管理员工身份池提供方

本指南介绍如何使用员工身份联合执行常见操作。如需设置员工身份联合，请参阅以下指南：

须知事项

  1. 您必须设置一个 Google Cloud 组织。

  2. 安装 Google Cloud CLI，然后通过运行以下命令初始化 Google Cloud CLI： 

    gcloud init

管理池

本部分介绍如何管理员工身份池。

创建池

如需创建员工池，请执行以下命令：

控制台

如需创建员工身份池，请执行以下操作：

  1. 在 Google Cloud 控制台中，转到员工身份池页面：

    转到员工身份池

  2. 点击创建池，然后执行以下操作：

    1. 在名称中，输入池的名称。输入时，池 ID 会自动从名称派生。

    2. 可选：要更新 ID，请点击修改。

    3. 可选：在说明中，输入池的说明。

    4. 默认情况下已设置会话时长。如需输入自定义会话时长，请点击修改。会话时长，用于确定来自此员工池的 Google Cloud 访问令牌、控制台（联合）登录会话和 gcloud CLI 登录会话的有效时长。时长必须大于 15 分钟（900 秒）且小于 12 小时（43200 秒）。如果未设置会话时长，则默认为 1 小时（3600 秒）。

    5. 如需创建状态为已启用的池，请确保已启用池处于开启状态。

    6. 如需创建员工身份池，请点击下一步。

gcloud

如需创建员工身份池，请运行以下命令：

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

请替换以下内容：

  • WORKFORCE_POOL_ID：您选择用于表示 Google Cloud 员工池的 ID。如需了解如何设置 ID 的格式，请参阅 API 文档中的查询参数部分。
  • ORGANIZATION_ID：您的 Google Cloud 组织的数字 ID。
  • DESCRIPTION：员工身份池说明。
  • SESSION_DURATION：会话时长，用于确定来自此员工池的 Google Cloud 访问令牌、控制台（联合）登录会话和 gcloud CLI 登录会话的有效时长。时长必须大于 15 分钟（900 秒）且小于 12 小时（43200 秒）。如果未设置会话时长，则默认为 1 小时（3600 秒）。

描述池

控制台

如需使用 Google Cloud 控制台描述特定的员工池，请执行以下操作：

  1. 转到员工身份池页面：

    转到员工身份池

  2. 在员工池中，选择池

gcloud

如需使用 gcloud CLI 描述特定的员工池，请执行以下命令：

gcloud iam workforce-pools describe WORKFORCE_POOL_ID \
    --location=global

将 WORKFORCE_POOL_ID 替换为您在创建员工池时选择的池 ID。

列出池

控制台

如需使用 Google Cloud 控制台列出员工池，请执行以下操作：

  1. 转到员工身份池页面：

    转到员工身份池

  2. 在表格中，查看池列表。

gcloud

如需列出组织中的员工池，请执行以下命令：

gcloud iam workforce-pools list \
    --organization=ORGANIZATION_ID \
    --location=global

将 ORGANIZATION_ID 替换为您的组织 ID。

更新池

控制台

如需使用 Google Cloud 控制台更新特定员工池，请执行以下操作：

  1. 转到员工身份池页面：

    转到员工身份池

  2. 在表格中，选择池。

  3. 更新池参数。

  4. 点击保存池。

gcloud

如需更新特定的员工池，请执行以下命令：

gcloud iam workforce-pools update WORKFORCE_POOL_ID \
    --description=DESCRIPTION \
    --location=global

请替换以下内容：

  • WORKFORCE_POOL_ID：员工池 ID
  • DESCRIPTION：池的说明

删除池

控制台

如需使用 Google Cloud 控制台删除特定员工池，请执行以下操作：

  1. 转到员工身份池页面：

    转到员工身份池

  2. 在员工池中，针对要删除的池点击删除。

  3. 按照补充说明操作。

gcloud

如需删除员工身份池，请执行以下命令：

gcloud iam workforce-pools delete WORKFORCE_POOL_ID \
    --location=global

将 WORKFORCE_POOL_ID 替换为员工池 ID。

恢复删除池

您可以恢复在过去 30 天内删除的员工身份池。

如需恢复删除的池，请执行以下命令：

gcloud iam workforce-pools undelete WORKFORCE_POOL_ID \
    --location=global

将 WORKFORCE_POOL_ID 替换为员工池 ID。

在员工池中配置提供方

本部分介绍如何使用 gcloud 命令配置员工身份池提供方：

创建 OIDC 提供方

本部分介绍如何为 OIDC IdP 创建员工身份池提供方。

控制台

代码流

  1. 在 Google Cloud 控制台中，转到员工身份池页面：

    转到员工身份池

  2. 在员工身份池表中，选择要为其创建提供方的池。

  3. 在提供方表中，点击添加提供方。

  4. 在选择协议中，选择 Open ID Connect (OIDC)。

  5. 在创建池提供方中，执行以下操作：

    1. 在名称中，输入提供方的名称。
    2. 在颁发者（网址）中，输入颁发者 URI。OIDC 颁发者 URI 必须采用有效的 URI 格式，并以 https 开头；例如 https://example.com/oidc。
    3. 输入客户端 ID，即注册到 OIDC IdP 的 OIDC 客户端 ID，该 ID 必须与 IdP 颁发的 JWT 的 aud 声明相匹配。
    4. 如需创建状态为已启用的提供方，请确保已启用提供方处于开启状态。
    5. 点击继续。

  6. 在响应类型中，执行以下操作。响应类型仅用于基于网络的单点登录流程。

    1. 在响应类型中，选择代码。
    2. 在客户端密钥中，输入 IdP 中的客户端密钥。

    3. 在断言声明行为中，选择以下任一选项：

      • 用户信息和 ID 令牌
      • 仅 ID 令牌

    4. 点击继续。

  7. 在配置提供方中，您可以配置属性映射和属性条件。如需创建属性映射，请执行以下操作。您可以提供 IdP 字段名称或返回字符串的 CEL 格式表达式。

    1. 必需：在 OIDC 1 中，输入 IdP 中的主题；例如 assertion.sub。

    2. 可选：如需添加其他属性映射，请执行以下操作：

      1. 点击添加映射。
      2. 在 Google n（其中 n 为数字）中，输入一个 Google Cloud 支持的密钥。
      3. 在相应的 OIDC n 字段中，以 CEL 格式输入要映射的 IdP 特定字段的名称。

    3. 如需创建属性条件，请执行以下操作：

      1. 点击添加条件。
      2. 在属性条件中，以 CEL 格式输入条件；例如 assertion.role == 'gcp-users'。本示例条件可确保仅具有 gcp-users 角色的用户才能使用此提供方登录。

  8. 如需创建提供方，请点击提交。

    隐式流

    1. 在 Google Cloud 控制台中，转到员工身份池页面：

      转到员工身份池

    2. 在员工身份池表中，选择要为其创建提供方的池。

    3. 在提供方表中，点击添加提供方。

    4. 在选择协议中，选择 Open ID Connect (OIDC)。

    5. 在创建池提供方中，执行以下操作：

      1. 在名称中，输入提供方的名称。
      2. 在颁发者（网址）中，输入颁发者 URI。OIDC 颁发者 URI 必须采用有效的 URI 格式，并以 https 开头；例如 https://example.com/oidc。
      3. 输入客户端 ID，即注册到 OIDC IdP 的 OIDC 客户端 ID，该 ID 必须与 IdP 颁发的 JWT 的 aud 声明相匹配。
      4. 如需创建状态为已启用的提供方，请确保已启用提供方处于开启状态。
      5. 点击继续。

    6. 在响应类型中，执行以下操作。响应类型仅用于基于网络的单点登录流程。

      1. 在响应类型中，选择 ID 令牌。
      2. 点击继续。

    7. 在配置提供方中，您可以配置属性映射和属性条件。如需创建属性映射，请执行以下操作。您可以提供 IdP 字段名称或返回字符串的 CEL 格式表达式。

      1. 必需：在 OIDC 1 中，输入 IdP 中的主题；例如 assertion.sub。

      2. 可选：如需添加其他属性映射，请执行以下操作：

        1. 点击添加映射。
        2. 在 Google n（其中 n 为数字）中，输入一个 Google Cloud 支持的密钥。
        3. 在相应的 OIDC n 字段中，以 CEL 格式输入要映射的 IdP 特定字段的名称。

      3. 如需创建属性条件，请执行以下操作：

        1. 点击添加条件。
        2. 在属性条件中，以 CEL 格式输入条件；例如 assertion.role == 'gcp-users'。本示例条件可确保仅具有 gcp-users 角色的用户才能使用此提供方登录。

    8. 如需创建提供方，请点击提交。

gcloud

代码流

如需创建使用授权代码流程进行 Web 登录的 OIDC 提供方，请运行以下命令：

gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
    --client-secret-value="OIDC_CLIENT_SECRET" \
    --web-sso-response-type="code" \
    --web-sso-assertion-claims-behavior="merge-user-info-over-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --location=global

请替换以下内容：

  • PROVIDER_ID：提供方的唯一 ID。前缀 gcp- 已被保留，不能在池或提供方 ID 中使用。
  • WORKFORCE_POOL_ID：您的 IdP 所关联的员工身份池的 ID。
  • DISPLAY_NAME：提供方的可选易记显示名；例如 idp-eu-employees。
  • DESCRIPTION：可选的员工提供方说明；例如 IdP for Partner Example Organization employees。
  • ISSUER_URI：OIDC 颁发者 URI，采用有效的 URI 格式且以 https 开头；例如 https://example.com/oidc。注意：出于安全原因，ISSUER_URI 必须使用 HTTPS 架构。
  • OIDC_CLIENT_ID：向 OIDC IdP 注册的 OIDC 客户端的 ID；该 ID 必须与您的 IdP 颁发的 JWT 的 aud 声明相匹配。
  • OIDC_CLIENT_SECRET：OIDC 客户端密钥。
  • WEB_SSO_ADDITIONAL_SCOPES：（可选）要发送到 OIDC IdP 以进行控制台（联合）或基于浏览器的 gcloud CLI 登录的额外范围。
  • ATTRIBUTE_MAPPING：属性映射；例如： 
    google.subject=assertion.sub,
google.groups=assertion.group1,
attribute.costcenter=assertion.costcenter
    此示例将 OIDC 断言中的 IdP 属性 subject、assertion.group1 和 costcenter 分别映射到 google.subject、google.groups 和 attribute.costcenter 属性。
  • ATTRIBUTE_CONDITION：属性条件；例如 assertion.role == 'gcp-users'。本示例条件可确保仅具有 gcp-users 角色的用户才能使用此提供方登录。
  • JWK_JSON_PATH：本地上传的 OIDC JWK 的可选路径。如果未提供此参数，则 Google Cloud 会改用 IdP 的 `/.well-known/openid-configuration` 路径来寻找包含公钥的 JWK。如需详细了解本地上传的 OIDC JWK，请参阅管理 OIDC JWK。
在命令响应中，POOL_RESOURCE_NAME 是池的名称；例如 locations/global/workforcePools/enterprise-example-organization-employees。

隐式流

如需创建使用隐式流进行 Web 登录的 OIDC 员工身份池提供方，请运行以下命令：

gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
    --web-sso-response-type="id-token" \
    --web-sso-assertion-claims-behavior="only-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --location=global

请替换以下内容：

  • PROVIDER_ID：提供方的唯一 ID。前缀 gcp- 已被保留，不能在池或提供方 ID 中使用。
  • WORKFORCE_POOL_ID：您的 IdP 所关联的员工身份池的 ID。
  • DISPLAY_NAME：提供方的可选易记显示名；例如 idp-eu-employees。
  • DESCRIPTION：可选的员工提供方说明；例如 IdP for Partner Example Organization employees。
  • ISSUER_URI：OIDC 颁发者 URI，采用有效的 URI 格式且以 https 开头；例如 https://example.com/oidc。注意：出于安全原因，ISSUER_URI 必须使用 HTTPS 架构。
  • OIDC_CLIENT_ID：向 OIDC IdP 注册的 OIDC 客户端的 ID；该 ID 必须与您的 IdP 颁发的 JWT 的 aud 声明相匹配。
  • WEB_SSO_ADDITIONAL_SCOPES：（可选）要发送到 OIDC IdP 以进行控制台（联合）或基于浏览器的 gcloud CLI 登录的额外范围。
  • ATTRIBUTE_MAPPING：属性映射；例如： 
    google.subject=assertion.sub,
google.groups=assertion.group1,
attribute.costcenter=assertion.costcenter
    此示例将 OIDC 断言中的 IdP 属性 subject、assertion.group1 和 costcenter 分别映射到 google.subject、google.groups 和 attribute.costcenter 属性。
  • ATTRIBUTE_CONDITION：属性条件；例如 assertion.role == 'gcp-users'。本示例条件可确保仅具有 gcp-users 角色的用户才能使用此提供方登录。
  • JWK_JSON_PATH：本地上传的 OIDC JWK 的可选路径。如果未提供此参数，则 Google Cloud 会改用 IdP 的 `/.well-known/openid-configuration` 路径来寻找包含公钥的 JWK。如需详细了解本地上传的 OIDC JWK，请参阅管理 OIDC JWK。
在命令响应中，POOL_RESOURCE_NAME 是池的名称；例如 locations/global/workforcePools/enterprise-example-organization-employees。

创建 SAML 提供方

本部分介绍如何为 SAML IdP 创建员工身份池提供方。

控制台

如需使用 Google Cloud 控制台配置 SAML 提供方，请执行以下操作：

  1. 在 Google Cloud 控制台中，转到员工身份池页面：

    转到员工身份池

  2. 在员工身份池表中，选择要为其创建提供方的池。

  3. 在提供方表中，点击添加提供方。

  4. 在选择协议中，选择 SAML。

  5. 在创建池提供方中，执行以下操作：

    1. 在名称中，输入提供方的名称。

    2. 可选：在说明中，输入提供方的说明。

    3. 在 IDP 元数据文件 (XML) 中，选择您在本指南前面部分生成的元数据 XML 文件。

    4. 确保已启用提供方处于启用状态。

    5. 点击继续。

  6. 在配置提供方中，执行以下操作：

    1. 在属性映射中，输入 google.subject 的 CEL 表达式。

    2. 可选：要输入其他映射，请点击添加映射并输入其他映射，例如：

      google.subject=assertion.subject,
google.groups=assertion.attributes['https://example.com/aliases'],
attribute.costcenter=assertion.attributes.costcenter[0]
      此示例将 IdP 属性 assertion.subject、assertion.attributes['https://example.com/aliases'] 和 assertion.attributes.costcenter[0] 分别映射到 Google Cloud 属性 google.subject、google.groups 和 google.costcenter。

    3. 可选：如需添加属性条件，请点击添加条件，然后输入表示属性条件的 CEL 表达式。例如，要将 ipaddr 属性限制为特定 IP 范围，您可以设置条件 assertion.attributes.ipaddr.startsWith('98.11.12.')。此示例条件可确保只有 IP 地址以 98.11.12. 开头的用户才能使用此员工提供方登录。

    4. 点击继续。

  7. 如需创建提供方，请点击提交。

gcloud

如需创建提供方，请运行以下命令：

gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
    --workforce-pool="WORKFORCE_POOL_ID" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --idp-metadata-path="XML_METADATA_PATH" \
    --location="global"

请替换以下内容：

  • WORKFORCE_PROVIDER_ID：员工提供方 ID
  • WORKFORCE_POOL_ID：员工池 ID

  • ATTRIBUTE_MAPPING：属性映射；例如，要映射主题，属性映射如下所示：

    
google.subject=assertion.subject,
google.groups=assertion.attributes['https://example.com/aliases'],
attribute.department=assertion.attributes.department[0]

  • ATTRIBUTE_CONDITION：可选属性条件；例如 assertion.subject.endsWith("@example.com")

  • XML_METADATA_PATH：IdP 中的 XML 格式的元数据文件的路径

注意：前缀 gcp- 已被保留，不能在池或提供方 ID 中使用。

此命令将 SAML 断言中的主体和部门分别分配给 google.subject 和 attribute.department 属性。此外，该属性条件可确保只有主体以 @example.com 结尾的用户才能使用此员工提供方登录。

描述提供方

控制台

要查看提供方，请执行以下操作：

  1. 转到员工身份池页面：

转到员工身份池

  1. 在表中，选择要查看其提供方的池。

  2. 在提供方表中，选择提供方。

gcloud

如需描述提供方，请运行以下命令：

gcloud iam workforce-pools providers describe PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

请替换以下内容：

  • PROVIDER_ID：提供方 ID
  • WORKFORCE_POOL_ID：员工池 ID

列出提供方

控制台

要查看提供方，请执行以下操作：

  1. 转到员工身份池页面：

转到员工身份池

  1. 在表中，选择要为其列出提供方的池。

  2. 在提供方表中，您可以看到提供方列表。

gcloud

如需列出提供方，请执行以下命令：

gcloud iam workforce-pools providers list \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

将 WORKFORCE_POOL_ID 替换为员工池 ID。

更新提供方

控制台

要查看提供方，请执行以下操作：

  1. 转到员工身份池页面：

转到员工身份池

  1. 在表中，选择要查看其提供方的池。

  2. 在提供方表中，点击 修改。

  3. 更新提供方。

  4. 要保存更新后的提供方，请点击保存。

gcloud

如需在创建 OIDC 提供方后对其进行更新，请执行以下命令：

gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
    --workforce-pool= WORKFORCE_POOL_ID \
    --description="DESCRIPTION" \
    --location=global

请替换以下内容：

  • PROVIDER_ID：提供方 ID
  • WORKFORCE_POOL_ID：员工池 ID
  • DESCRIPTION：说明

删除提供方

如需删除提供方，请执行以下命令：

gcloud iam workforce-pools providers delete PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

请替换以下内容：

  • PROVIDER_ID：提供方 ID
  • WORKFORCE_POOL_ID：员工池 ID

恢复删除提供方

如需恢复在过去 30 天内删除的提供方，请执行以下命令：

gcloud iam workforce-pools providers undelete PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global

请替换以下内容：

  • PROVIDER_ID：提供方 ID
  • WORKFORCE_POOL_ID：员工池 ID

管理 OIDC JWK

本部分介绍如何管理员工池提供方中的 OIDC JWK。

创建提供方并上传 OIDC JWK

如需创建 OIDC JWK，请参阅 JWT、JWS、JWE、JWK 和 JWA 实现。

如需在创建员工池提供方时上传 OIDC JWK 文件，请使用 --jwk-json-path="JWK_JSON_PATH" 运行 gcloud iam admins-pools provider create-oidc 命令。将 JWK_JSON_PATH 替换为 JWK JSON 文件的路径。

此操作会从文件中上传密钥。

更新 OIDC JWK

如需更新 OIDC JWK，请使用 --jwk-json-path="JWK_JSON_PATH" 运行 gcloud iam workforce-pools providers update-oidc 命令。 将 JWK_JSON_PATH 替换为 JWK JSON 文件的路径。

此操作会将所有现有的上传密钥替换为文件中的密钥。

删除所有上传的 OIDC JWK

要删除所有上传的 OIDC JWK 并改用颁发者 URI 提取密钥，请使用 --jwk-json-path="JWK_JSON_PATH" 运行 gcloud iam admins-pools provider update-oidc 命令。 将 JWK_JSON_PATH 替换为空文件的路径。使用 --issuer-uri 标志设置颁发者 URI。

此操作会删除所有现有上传密钥。

后续步骤