Administra proveedores de grupos de Workload Identity

Organiza tus páginas con colecciones Guarda y categoriza el contenido según tus preferencias.

En esta guía, se describe cómo realizar operaciones comunes con la federación de Workforce Identity.

Administra proveedores y grupos de personal

Puedes configurar el proyecto permitido como el proyecto de facturación/cuota para acceder a las API del grupo de personal.

Antes de comenzar

  1. Identifica un proyecto de facturación o cuota.

    Para configurar el proyecto de Google Cloud que se factura y al que se le cobra la cuota de las operaciones realizadas en la CLI de gcloud, ejecuta el siguiente comando:

    gcloud config set billing/quota_project PROJECT_ID

    Reemplaza PROJECT_ID por el ID del proyecto.

  2. Alternativamente, para obtener más información sobre cómo configurar la federación de Workforce Identity, consulta Configura la federación de Workforce Identity. Para obtener instrucciones específicas del IdP, consulta los siguientes vínculos:

  3. Instala Google Cloud CLI y, luego, inicializa la ejecución del siguiente comando: 

    gcloud init

Administra grupos

En esta sección, se muestra cómo administrar grupos de federación de Workforce Identity.

Crea un grupo

Para crear un grupo de personal, ejecuta el siguiente comando:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --description=DESCRIPTION \
    --location=global

Reemplaza lo siguiente:

  • WORKFORCE_POOL_ID: un ID de grupo de personal que elijas
  • ORGANIZATION_ID: El ID de tu organización
  • DESCRIPTION: la descripción de este grupo

Describe un grupo

Para describir un grupo de personal específico, ejecute el siguiente comando:

gcloud iam workforce-pools describe WORKFORCE_POOL_ID \
    --location=global

Reemplaza WORKFORCE_POOL_ID por el ID del grupo de personal que elegiste cuando creaste el grupo.

Enumera grupos

Para mostrar una lista de los grupos de personal de la organización, ejecuta el siguiente comando:

gcloud iam workforce-pools list \
    --organization=ORGANIZATION_ID \
    --location=global

Reemplaza ORGANIZATION_ID por el ID de tu organización.

Actualiza un grupo

Para actualizar un grupo de personal específico, ejecuta el siguiente comando:

gcloud iam workforce-pools update WORKFORCE_POOL_ID \
    --description=DESCRIPTION \
    --location=global

Reemplaza lo siguiente:

  • WORKFORCE_POOL_ID: el ID del grupo de personal
  • DESCRIPTION: la descripción del grupo

Borra un grupo

Para borrar un grupo de Workforce Identity, ejecuta el siguiente comando:

gcloud iam workforce-pools delete WORKFORCE_POOL_ID \
    --location=global

Reemplaza WORKFORCE_POOL_ID por el ID del grupo de personal.

Recupera un grupo

Puedes recuperar un grupo de Workforce Identity que se borró en los últimos 30 días.

Para recuperar un grupo, ejecuta el siguiente comando:

gcloud iam workforce-pools undelete WORKFORCE_POOL_ID \
    --location=global

Reemplaza WORKFORCE_POOL_ID por el ID del grupo de personal.

Configura un proveedor dentro del grupo de personal

En esta sección, se explica cómo puedes usar los comandos de gcloud para configurar los proveedores de grupos de personal:

Crea un proveedor

Para crear una política, ejecuta el siguiente comando:

gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name=DISPLAY_NAME \
    --description=DESCRIPTION \
    --issuer-uri="OIDC_ISSUER_URL" \
    --client-id="OIDC_CLIENT_ID" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION"
    --location=global

Reemplaza lo siguiente:

  • PROVIDER_ID: el ID del proveedor
  • WORKFORCE_POOL_ID: el ID del grupo de personal
  • DISPLAY_NAME: el nombre visible
  • DESCRIPTION: la descripción
  • OIDC_ISSUER_URL: la URL del emisor de OIDC
  • OIDC_CLIENT_ID: el ID de cliente de OIDC
  • ATTRIBUTE_MAPPING: la asignación de atributos; por ejemplo, google.subject=assertion.sub, google.groups=assertion.groupList, google.display_name=assertion.displayName,google.profile_photo=assertion.profilePhoto, attribute.costcenter=assertion.costcenter
  • ATTRIBUTE_CONDITION: la condición de atributo; por ejemplo, assertion.group1=='gcp-users'.

En la respuesta del comando, POOL_RESOURCE_NAME es el nombre del grupo; por ejemplo, locations/global/workforcePools/enterprise-example-organization-employees.

Describe un proveedor

Para describir un proveedor, ejecuta el siguiente comando:

  gcloud iam workforce-pools providers describe PROVIDER_ID \
      --workforce-pool=WORKFORCE_POOL_ID \
      --location=global

Reemplaza lo siguiente:

  • PROVIDER_ID: el ID del proveedor
  • WORKFORCE_POOL_ID: el ID del grupo de personal

Enumerar proveedores

Para enumerar los proveedores, ejecuta el siguiente comando:

gcloud iam workforce-pools providers list \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Reemplaza WORKFORCE_POOL_ID por el ID del grupo de personal.

Actualiza un proveedor

Para actualizar un proveedor de OIDC después de la creación, ejecuta el siguiente comando:

gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
    --workforce-pool= WORKFORCE_POOL_ID \
    --description="DESCRIPTION" \
    --location=global

Reemplaza lo siguiente:

  • PROVIDER_ID: el ID del proveedor
  • WORKFORCE_POOL_ID: el ID del grupo de personal
  • DESCRIPTION: la descripción

Borra un proveedor

Para borrar un proveedor, ejecuta el siguiente comando:

gcloud iam workforce-pools providers delete PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Reemplaza lo siguiente:

  • PROVIDER_ID: el ID del proveedor
  • WORKFORCE_POOL_ID: el ID del grupo de personal

Recupera un proveedor

Para recuperar un proveedor que se borró en los últimos 30 días, ejecuta el siguiente comando:

gcloud iam workforce-pools providers undelete PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

Reemplaza lo siguiente:

  • PROVIDER_ID: el ID del proveedor
  • WORKFORCE_POOL_ID: el ID del grupo de personal

¿Qué sigue?