Gérer les fournisseurs de pools d'identités de personnel

Ce guide explique comment effectuer des opérations courantes avec la fédération des identités des employés. Pour configurer la fédération des identités des employés, consultez les guides suivants:

• Configurer la fédération d'identité de personnel avec Azure AD et connecter les utilisateurs
• Configurer la fédération d'identité de personnel avec Okta et connecter les utilisateurs
• Configurer la fédération des identités des employés sur un fournisseur d'identité compatible avec OIDC ou SAML

Avant de commencer

1. Vous devez disposer d'une organisation Google Cloud déjà configurée.

2. Install the Google Cloud CLI, then initialize it by running the following command:

   gcloud init

   Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.

Gérer les pools

Cette section explique comment gérer les pools d'identités des employés.

Créer un pool

Pour créer un pool de personnel, exécutez la commande suivante :

Console

Pour créer le pool d'identités de personnel, procédez comme suit :

1. Dans la console Google Cloud, accédez à la page Pools d'identités de personnel :

   Accéder aux pools d'identités de personnel

2. Cliquez sur Créer un pool et procédez comme suit :

   1. Dans le champ Nom, saisissez le nom du pool. L'ID du pool est automatiquement dérivé du nom au fur et à mesure de la saisie.

   2. Facultatif : pour mettre à jour l'ID, cliquez sur Modifier.

   3. Facultatif : Dans le champ Description, saisissez une description du pool.

   4. La durée de la session est définie par défaut. Pour saisir une durée de session personnalisée, cliquez sur Modifier. La durée de la session détermine la durée pendant laquelle les jetons d'accès Google Cloud, les sessions de connexion à la console (fédération) et les sessions de connexion à gcloud CLI de ce pool de personnel sont valides. La durée doit être supérieure à 15 minutes (900 s) et inférieure à 12 heures (43 200 s). Si la durée de la session n'est pas définie, elle est définie par défaut sur une durée d'une heure (3 600 s).

   5. Pour créer le pool à l'état "Activé", assurez-vous que le pool activé est activé.

   6. Pour créer le pool d'identités de personnel, cliquez sur Suivant.

gcloud

Pour créer le pool d'identités de personnel, exécutez la commande suivante :

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Remplacez les éléments suivants :

• WORKFORCE_POOL_ID : ID que vous choisissez pour représenter votre pool de personnel Google Cloud. Pour plus d'informations sur la mise en forme de l'ID, consultez la section Paramètres de requête dans la documentation de l'API.
• ORGANIZATION_ID : ID d'organisation numérique de votre organisation Google Cloud.
• DESCRIPTION : description du pool d'identités de personnel
• SESSION_DURATION : durée de la session, qui détermine la durée pendant laquelle les jetons d'accès Google Cloud, les sessions de connexion à la console (fédération) et les sessions de connexion à gcloud CLI de ce pool de personnel sont valides. La durée doit être supérieure à 15 minutes (900 s) et inférieure à 12 heures (43 200 s). Si la durée de la session n'est pas définie, elle est définie par défaut sur une durée d'une heure (3 600 s).

Conseil : Exécutez gcloud iam workforce-pools create --help pour rechercher d'autres paramètres que vous pouvez personnaliser pour cette commande.

Décrire un pool

Console

Pour décrire un pool de personnel spécifique à l'aide de la console Google Cloud, procédez comme suit:

1. Accédez à la page Pools d'identités de personnel:

   Accéder aux pools d'identités de personnel

2. Dans Pools de personnel, sélectionnez le pool

gcloud

Pour décrire un pool de personnel spécifique en utilisant gcloud CLI, exécutez la commande suivante:

gcloud iam workforce-pools describe WORKFORCE_POOL_ID \
    --location=global

Remplacez WORKFORCE_POOL_ID par l'ID de pool de personnel que vous avez choisi lors de la création du pool.

Répertorier les pools

Console

Pour répertorier les pools de personnel à l'aide de la console Google Cloud, procédez comme suit:

1. Accédez à la page Pools d'identités de personnel:

   Accéder aux pools d'identités de personnel

2. Dans le tableau, affichez la liste des pools.

gcloud

Pour répertorier les pools de personnel de l'organisation, exécutez la commande suivante :

gcloud iam workforce-pools list \
    --organization=ORGANIZATION_ID \
    --location=global

Remplacez ORGANIZATION_ID par votre ID d'organisation.

Mettre à jour un pool

Console

Pour mettre à jour un pool de personnel spécifique à l'aide de la console Google Cloud, procédez comme suit:

1. Accédez à la page Pools d'identités de personnel:

   Accéder aux pools d'identités de personnel

2. Dans le tableau, sélectionnez le pool.

3. Mettez à jour les paramètres du pool.

4. Cliquez sur Enregistrer le pool.

gcloud

Pour mettre à jour un pool de personnel spécifique, exécutez la commande suivante :

gcloud iam workforce-pools update WORKFORCE_POOL_ID \
    --description=DESCRIPTION \
    --location=global

Remplacez les éléments suivants :

• WORKFORCE_POOL_ID : ID du pool de personnel
• DESCRIPTION : description du pool

Supprimer un pool

Console

Pour supprimer un pool de personnel spécifique à l'aide de la console Google Cloud, procédez comme suit:

1. Accédez à la page Pools d'identités de personnel:

   Accéder aux pools d'identités de personnel

2. DansPools de personnel, cliquez sur Supprimer sur le pool que vous souhaitez supprimer.

3. Suivez les instructions supplémentaires.

gcloud

Pour supprimer un pool d'identités de personnel, exécutez la commande suivante :

gcloud iam workforce-pools delete WORKFORCE_POOL_ID \
    --location=global

Remplacez WORKFORCE_POOL_ID par l'ID du pool de personnel.

Annuler la suppression d'un pool

Vous pouvez annuler la suppression d'un pool d'identités de personnel supprimé au cours des 30 derniers jours.

Pour annuler la suppression d'un pool, exécutez la commande suivante :

gcloud iam workforce-pools undelete WORKFORCE_POOL_ID \
    --location=global

Remplacez WORKFORCE_POOL_ID par l'ID du pool de personnel.

Configurer un fournisseur dans le pool de personnel

Cette section explique comment utiliser les commandes gcloud pour configurer des fournisseurs de pools d'identités des employés :

Créer un fournisseur OIDC

Cette section explique comment créer un fournisseur de pools d'identités des employés pour un fournisseur d'identité OIDC.

Console

Flux de code

1. Dans la console Google Cloud, accédez à la page Pools d'identités de personnel:

   Accéder aux pools d'identités de personnel

2. Dans le tableau Pools d'identités de personnel, sélectionnez le pool pour lequel vous souhaitez créer le fournisseur.

3. Dans le tableau Fournisseurs, cliquez sur Ajouter un fournisseur.

4. Dans Sélectionner un protocole, sélectionnez Open ID Connect (OIDC).

5. Dans Créer un fournisseur de pools, procédez comme suit :

   1. Dans Nom, saisissez un nom pour le fournisseur.
   2. Dans le champ Issuer (URL) (Émetteur (URL)), saisissez l'URI de l'émetteur. L'URI d'émetteur OIDC doit être dans un format d'URI valide et commencer par https. Exemple : https://example.com/oidc.
   3. Saisissez l'ID client, qui est l'ID client OIDC enregistré auprès de votre fournisseur d'identité OIDC. L'ID doit correspondre à la revendication aud du jeton JWT émis par votre fournisseur d'identité.
   4. Pour créer un fournisseur activé, assurez-vous que l'option fournisseur activé est activée.
   5. Cliquez sur Continuer.

6. Dans Type de réponse, procédez comme suit : Le type de réponse n'est utilisé que pour un flux d'authentification unique basé sur le Web.

   1. Dans Type de réponse, sélectionnez Code.
   2. Dans Code secret du client, saisissez le code secret du client à partir de votre fournisseur d'identité.

   3. Dans le champ Comportement des revendications d'assertion, sélectionnez l'une des options suivantes :

      • Informations sur l'utilisateur et jeton d'ID
      • Jeton d'ID uniquement

   4. Cliquez sur Continuer.

7. Dans Configurer le fournisseur, vous pouvez configurer un mappage d'attributs et une condition d'attribut. Pour créer un mappage d'attributs, procédez comme suit : Vous pouvez indiquer le nom du champ du fournisseur d'identité ou une expression au format CEL qui renvoie une chaîne.

   1. Obligatoire : dans OIDC 1, saisissez l'objet du fournisseur d'identité. Exemple : assertion.sub.

   2. Facultatif : pour ajouter des mappages d'attributs supplémentaires, procédez comme suit :

      1. Cliquez sur Ajouter un mappage.
      2. Dans Google n, où n est un nombre, saisissez l'une des clés compatibles avec Google Cloud.
      3. Dans le champ OIDC n correspondant, saisissez le nom du champ spécifique au fournisseur d'identité à mapper, au format CEL.

   3. Pour créer une condition d'attribut, procédez comme suit :

      1. Cliquez sur Ajouter une condition :
      2. Dans Conditions d'attribut, saisissez une condition au format CEL. Par exemple, assertion.role == 'gcp-users'. Cet exemple de condition garantit que seuls les utilisateurs disposant du rôle gcp-users peuvent se connecter via ce fournisseur.

8. Pour créer le fournisseur, cliquez sur Envoyer.

   Flux implicite

   1. Dans la console Google Cloud, accédez à la page Pools d'identités de personnel:

      Accéder aux pools d'identités de personnel

   2. Dans le tableau Pools d'identités de personnel, sélectionnez le pool pour lequel vous souhaitez créer le fournisseur.

   3. Dans le tableau Fournisseurs, cliquez sur Ajouter un fournisseur.

   4. Dans Sélectionner un protocole, sélectionnez Open ID Connect (OIDC).

   5. Dans Créer un fournisseur de pools, procédez comme suit :

      1. Dans Nom, saisissez un nom pour le fournisseur.
      2. Dans le champ Issuer (URL) (Émetteur (URL)), saisissez l'URI de l'émetteur. L'URI d'émetteur OIDC doit être dans un format d'URI valide et commencer par https. Exemple : https://example.com/oidc.
      3. Saisissez l'ID client, qui est l'ID client OIDC enregistré auprès de votre fournisseur d'identité OIDC. L'ID doit correspondre à la revendication aud du jeton JWT émis par votre fournisseur d'identité.
      4. Pour créer un fournisseur activé, assurez-vous que l'option fournisseur activé est activée.
      5. Cliquez sur Continuer.

   6. Dans Type de réponse, procédez comme suit : Le type de réponse n'est utilisé que pour un flux d'authentification unique basé sur le Web.

      1. Dans Type de réponse, sélectionnez Jeton d'ID.
      2. Cliquez sur Continuer.

   7. Dans Configurer le fournisseur, vous pouvez configurer un mappage d'attributs et une condition d'attribut. Pour créer un mappage d'attributs, procédez comme suit : Vous pouvez indiquer le nom du champ du fournisseur d'identité ou une expression au format CEL qui renvoie une chaîne.

      1. Obligatoire : dans OIDC 1, saisissez l'objet du fournisseur d'identité. Exemple : assertion.sub.

      2. Facultatif : pour ajouter des mappages d'attributs supplémentaires, procédez comme suit :

         1. Cliquez sur Ajouter un mappage.
         2. Dans Google n, où n est un nombre, saisissez l'une des clés compatibles avec Google Cloud.
         3. Dans le champ OIDC n correspondant, saisissez le nom du champ spécifique au fournisseur d'identité à mapper, au format CEL.

      3. Pour créer une condition d'attribut, procédez comme suit :

         1. Cliquez sur Ajouter une condition :
         2. Dans Conditions d'attribut, saisissez une condition au format CEL. Par exemple, assertion.role == 'gcp-users'. Cet exemple de condition garantit que seuls les utilisateurs disposant du rôle gcp-users peuvent se connecter via ce fournisseur.

   8. Pour créer le fournisseur, cliquez sur Envoyer.

gcloud

Flux de code

Pour créer un fournisseur OIDC qui utilise un flux avec code d'autorisation pour la connexion Web, exécutez la commande suivante :

gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
    --client-secret-value="OIDC_CLIENT_SECRET" \
    --web-sso-response-type="code" \
    --web-sso-assertion-claims-behavior="merge-user-info-over-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --location=global

Remplacez les éléments suivants :

• PROVIDER_ID : ID de fournisseur unique. Le préfixe gcp- est réservé et ne peut pas être utilisé dans un ID de pool ou de fournisseur.
• WORKFORCE_POOL_ID : ID du pool d'identités des employés auquel connecter votre fournisseur d'identité.
• DISPLAY_NAME : nom à afficher convivial et facultatif pour le fournisseur. Par exemple : idp-eu-employees.
• DESCRIPTION : description facultative du fournisseur de personnel. Par exemple : IdP for Partner Example Organization employees.
• ISSUER_URI : URI de l'émetteur OIDC, dans un format d'URI valide, commençant par https. Exemple : https://example.com/oidc. Remarque : Pour des raisons de sécurité, ISSUER_URI doit utiliser le schéma HTTPS.
• OIDC_CLIENT_ID : ID client OIDC enregistré auprès de votre fournisseur d'identité OIDC. L'ID doit correspondre à la revendication aud du JWT émis par votre fournisseur d'identité.
• OIDC_CLIENT_SECRET : code secret du client OIDC.
• WEB_SSO_ADDITIONAL_SCOPES : champs d'application supplémentaires facultatifs à envoyer au fournisseur d'identité OIDC pour la connexion basée sur le navigateur, via la console (fédération) ou via gcloud CLI.
• ATTRIBUTE_MAPPING : mappage d'attributs. Par exemple :

  google.subject=assertion.sub,
  google.groups=assertion.group1,
  attribute.costcenter=assertion.costcenter

  Cet exemple mappe les attributs de fournisseur d'identité subject, assertion.group1 et costcenter dans l'assertion OIDC avec les attributs google.subject, google.groups et attribute.costcenter, respectivement.
• ATTRIBUTE_CONDITION : une condition d'attribut. Par exemple  assertion.role == 'gcp-users'. Cet exemple de condition garantit que seuls les utilisateurs disposant du rôle gcp-users peuvent se connecter via ce fournisseur.
• JWK_JSON_PATH : chemin d'accès facultatif aux JWK OIDC importées localement. Si ce paramètre n'est pas spécifié, Google Cloud utilise à la place le chemin "/.well-known/openid-configuration" de votre IdP pour obtenir les JWK contenant les clés publiques. Pour en savoir plus sur les JWK OIDC importées localement, consultez la page Gérer les JWK OIDC.

Remarque : Les JWK OIDC locales peuvent être importées via un flux implicite ou flux de code, mais elles ne peuvent être utilisées que dans le flux programmatique, dans lequel vous appelez directement le point de terminaison STS "/token" avec un identifiant provenant de l'IdP tiers, en vue d'un échange contre un jeton d'accès Google Cloud destiné à votre pool d'employés.

Dans la réponse de la commande, POOL_RESOURCE_NAME correspond au nom du pool, par exemple locations/global/workforcePools/enterprise-example-organization-employees.

Flux implicite

Pour créer un fournisseur de pools d'identités de personnel OIDC qui utilise le flux implicite pour la connexion Web, exécutez la commande suivante :

gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
    --web-sso-response-type="id-token" \
    --web-sso-assertion-claims-behavior="only-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --location=global

Remplacez les éléments suivants :

• PROVIDER_ID : ID de fournisseur unique. Le préfixe gcp- est réservé et ne peut pas être utilisé dans un ID de pool ou de fournisseur.
• WORKFORCE_POOL_ID : ID du pool d'identités des employés auquel connecter votre fournisseur d'identité.
• DISPLAY_NAME : nom à afficher convivial et facultatif pour le fournisseur. Par exemple : idp-eu-employees.
• DESCRIPTION : description facultative du fournisseur de personnel. Par exemple : IdP for Partner Example Organization employees.
• ISSUER_URI : URI de l'émetteur OIDC, dans un format d'URI valide, commençant par https. Exemple : https://example.com/oidc. Remarque : Pour des raisons de sécurité, ISSUER_URI doit utiliser le schéma HTTPS.
• OIDC_CLIENT_ID : ID client OIDC enregistré auprès de votre fournisseur d'identité OIDC. L'ID doit correspondre à la revendication aud du JWT émis par votre fournisseur d'identité.
• WEB_SSO_ADDITIONAL_SCOPES : champs d'application supplémentaires facultatifs à envoyer au fournisseur d'identité OIDC pour la connexion basée sur le navigateur, via la console (fédération) ou via gcloud CLI.
• ATTRIBUTE_MAPPING : mappage d'attributs. Par exemple :

  google.subject=assertion.sub,
  google.groups=assertion.group1,
  attribute.costcenter=assertion.costcenter

  Cet exemple mappe les attributs de fournisseur d'identité subject, assertion.group1 et costcenter dans l'assertion OIDC avec les attributs google.subject, google.groups et attribute.costcenter, respectivement.
• ATTRIBUTE_CONDITION : une condition d'attribut. Par exemple  assertion.role == 'gcp-users'. Cet exemple de condition garantit que seuls les utilisateurs disposant du rôle gcp-users peuvent se connecter via ce fournisseur.
• JWK_JSON_PATH : chemin d'accès facultatif aux JWK OIDC importées localement. Si ce paramètre n'est pas spécifié, Google Cloud utilise à la place le chemin "/.well-known/openid-configuration" de votre IdP pour obtenir les JWK contenant les clés publiques. Pour en savoir plus sur les JWK OIDC importées localement, consultez la page Gérer les JWK OIDC.

Remarque : Les JWK OIDC locales peuvent être importées via un flux implicite ou flux de code, mais elles ne peuvent être utilisées que dans le flux programmatique, dans lequel vous appelez directement le point de terminaison STS "/token" avec un identifiant provenant de l'IdP tiers, en vue d'un échange contre un jeton d'accès Google Cloud destiné à votre pool d'employés.

Dans la réponse de la commande, POOL_RESOURCE_NAME correspond au nom du pool, par exemple locations/global/workforcePools/enterprise-example-organization-employees.

Créer un fournisseur SAML

Cette section explique comment créer un fournisseur de pools d'identités des employés pour un fournisseur d'identité SAML.

Console

Pour configurer le fournisseur SAML à l'aide de la console Google Cloud, procédez comme suit :

1. Dans la console Google Cloud, accédez à la page Pools d'identités de personnel :

   Accéder aux pools d'identités de personnel

2. Dans le tableau Pools d'identités de personnel, sélectionnez le pool pour lequel vous souhaitez créer le fournisseur.

3. Dans le tableau Fournisseurs, cliquez sur Ajouter un fournisseur.

4. Dans Sélectionner un protocole, sélectionnez SAML.

5. Dans Créer un fournisseur de pools, procédez comme suit :

   1. Dans Nom, saisissez un nom pour le fournisseur.

   2. Facultatif : Dans le champ Description, saisissez une description du fournisseur.

   3. Dans Fichier de métadonnées IdP (XML), sélectionnez le fichier XML de métadonnées que vous avez généré précédemment dans ce guide.

   4. Assurez-vous que l'option fournisseur activé est activée.

   5. Cliquez sur Continuer.

6. Dans Configurer le fournisseur, procédez comme suit :

   1. Dans Mappage des attributs, saisissez une expression CEL pour google.subject.

   2. Facultatif : Pour définir d'autres mappages, cliquez sur Ajouter un mappage et saisissez d'autres mappages. Par exemple :

      google.subject=assertion.subject,
      google.groups=assertion.attributes['https://example.com/aliases'],
      attribute.costcenter=assertion.attributes.costcenter[0]

      Cet exemple mappe les attributs IdP assertion.subject, assertion.attributes['https://example.com/aliases'] et assertion.attributes.costcenter[0] aux attributs Google Cloud google.subject, google.groups et google.costcenter, respectivement.

   3. Facultatif : pour ajouter une condition d'attribut, cliquez sur Ajouter une condition, puis saisissez une expression CEL représentant une condition d'attribut. Par exemple, pour limiter l'attribut ipaddr à une certaine plage d'adresses IP, vous pouvez définir la condition assertion.attributes.ipaddr.startsWith('98.11.12.'). Cet exemple de condition garantit que seuls les utilisateurs dont l'adresse IP commence par 98.11.12. peuvent se connecter en utilisant ce fournisseur de personnel.

   4. Cliquez sur Continuer.

7. Pour créer le fournisseur, cliquez sur Envoyer.

gcloud

Pour créer le fournisseur, exécutez la commande suivante :

gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
    --workforce-pool="WORKFORCE_POOL_ID" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --idp-metadata-path="XML_METADATA_PATH" \
    --location="global"

Remplacez les éléments suivants :

• WORKFORCE_PROVIDER_ID : ID du fournisseur de personnel
• WORKFORCE_POOL_ID : ID du pool de personnel

• ATTRIBUTE_MAPPING : mappage d'attributs. Par exemple, pour mapper un sujet, le mappage est le suivant :

  
  google.subject=assertion.subject,
  google.groups=assertion.attributes['https://example.com/aliases'],
  attribute.department=assertion.attributes.department[0]
  

• ATTRIBUTE_CONDITION : condition d'attribut facultative. Par exemple : assertion.subject.endsWith("@example.com").

• XML_METADATA_PATH : chemin d'accès au fichier de métadonnées au format XML de votre fournisseur d'identité.

Le préfixe gcp- est réservé et ne peut pas être utilisé dans un ID de pool ou de fournisseur.

Cette commande attribue l'objet et le service dans l'assertion SAML aux attributs google.subject et attribute.department, respectivement. En outre, la condition d'attribut garantit que seuls les utilisateurs dont l'objet se termine par @example.com peuvent se connecter en utilisant ce fournisseur de personnel.

Décrire un fournisseur

Console

Pour afficher un fournisseur, procédez comme suit:

1. Accédez à la page Pools d'identités de personnel:

Accéder aux pools d'identités de personnel

1. Dans le tableau, sélectionnez le pool pour lequel vous souhaitez afficher le fournisseur.

2. Dans le tableau Fournisseurs, sélectionnez le fournisseur.

gcloud

Pour décrire un fournisseur, exécutez la commande suivante:

gcloud iam workforce-pools providers describe PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Remplacez les éléments suivants :

• PROVIDER_ID : ID du fournisseur
• WORKFORCE_POOL_ID : ID du pool de personnel

Répertorier les fournisseurs

Console

Pour afficher un fournisseur, procédez comme suit:

1. Accédez à la page Pools d'identités de personnel:

Accéder aux pools d'identités de personnel

1. Dans le tableau, sélectionnez le pool pour lequel vous souhaitez répertorier les fournisseurs.

2. La table Fournisseurs affiche une liste de fournisseurs.

gcloud

Pour répertorier les fournisseurs, exécutez la commande suivante :

gcloud iam workforce-pools providers list \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Remplacez WORKFORCE_POOL_ID par l'ID du pool de personnel.

Mettre à jour un fournisseur

Console

Pour afficher un fournisseur, procédez comme suit:

1. Accédez à la page Pools d'identités de personnel:

Accéder aux pools d'identités de personnel

1. Dans le tableau, sélectionnez le pool pour lequel vous souhaitez afficher le fournisseur.

2. Dans le tableau Fournisseurs, cliquez sur Modifier.

3. Mettez à jour le fournisseur.

4. Pour enregistrer le fournisseur mis à jour, cliquez sur Enregistrer.

gcloud

Pour mettre à jour un fournisseur OIDC après sa création, exécutez la commande suivante :

gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --description="DESCRIPTION" \
    --location=global

Remplacez les éléments suivants :

• PROVIDER_ID : ID du fournisseur
• WORKFORCE_POOL_ID : ID du pool de personnel
• DESCRIPTION : description

Supprimer un fournisseur

Pour supprimer un fournisseur, exécutez la commande suivante :

gcloud iam workforce-pools providers delete PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Remplacez les éléments suivants :

• PROVIDER_ID : ID du fournisseur
• WORKFORCE_POOL_ID : ID du pool de personnel

Annuler la suppression d'un fournisseur

Pour annuler la suppression d'un fournisseur au cours des 30 derniers jours, exécutez la commande suivante :

gcloud iam workforce-pools providers undelete PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Remplacez les éléments suivants :

• PROVIDER_ID : ID du fournisseur
• WORKFORCE_POOL_ID : ID du pool de personnel

Gérer les JWK OIDC

Cette section explique comment gérer les JWK OIDC dans les fournisseurs de pools d'employés.

Créer un fournisseur et importer des JWK OIDC

Pour créer des JWK OIDC, consultez la page Mises en œuvre JWT, JWS, JWE, JWK et JWA.

Pour importer un fichier JWK OIDC lorsque vous créez un fournisseur de pools d'employés, exécutez la commande gcloud iam workforce-pools providers create-oidc avec l'option --jwk-json-path="JWK_JSON_PATH". Remplacez JWK_JSON_PATH par le chemin d'accès au fichier JSON des JWK.

Cette opération importe les clés à partir du fichier.

Mettre à jour les JWK OIDC

Pour mettre à jour les JWK OIDC, exécutez la commande gcloud iam workforce-pools providers update-oidc avec l'option --jwk-json-path="JWK_JSON_PATH". Remplacez JWK_JSON_PATH par le chemin d'accès au fichier JSON des JWK.

Cette opération remplace les clés importées existantes par celles du fichier.

Supprimer toutes les JWK OIDC importées

Pour supprimer toutes les JWK OIDC importées et utiliser à la place l'URI de l'émetteur pour extraire les clés, exécutez la commande gcloud iam worker-pools providers update-oidc avec l'option --jwk-json-path="JWK_JSON_PATH". Remplacez JWK_JSON_PATH par le chemin d'accès à un fichier vide. Utilisez l'option --issuer-uri pour définir l'URI de l'émetteur.

Cette opération supprime toutes les clés importées existantes.

Étapes suivantes

• Configurer la fédération d'identité de personnel avec Azure AD et connecter les utilisateurs
• Configurer la fédération d'identité de personnel avec Okta et connecter les utilisateurs
• Supprimer des utilisateurs et leurs données de la fédération d'identité de personnel
• Découvrez les produits Google Cloud compatibles avec la fédération d'identité de personnel.