool.
• DISPLAY_NAME Il nome visualizzato del provider; ad esempio, idp-eu-employees.
• DESCRIPTION: la descrizione del provider del pool di identità della forza lavoro, ad esempio IdP for Partner Example Organization EU employees.
• METADATA_FILE_PATH: il percorso file dei metadati SAML.

• ATTRIBUTE_MAPPING: la mappatura degli attributi; ad esempio:

  google.subject=assertion.subject,
  google.groups=assertion.attributes['https://example.com/aliases'],
  attribute.costcenter=assertion.attributes.costcenter[0]

  In questo esempio gli attributi IdP assertion.subject, assertion.attributes['https://example.com/aliases'] e assertion.attributes.costcenter[0] vengono mappati rispettivamente agli attributi google.subject, google.groups e google.costcenter di Google Cloud.

• ATTRIBUTE_CONDITION: una condizione dell'attributo. Ad esempio, per limitare l'attributo ipaddr a un determinato intervallo IP, puoi impostare la condizione assertion.attributes.ipaddr.startsWith('98.11.12.'). Questa condizione di esempio garantisce che solo gli utenti con un indirizzo IP che inizia con 98.11.12. possano accedere utilizzando questo fornitore di forza lavoro.

Potrebbero essere necessari alcuni minuti prima che il fornitore inizi ad accettare le richieste.

Per la federazione SAML, puoi utilizzare le seguenti parole chiave nelle mappature e nelle condizioni degli attributi:

• assertion.subject: una stringa uguale all'attributo NameID nell'asserzione SAML.
• assertion.attributes.NAME: un elenco di stringhe uguale ai valori degli attributi con nomi simili nell'asserzione SAML.

(Facoltativo) Accetta le asserzioni SAML criptate dal tuo IdP

Per consentire all'IdP SAML 2.0 di produrre asserzioni SAML criptate che possono essere accettate dalla federazione delle identità per la forza lavoro:

• Nella federazione delle identità per la forza lavoro, segui questi passaggi:
• Crea una coppia di chiavi asimmetriche per il provider del pool di identità della forza lavoro.
• Scarica un file di certificato contenente la chiave pubblica.
• Configura l'IdP SAML in modo che utilizzi la chiave pubblica per criptare le asserzioni SAML che causa.
• Nell'IdP, segui questi passaggi:
• Consente di attivare la crittografia delle asserzioni, nota anche come crittografia dei token.
• Carica la chiave pubblica che hai creato nella federazione delle identità per la forza lavoro.
• Verifica che l'IdP generi asserzioni SAML criptate.

Tieni presente che, anche se sono configurate le chiavi del provider di crittografia SAML, la federazione delle identità per la forza lavoro può comunque elaborare un'asserzione in testo non crittografato.

Crea chiavi di crittografia delle asserzioni SAML della federazione delle identità per la forza lavoro

Questa sezione illustra la creazione di una coppia di chiavi asimmetriche che consente alla federazione delle identità della forza lavoro di accettare asserzioni SAML criptate.

Google Cloud utilizza la chiave privata per decriptare le asserzioni SAML problematiche dall'IdP. Per creare una coppia di chiavi asimmetriche da utilizzare con la crittografia SAML, esegui questo comando. Per scoprire di più, vedi Algoritmi di crittografia SAML supportati.

gcloud iam workforce-pools providers keys create KEY_ID \
    --workforce-pool WORKFORCE_POOL_ID \
    --provider PROVIDER_ID \
    --location global \
    --use encryption \
    --spec KEY_SPECIFICATION

Sostituisci quanto segue:

• KEY_ID: un nome chiave a tua scelta
• WORKFORCE_POOL_ID: l'ID pool
• PROVIDER_ID: l'ID provider
• KEY_SPECIFICATION: la specifica della chiave, che può essere rsa-2048, rsa-3072 e rsa-4096.

Dopo aver creato la coppia di chiavi, esegui questo comando per scaricare la chiave pubblica in un file di certificato. Solo la federazione delle identità della forza lavoro ha accesso alla chiave privata.

gcloud iam workforce-pools providers keys describe KEY_ID \
    --workforce-pool WORKFORCE_POOL_ID \
    --provider PROVIDER_ID \
    --location global \
    --format "value(keyData.key)" \
    > CERTIFICATE_PATH

Sostituisci quanto segue:

• KEY_ID: il nome della chiave
• WORKFORCE_POOL_ID: l'ID pool
• PROVIDER_ID: l'ID provider
• CERTIFICATE_PATH: il percorso in cui scrivere il certificato, ad esempio saml-certificate.cer o saml-certificate.pem

Configura il tuo IdP conforme a SAML 2.0 per emettere asserzioni SAML criptate

Configura l'IdP SAML in modo che utilizzi il certificato pubblico scaricato nell'ultimo passaggio per criptare le asserzioni SAML emesse. Consulta il team IdP per istruzioni specifiche.

Dopo aver configurato l'IdP per criptare le asserzioni SAML, ti consigliamo di assicurarti che le asserzioni che genera siano effettivamente criptate. Anche se è configurata la crittografia delle asserzioni SAML, la federazione delle identità per la forza lavoro può ancora elaborare le asserzioni in testo non crittografato.

Elimina le chiavi di crittografia della federazione delle identità per la forza lavoro

Per eliminare le chiavi di crittografia SAML, esegui questo comando:

  gcloud iam workforce-pools providers keys delete KEY_ID \
      --workforce-pool WORKFORCE_POOL_ID \
      --provider PROVIDER_ID \
      --location global

Sostituisci quanto segue:

• KEY_ID: il nome della chiave
• WORKFORCE_POOL_ID: l'ID pool
• PROVIDER_ID: l'ID provider

Algoritmi di crittografia SAML supportati

La federazione delle identità per la forza lavoro supporta i seguenti algoritmi di trasporto delle chiavi:

• http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p
• http://www.w3.org/2009/xmlenc11#rsa-oaep"
• http://www.w3.org/2001/04/xmlenc#rsa-1_5"

La federazione delle identità per la forza lavoro supporta i seguenti algoritmi di crittografia a blocchi:

• http://www.w3.org/2001/04/xmlenc#aes128-cbc
• http://www.w3.org/2001/04/xmlenc#aes192-cbc
• http://www.w3.org/2001/04/xmlenc#aes256-cbc
• http://www.w3.org/2009/xmlenc11#aes128-gcm
• http://www.w3.org/2009/xmlenc11#aes256-gcm

Requisiti per le chiavi di firma SAML X.509

Le seguenti specifiche principali si applicano alle chiavi di firma SAML X.509:

• Una chiave pubblica RSA sottoposta a wrapping in un certificato X.509 v3.

• Requisiti di validità dei certificati:

  • notBefore: un timestamp che non risale a più di 7 giorni nel futuro
  • notAfter: un timestamp che non risale a più di 15 anni nel futuro

• Algoritmi consigliati:

  • RSAwithSHA256 (dimensioni delle chiavi supportate (bit): 2048, 3072, 4096)
  • ECDSAwithSHA256

Un provider di pool di identità della forza lavoro può essere configurato con un massimo di tre chiavi di firma alla volta. Quando esistono più chiavi, Google Cloud esegue l'iterazione e tenta di utilizzare ogni chiave non scaduta per soddisfare una richiesta di scambio di token.

Come best practice per la sicurezza, ti consigliamo vivamente di non riutilizzare la stessa coppia di chiavi con altri servizi.

Gestione delle chiavi

Importante: per assicurarti che l'accesso degli utenti della forza lavoro non venga interrotto quando le chiavi scadono, ti consigliamo di aggiornarle regolarmente. Le chiavi di firma pubbliche utilizzate per convalidare le firme delle asserzioni SAML hanno una data di scadenza. Dopo la data di scadenza, le chiavi non potranno più essere utilizzate per lo scambio di token.

Per aggiornare le chiavi di firma dell'IdP, segui questi passaggi:

1. Creare una nuova coppia di chiavi asimmetriche e configurare il provider di identità SAML con la coppia di chiavi. Lo contrassegna come non attivo prima di attivarlo in un passaggio successivo.

2. Scarica un documento XML di metadati SAML dal tuo IdP.

   Nota: il documento deve contenere sia la chiave di firma esistente sia la chiave di firma appena creata.

3. Aggiorna la risorsa del provider del pool di identità della forza lavoro utilizzando il documento di metadati SAML. Quando esistono più chiavi, Google Cloud esegue l'iterazione di ogni chiave non scaduta e tenta di soddisfare una richiesta di scambio di token.

   Per aggiornare il provider del pool di identità della forza lavoro con i metadati SAML, esegui questo comando.

   gcloud iam workforce-pools providers update-saml PROVIDER_ID \
       --workforce-pool=WORKFORCE_POOL_ID \
       --idp-metadata-path=SAML_METADATA_FILE_PATH \
       --location=global
   

   Sostituisci quanto segue:

   • PROVIDER_ID: l'ID provider
   • WORKFORCE_POOL_ID: l'ID pool di identità della forza lavoro
   • SAML_METADATA_FILE_PATH: il percorso del file di metadati SAML

4. Attendi il completamento dell'operazione restituita nel passaggio precedente (l'operazione è contrassegnata come completata), quindi attiva la nuova chiave di firma nel tuo IdP SAML. La vecchia chiave di firma è contrassegnata come inattiva. Le asserzioni emesse dal tuo IdP vengono firmate utilizzando la nuova chiave.

I passaggi seguenti sono facoltativi, ma ti consigliamo di eseguirli come best practice:

1. Elimina la chiave di firma precedente, ora inattiva, dal tuo IdP.
2. Scarica il documento XML dei metadati SAML dal tuo IdP.

3. Aggiorna la risorsa del provider del pool di identità della forza lavoro utilizzando il documento di metadati SAML. Google Cloud rifiuta le asserzioni firmate con la chiave di firma scaduta. Per aggiornare il documento, esegui questo comando:

   gcloud iam workforce-pools providers update-saml PROVIDER_ID \
       --workforce-pool=WORKFORCE_POOL_ID \
       --idp-metadata-path=SAML_METADATA_FILE_PATH \
       --location=global
   

   Sostituisci quanto segue:

   • PROVIDER_ID: l'ID provider
   • WORKFORCE_POOL_ID: l'ID pool di identità della forza lavoro
   • SAML_METADATA_FILE_PATH: il percorso del file di metadati SAML

Vincolo di eliminazione della chiave

Google Cloud rifiuta le asserzioni firmate con una chiave eliminata.

Attenzione: l'eliminazione accidentale di una chiave ancora in uso può causare interruzioni del servizio. Puoi aggiornare una risorsa del provider di pool di identità della forza lavoro solo se i metadati SAML contengono almeno una chiave di firma non scaduta. Questa limitazione viene ignorata se tutte le chiavi di firma esistenti sono scadute.

Rappresenta gli utenti del pool di forza lavoro nei criteri IAM

La tabella seguente mostra gli identificatori principali che puoi utilizzare per concedere i ruoli a un singolo utente, a un gruppo di utenti, agli utenti che presentano una determinata rivendicazione o a tutti gli utenti di un pool di forza lavoro.

Nota: non puoi concedere il ruolo Proprietario (roles/owner) a un utente della forza lavoro sui progetti.

Identità	Formato identificatore
Singola identità in un pool di identità della forza lavoro	principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE
Tutte le identità della forza lavoro in un gruppo	principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/group/GROUP_ID
Tutte le identità della forza lavoro con un valore di attributo specifico	principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE
Tutte le identità in un pool di identità della forza lavoro	principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/*

Concedi ruoli IAM alle entità

Puoi concedere ruoli alle entità, ad esempio identità singole, gruppi di identità o un intero pool.

Per concedere un ruolo su un progetto a un'entità, esegui questo comando:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --role="ROLE" \
    --member="PRINCIPAL"

Sostituisci quanto segue:

• PROJECT_ID: l'ID progetto
• ROLE: il ruolo da impostare
• PRINCIPAL: l'entità; consulta Rappresentazione degli utenti del pool di identità della forza lavoro nei criteri IAM.

Nell'esempio seguente, il comando concede l'amministratore Storage (roles/storage.admin) a tutte le identità all'interno del gruppo GROUP_ID:

gcloud projects add-iam-policy-binding my-project \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

Per saperne di più sul formato dell'entità, consulta Rappresentare gli utenti del pool di identità della forza lavoro nei criteri IAM.

Eliminare utenti

La federazione delle identità per la forza lavoro crea metadati e risorse degli utenti per le identità utente federate. Se scegli di eliminare gli utenti, ad esempio nel tuo IdP, devi eliminare esplicitamente queste risorse anche in Google Cloud. Per farlo, vedi Eliminare gli utenti della federazione delle identità per la forza lavoro e i relativi dati.

Potresti notare che le risorse continuano a essere associate a un utente che è stato eliminato. Il motivo è che l'eliminazione di metadati e risorse utente richiede un'operazione a lunga esecuzione. Dopo aver avviato l'eliminazione dell'identità di un utente, i processi avviati dall'utente prima dell'eliminazione possono continuare fino al completamento o all'annullamento.

Passaggi successivi

• Ottenere credenziali di breve durata per la federazione delle identità per la forza lavoro
• Gestisci i provider di pool di identità della forza lavoro
• Eliminare gli utenti della federazione delle identità per la forza lavoro e i relativi dati
• Scopri quali prodotti Google Cloud supportano la federazione delle identità per la forza lavoro
• Configurare l'accesso degli utenti alla console (federato)