管理员工身份池提供方

使用集合让一切井井有条 根据您的偏好保存内容并对其进行分类。

本指南介绍如何使用员工身份联合执行常见操作。

管理员工池和提供方

您可以将允许的项目设置为用于访问员工池 API 的结算/配额项目。

准备工作

  1. 确定结算/配额项目。

    如需为在 gcloud CLI 中执行的操作设置对应的 Google Cloud 结算和配额项目,请执行以下命令:

    gcloud config set billing/quota_project PROJECT_ID
    

    PROJECT_ID 替换为项目 ID。

  2. 或者,如需了解如何设置员工身份联合,请参阅配置员工身份联合。如需查看特定于 IdP 的说明,请参阅:

  3. 安装 Google Cloud CLI,然后通过运行以下命令初始化 Google Cloud CLI:

    gcloud init

管理池

本部分介绍如何管理员工身份联合池。

创建池

如需创建员工池,请执行以下命令:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --description=DESCRIPTION \
    --location=global

替换以下内容:

  • WORKFORCE_POOL_ID:您选择的员工池的 ID
  • ORGANIZATION_ID:您的组织 ID。
  • DESCRIPTION:此池的说明

描述池

如需描述特定的员工池,请执行以下命令:

gcloud iam workforce-pools describe WORKFORCE_POOL_ID \
    --location=global

WORKFORCE_POOL_ID 替换为您在创建员工池时选择的池 ID。

列出池

如需列出组织中的员工池,请执行以下命令:

gcloud iam workforce-pools list \
    --organization=ORGANIZATION_ID \
    --location=global

ORGANIZATION_ID 替换为您的组织 ID。

更新池

如需更新特定的员工池,请执行以下命令:

gcloud iam workforce-pools update WORKFORCE_POOL_ID \
    --description=DESCRIPTION \
    --location=global

替换以下内容:

  • WORKFORCE_POOL_ID:员工池 ID
  • DESCRIPTION:池的说明

删除池

如需删除员工身份池,请执行以下命令:

gcloud iam workforce-pools delete WORKFORCE_POOL_ID \
    --location=global

WORKFORCE_POOL_ID 替换为员工池 ID。

恢复删除池

您可以恢复在过去 30 天内删除的员工身份池。

如需恢复删除的池,请执行以下命令:

gcloud iam workforce-pools undelete WORKFORCE_POOL_ID \
    --location=global

WORKFORCE_POOL_ID 替换为员工池 ID。

在员工池中配置提供方

本部分介绍如何使用 gcloud 命令配置员工池提供方:

创建提供商

如需创建提供方,请执行以下命令:

gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name=DISPLAY_NAME \
    --description=DESCRIPTION \
    --issuer-uri="OIDC_ISSUER_URL" \
    --client-id="OIDC_CLIENT_ID" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION"
    --location=global

替换以下内容:

  • PROVIDER_ID:提供方 ID
  • WORKFORCE_POOL_ID:员工池 ID
  • DISPLAY_NAME:显示名
  • DESCRIPTION:说明
  • OIDC_ISSUER_URL:OIDC 颁发者网址
  • OIDC_CLIENT_ID:OIDC 客户端 ID
  • ATTRIBUTE_MAPPING属性映射;例如 google.subject=assertion.sub, google.groups=assertion.groupList, google.display_name=assertion.displayName,google.profile_photo=assertion.profilePhoto, attribute.costcenter=assertion.costcenter
  • ATTRIBUTE_CONDITION属性条件;例如 assertion.group1=='gcp-users'

在命令响应中,POOL_RESOURCE_NAME 是池的名称;例如 locations/global/workforcePools/enterprise-example-organization-employees

描述提供方

如需描述提供方,请执行以下命令:

  gcloud iam workforce-pools providers describe PROVIDER_ID \
      --workforce-pool=WORKFORCE_POOL_ID \
      --location=global

替换以下内容:

  • PROVIDER_ID:提供方 ID
  • WORKFORCE_POOL_ID:员工池 ID

列出提供商

如需列出提供方,请执行以下命令:

gcloud iam workforce-pools providers list \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

WORKFORCE_POOL_ID 替换为员工池 ID。

更新提供商

如需在创建 OIDC 提供方后对其进行更新,请执行以下命令:

gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
    --workforce-pool= WORKFORCE_POOL_ID \
    --description="DESCRIPTION" \
    --location=global

替换以下内容:

  • PROVIDER_ID:提供方 ID
  • WORKFORCE_POOL_ID:员工池 ID
  • DESCRIPTION:说明

删除提供商

如需删除提供方,请执行以下命令:

gcloud iam workforce-pools providers delete PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

替换以下内容:

  • PROVIDER_ID:提供方 ID
  • WORKFORCE_POOL_ID:员工池 ID

恢复删除提供商

如需恢复在过去 30 天内删除的提供方,请执行以下命令:

gcloud iam workforce-pools providers undelete PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

替换以下内容:

  • PROVIDER_ID:提供方 ID
  • WORKFORCE_POOL_ID:员工池 ID

后续步骤