Okta로 직원 ID 제휴 구성 및 사용자 로그인

이 가이드에서는 Okta를 ID 제공업체(IdP)로 사용하여 직원 ID 제휴를 구성하고, 액세스를 관리하고, 사용자를 로그인하여 직원 ID 제휴를 지원하는 Google Cloud 서비스에 액세스하도록 하는 방법을 보여줍니다.

시작하기 전에

1. Google Cloud 조직을 설정해야 합니다.

2. Install the Google Cloud CLI, then initialize it by running the following command:

   gcloud init

   Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.

3. 로그인 시 IdP에서 서명된 인증 정보를 제공해야 합니다. OIDC IdP는 JWT를 제공해야 하고 SAML IdP 응답에 서명이 되어야 합니다.

4. 조직 또는 Google Cloud 제품의 변경사항에 대한 중요 정보를 수신하려면 필수 연락처를 제공해야 합니다. 자세한 내용은 직원 ID 제휴 개요를 참조하세요.

필요한 역할

직원 ID 제휴를 구성하는 데 필요한 권한을 얻으려면 관리자에게 조직에 대한 IAM 직원 풀 관리자(roles/iam.workforcePoolAdmin) IAM 역할을 부여해 달라고 요청하세요. 역할 부여에 대한 자세한 내용은 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.

커스텀 역할이나 다른 사전 정의된 역할을 통해 필요한 권한을 얻을 수도 있습니다.

또는 IAM 소유자(roles/owner) 기본 역할에 직원 ID 제휴를 구성하는 권한도 포함됩니다. 프로덕션 환경에서는 기본 역할을 부여하지 말아야 하지만 개발 환경 또는 테스트 환경에서는 부여해도 됩니다.

직원 ID 풀 만들기

콘솔

직원 ID 풀을 만들려면 다음을 수행합니다.

1. Google Cloud 콘솔에서 직원 ID 풀 페이지로 이동합니다.

   직원 ID 풀로 이동

2. 풀 만들기를 클릭하고 다음을 수행합니다.

   1. 이름 필드에 풀의 표시 이름을 입력합니다. 풀 ID는 자동으로 입력한 이름에서 파생되며 이름 필드 아래에 표시됩니다. 풀 ID 옆에 있는 수정을 클릭하여 풀 ID를 업데이트할 수 있습니다.

   2. (선택사항) 설명에 풀 설명을 입력합니다.

   3. 세션 시간은 기본값으로 설정됩니다. 사용자설정 세션 시간을 입력하려면 수정을 클릭합니다. 세션 시간은 이 직원 풀에서 유래한 Google Cloud 액세스 토큰, 콘솔(제휴) 로그인 세션, gcloud CLI 로그인 세션이 유효하게 지속되는 시간을 결정합니다. 기간은 15분(900초) 이상, 12시간(43,200초) 미만이어야 합니다. 세션 시간을 설정하지 않은 경우 기본값은 1시간(3,600초)입니다.

   4. 사용 설정 상태의 풀을 만들려면 사용 설정된 풀을 사용 설정합니다.

   5. 직원 ID 풀을 만들려면 다음을 클릭합니다.

gcloud

직원 ID 풀을 만들려면 다음 명령어를 실행합니다.

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

다음을 바꿉니다.

• WORKFORCE_POOL_ID: Google Cloud 직원 풀을 나타내기 위해 선택하는 ID. ID 형식 지정에 대한 자세한 내용은 API 참고 리소스의 쿼리 매개변수 섹션을 참조하세요.
• ORGANIZATION_ID: Google Cloud 조직의 숫자 조직 ID입니다.
• DISPLAY_NAME: 선택사항. 직원 ID 풀 표시 이름입니다.
• DESCRIPTION: 선택사항. 직원 ID 풀 설명입니다.
• SESSION_DURATION: 선택사항. 세션 시간으로, 이 직원 풀의 Google Cloud 액세스 토큰, 콘솔(제휴) 로그인 세션, gcloud CLI 로그인 세션이 유효하게 지속되는 시간을 결정합니다. 기간은 15분(900초) 이상, 12시간(43,200초) 미만이어야 합니다. 세션 시간을 설정하지 않은 경우 기본값은 1시간(3,600초)입니다.

팁: gcloud iam workforce-pools create --help를 실행하면 이 명령어에 맞게 맞춤설정할 수 있는 다른 매개변수를 찾을 수 있습니다.

Okta 앱 통합 만들기

이 섹션에서는 Okta 관리 콘솔을 사용하여 Okta 앱 통합을 만드는 단계를 보여줍니다. 자세한 내용은 커스텀 앱 통합 만들기를 참조하세요.

참고: 이 가이드에서는 속성 매핑을 보여주기 위해 department라는 커스텀 속성을 만듭니다. 이 태스크는 설명을 목적으로 제작되었습니다.

직원 풀은 OIDC 및 SAML 프로토콜을 모두 사용하여 제휴를 지원합니다.

자세한 내용은 Okta의 OIDC 및 SAML 통합 가이드를 참조하세요. 기본 구성은 이 섹션에 설명되어 있습니다.

OIDC

OIDC 프로토콜을 사용하는 Okta 앱 통합을 만들려면 다음 단계를 수행합니다.

1. Okta 관리 콘솔에 로그인합니다.
2. 애플리케이션 > 애플리케이션으로 이동합니다.

3. 앱 통합 구성을 시작하려면 다음을 수행합니다.

   1. 앱 통합 만들기를 클릭합니다.
   2. 로그인 방법에서 OIDC - OpenID Connect를 선택합니다.
   3. 애플리케이션 유형에서 애플리케이션 유형을 선택합니다(예: 웹 애플리케이션).
   4. 앱을 만들려면 다음을 클릭합니다.
   5. 앱 통합 이름에 앱 이름을 입력합니다.
   6. 부여 유형 섹션에서 암시적(하이브리드) 체크박스를 선택합니다.

   7. 로그인 리디렉션 URI 섹션의 텍스트 필드에 리디렉션 URL을 입력합니다. 사용자가 성공적으로 로그인하면 이 URL로 리디렉션됩니다. 콘솔(제휴)에 대한 액세스를 구성하는 경우 다음 URL 형식을 사용합니다.

      https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
      

      다음을 바꿉니다.

      • WORKFORCE_POOL_ID: 이 가이드의 앞부분에서 만든 직원 풀의 ID입니다.
      • WORKFORCE_PROVIDER_ID: 선택한 직원 ID 공급업체 ID(예: okta-oidc-provider)입니다. ID 형식 지정에 대한 자세한 내용은 API 문서의 쿼리 매개변수 섹션을 참조하세요.

   8. 지금은 그룹 할당 건너뛰기 체크박스를 선택합니다.

   9. 앱 통합을 저장하려면 저장을 클릭합니다.

4. 사용자에게 앱 통합을 할당합니다.

5. 선택사항: Okta 사용자 프로필에 커스텀 속성을 추가하려면 다음을 수행합니다.

   1. 데이터 유형에서 string을 선택합니다.
   2. 표시 이름에 Department를 입력합니다.
   3. 변수 이름에 department를 입력합니다.
   4. 매핑을 저장하려면 저장을 클릭합니다.

   커스텀 속성 추가에 대한 자세한 내용은 Okta 사용자 프로필에 커스텀 속성 추가를 참조하세요.

6. 선택사항: OIDC 토큰으로 전송되는 속성에 대한 매핑을 만들려면 디렉터리에서 프로필 편집기를 클릭하고 다음을 수행합니다.

   1. 이 가이드 앞부분에서 만든 OIDC 애플리케이션을 찾습니다.
   2. 매핑을 클릭합니다.
   3. Okta 사용자 - 앱 탭을 선택합니다.
   4. Okta 사용자 사용자 프로필 탭의 사용 가능한 콤보 상자에 department를 입력합니다. Okta가 user.department에 자동 완성됩니다.
   5. 매핑을 저장하려면 매핑 저장을 클릭합니다. 자세한 내용은 속성 매핑 추가를 참조하세요.

   매핑에 대한 자세한 내용은 프로필 편집기에서 Okta 속성을 앱 속성에 매핑을 참조하세요.

7. 선택사항: 그룹 클레임을 구성하려면 다음을 수행합니다.

   1. 조직 승인 서버를 사용하는 경우 다음을 수행합니다.
      1. 애플리케이션 > 애플리케이션으로 이동합니다.
      2. 이 섹션의 앞부분에서 만든 OpenID Connect 클라이언트 애플리케이션을 선택합니다.
      3. 사인온 탭으로 이동합니다.
      4. OpenID Connect ID 토큰 섹션에서 수정을 클릭합니다.
      5. 그룹 클레임 유형 섹션에서 다음 옵션 중 하나를 선택할 수 있습니다.
         • 표현식을 선택합니다.
         • 정규식 일치를 선택하고 .*를 입력합니다.
      6. 그룹 클레임을 저장하려면 저장을 클릭합니다.
      7. 이 가이드의 뒷 부분에 직원 ID 풀 공급업체를 만들 때 웹 싱글 사인온(SSO)을 위해 추가 범위로 groups를 추가하여 Okta에서 그룹 클레임을 요청하세요. 이 단계는 콘솔(제휴) 또는 gcloud CLI 브라우저 기반 로그인 흐름을 사용하는 경우에만 필요합니다.
   2. 커스텀 승인 서버를 사용하는 경우 다음을 수행합니다.
      1. 관리 콘솔의 보안 메뉴에서 API를 선택합니다.
      2. 구성하려는 커스텀 승인 서버를 선택합니다.
      3. 클레임 탭으로 이동하고 클레임 추가를 클릭합니다.
      4. 클레임 이름을 입력합니다. 이 예시에서는 이름을 groups로 지정합니다.
      5. 클레임의 포함 토큰 유형에서 ID 토큰을 선택하고 항상을 선택합니다.
      6. 값 유형으로 그룹스를 선택합니다.
      7. 필터 드롭다운 메뉴에서 정규식과 일치를 선택한 후 다음 표현식을 값으로 입력합니다. .*
      8. 만들기를 클릭합니다.

그룹 클레임에 대한 자세한 내용은 그룹 클레임 추가를 참조하세요.

SAML

SAML 프로토콜을 사용하는 Okta 앱 통합을 만들려면 다음 단계를 수행합니다.

1. Okta 관리 콘솔에 로그인합니다.
2. 애플리케이션 > 애플리케이션으로 이동합니다.
3. 앱 통합 만들기를 클릭합니다.
4. 로그인 방법에서 SAML 2.0을 선택하고 다음을 클릭합니다.
5. 앱 이름을 입력하고 다음을 클릭하여 SAML 구성 옵션으로 진행합니다.

6. 싱글 사인온(SSO) URL에 리디렉션 URL을 입력합니다. 사용자가 성공적으로 로그인하면 리디렉션되는 URL입니다. 콘솔에 대한 액세스를 구성하는 경우 다음 URL 형식을 사용합니다.

   https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

7. 대상 URI(SP Entity ID)를 입력합니다. ID 형식은 다음과 같습니다.

   https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

   다음을 바꿉니다.

   • WORKFORCE_POOL_ID: 이 가이드의 앞부분에서 만든 직원 풀의 ID입니다.
   • WORKFORCE_PROVIDER_ID: 선택한 직원 ID 공급업체 ID(예: okta-saml-provider)입니다.

   ID 형식 지정에 대한 자세한 내용은 API 문서의 쿼리 매개변수 섹션을 참조하세요.

8. 선택사항: 속성 문을 사용하여 SAML 어설션에서 전송할 커스텀 속성을 지정합니다. 설정한 후에는 해당 속성을 Google Cloud에서 액세스 관리 정책을 만들거나 attribute_condition에서 사용할 수 있습니다. 예를 들어 이 가이드에서는 사용자의 부서를 다음과 같이 매핑합니다.

   이름	값
   department	user.department

   선택사항: 이 가이드의 뒷부분에서 사용하는 그룹 클레임을 추가하려면 SAML 어설션에서 사용자의 그룹 멤버십을 전달하는 방법을 참조하세요.

9. Okta 앱 통합 만들기를 마칩니다.

직원 ID 풀 공급업체 만들기

이 섹션에서는 IdP 사용자가 Google Cloud에 액세스할 수 있도록 직원 ID 풀 제공업체를 만드는 방법을 설명합니다. 공급업체가 OIDC 또는 SAML 프로토콜을 사용하도록 구성할 수 있습니다.

OIDC 직원 풀 제공업체 만들기

OIDC 프로토콜을 사용하여 Okta 앱 통합을 위한 직원 ID 풀 공급업체를 만들려면 다음을 수행합니다.

1. Okta 앱 통합의 클라이언트 ID를 가져오려면 다음을 수행합니다.

   1. Okta 앱 통합으로 이동합니다.
   2. 일반 탭을 클릭합니다.
   3. 클라이언트 ID 필드의 콘텐츠를 복사합니다.

2. 웹 기반 로그인이 가능하도록 OIDC 직원 ID 풀 공급업체를 만들려면 다음을 수행합니다.

   콘솔

   코드 흐름

   1. Okta에서 다음을 수행합니다.

      1. 클라이언트 인증에서 클라이언트 보안 비밀번호를 선택합니다.

      2. 클라이언트 보안 비밀번호 테이블에서 보안 비밀을 찾고 복사를 클릭합니다.

   2. Google Cloud 콘솔에서 승인 코드 플로우을 사용하는 OIDC 공급업체를 만들려면 다음을 수행합니다.

      1. Google Cloud 콘솔에서 직원 ID 풀 페이지로 이동합니다.

         직원 ID 풀로 이동

      2. 직원 ID 풀 표에서 공급업체를 만들 풀을 선택합니다.

      3. 공급업체 표에서 공급업체 추가를 클릭합니다.

      4. 프로토콜 선택에서 OpenID Connect(OIDC)를 선택합니다.

      5. 풀 제공업체 만들기에서 다음을 수행합니다.

         1. 이름에 제공업체 이름을 입력합니다.
         2. 발급기관(URL)에 발급기관 URI를 입력합니다. OIDC 발급기관 URI는 유효한 URI 형식이어야 하며 https(으)로 시작해야 합니다. 예를 들면 https://example.com/oidc입니다.
         3. OIDC IdP에 등록된 OIDC 클라이언트 ID인 클라이언트 ID를 입력합니다. ID는 IdP에서 발급한 JWT의 aud 클레임과 일치해야 합니다.
         4. 사용 설정 상태의 공급업체를 만들려면 사용 설정된 제공업체를 사용 설정합니다.
         5. 계속을 클릭합니다.

      6. 응답 유형에서 다음을 수행합니다. 응답 유형은 웹 기반 싱글 사인온(SSO) 흐름에만 사용됩니다.

         1. 응답 유형에서 코드를 선택합니다.
         2. 클라이언트 보안 비밀번호에 IdP에서 받은 클라이언트 보안 비밀번호를 입력합니다.

         3. 어설션 클레임 동작에서 다음 중 하나를 선택합니다.

            • 사용자 정보 및 ID 토큰
            • ID 토큰만

         4. 계속을 클릭합니다.

      7. 공급업체 구성에서 속성 매핑 및 속성 조건을 구성할 수 있습니다. 속성 매핑을 만들려면 다음을 수행합니다. IdP 필드 이름이나 문자열을 반환하는 CEL 형식의 표현식을 입력합니다.

         1. 필수: OIDC 1에 IdP에서 확인된 소유자를 입력합니다. 예를 들면 assertion.sub입니다.

         2. 선택사항: 속성 매핑을 더 추가하려면 다음을 수행합니다.

            1. 매핑 추가를 클릭합니다.
            2. Google n에서 n은 숫자이며 Google Cloud 지원 키 중 하나를 입력합니다.
            3. 해당하는 OIDC n 필드에 매핑할 IdP별 필드 이름을 CEL 형식으로 입력합니다.

         3. 속성 조건을 만들려면 다음을 수행합니다.

            경고: 멀티 테넌트 IdP에 단일 발급기관 URI가 있으면 속성 조건을 사용하여 액세스가 올바른 테넌트로 제한되도록 해야 합니다. 자세한 내용은 GitHub 또는 다른 멀티 테넌트 ID 공급업체와 제휴할 때 속성 조건 사용을 참조하세요.
            1. 조건 추가를 클릭합니다.
            2. 속성 조건에서 조건을 CEL 형식으로 입력합니다(예: assertion.subject.endsWith('@example.com') 이전에 매핑된 subject 값에 @example.com(으)로 끝나는 이메일 주소가 포함된 경우).

      8. 제공업체를 만들려면 제출을 클릭합니다.

   암시적 흐름

   1. Google Cloud 콘솔에서 다음을 수행합니다.

      1. Google Cloud 콘솔에서 직원 ID 풀 페이지로 이동합니다.

         직원 ID 풀로 이동

      2. 직원 ID 풀 표에서 공급업체를 만들 풀을 선택합니다.

      3. 공급업체 표에서 공급업체 추가를 클릭합니다.

      4. 프로토콜 선택에서 OpenID Connect(OIDC)를 선택합니다.

      5. 풀 제공업체 만들기에서 다음을 수행합니다.

         1. 이름에 제공업체 이름을 입력합니다.
         2. 발급기관(URL)에 발급기관 URI를 입력합니다. OIDC 발급기관 URI는 유효한 URI 형식이어야 하며 https(으)로 시작해야 합니다. 예를 들면 https://example.com/oidc입니다.
         3. OIDC IdP에 등록된 OIDC 클라이언트 ID인 클라이언트 ID를 입력합니다. ID는 IdP에서 발급한 JWT의 aud 클레임과 일치해야 합니다.
         4. 사용 설정 상태의 공급업체를 만들려면 사용 설정된 제공업체를 사용 설정합니다.
         5. 계속을 클릭합니다.

      6. 응답 유형에서 다음을 수행합니다. 응답 유형은 웹 기반 싱글 사인온(SSO) 흐름에만 사용됩니다.

         1. 응답 유형에서 ID 토큰을 선택합니다.
         2. 계속을 클릭합니다.

      7. 공급업체 구성에서 속성 매핑 및 속성 조건을 구성할 수 있습니다. 속성 매핑을 만들려면 다음을 수행합니다. IdP 필드 이름이나 문자열을 반환하는 CEL 형식의 표현식을 입력합니다.

         1. 필수: OIDC 1에 IdP에서 확인된 소유자를 입력합니다. 예를 들면 assertion.sub입니다.

         2. 선택사항: 속성 매핑을 더 추가하려면 다음을 수행합니다.

            1. 매핑 추가를 클릭합니다.
            2. Google n에서 n은 숫자이며 Google Cloud 지원 키 중 하나를 입력합니다.
            3. 해당하는 OIDC n 필드에 매핑할 IdP별 필드 이름을 CEL 형식으로 입력합니다.

         3. 속성 조건을 만들려면 다음을 수행합니다.

            1. 조건 추가를 클릭합니다.

            2. 속성 조건에서 조건을 CEL 형식으로 입력합니다(예: assertion.subject.endsWith('@example.com') 이전에 매핑된 subject 값에 @example.com(으)로 끝나는 이메일 주소가 포함된 경우).

               경고: 멀티 테넌트 IdP에 단일 발급기관 URI가 있으면 속성 조건을 사용하여 액세스가 올바른 테넌트로 제한되도록 해야 합니다. 자세한 내용은 GitHub 또는 다른 멀티 테넌트 ID 공급업체와 제휴할 때 속성 조건 사용을 참조하세요.

      8. 제공업체를 만들려면 제출을 클릭합니다.

   gcloud

   코드 흐름

   Okta에서 다음을 수행합니다.

   1. 클라이언트 인증에서 클라이언트 보안 비밀번호를 선택합니다.

   2. 클라이언트 보안 비밀번호 테이블에서 보안 비밀을 찾고 복사를 클릭합니다.

   Google Cloud에서 웹 로그인에 승인 코드 플로우를 사용하는 OIDC 공급업체를 만들려면 다음 명령어를 실행합니다.

   gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
       --workforce-pool=WORKFORCE_POOL_ID \
       --display-name="DISPLAY_NAME" \
       --description="DESCRIPTION" \
       --issuer-uri="ISSUER_URI" \
       --client-id="OIDC_CLIENT_ID" \
       --client-secret-value="OIDC_CLIENT_SECRET" \
       --web-sso-response-type="code" \
       --web-sso-assertion-claims-behavior="merge-user-info-over-id-token-claims" \
       --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --jwk-json-path="JWK_JSON_PATH" \
       --location=global
   

   다음을 바꿉니다.

   • PROVIDER_ID: 고유한 공급업체 ID gcp- 프리픽스는 예약되어 있으며 풀 또는 공급업체 ID에는 사용할 수 없습니다.
   • WORKFORCE_POOL_ID: IdP를 연결할 직원 ID 풀 ID
   • DISPLAY_NAME: 선택사항이며 공급업체의 사용자 친화적인 표시 이름(예: idp-eu-employees)
   • DESCRIPTION: 선택사항이며 직원 공급업체 설명(예: IdP for Partner Example Organization employees)
   • ISSUER_URI: 유효한 URI 형식의 OIDC 발급기관 URI, https(으)로 시작(예: https://example.com/oidc) 참고: 보안상의 이유로 ISSUER_URI은(는) HTTPS 스키마를 사용해야 합니다.
   • OIDC_CLIENT_ID: OIDC IdP에 등록된 OIDC 클라이언트 ID. ID가 IdP에서 발급한 JWT의 aud 클레임과 일치해야 합니다.
   • OIDC_CLIENT_SECRET: OIDC 클라이언트 보안 비밀번호
   • WEB_SSO_ADDITIONAL_SCOPES: 콘솔(제휴) 또는 gcloud CLI 브라우저 기반 로그인을 위해 OIDC IdP로 전송할 선택적 추가 범위(예: groups Okta의 조직 승인 서버를 사용하는 경우 Okta에서 그룹 클레임 요청)
   • ATTRIBUTE_MAPPING: 속성 매핑입니다. 다음은 속성 매핑의 예시입니다.

     google.subject=assertion.sub,
     google.groups=assertion.group1,
     attribute.costcenter=assertion.costcenter

     이 예시에서는 OIDC 어설션의 IdP 속성 subject 및 group1, costcenter를 각각 google.subject, google.groups, attribute.costcenter 속성에 매핑합니다.
   • ATTRIBUTE_CONDITION: 속성 조건(예: assertion.subject.endsWith('@example.com') 이전에 매핑된 subject 값에 @example.com(으)로 끝나는 이메일 주소가 포함된 경우)
   경고: 멀티 테넌트 IdP에 단일 발급기관 URI가 있으면 속성 조건을 사용하여 액세스가 올바른 테넌트로 제한되도록 해야 합니다. 자세한 내용은 GitHub 또는 다른 멀티 테넌트 ID 공급업체와 제휴할 때 속성 조건 사용을 참조하세요.
   • JWK_JSON_PATH: 로컬로 업로드된 OIDC JWK의 선택적 경로입니다. 이 파라미터를 제공하지 않으면 Google Cloud에서 대신 IdP의 /.well-known/openid-configuration 경로를 사용하여 공개 키가 포함된 JWK를 소싱합니다. 로컬로 업로드된 OIDC JWK에 대한 자세한 내용은 OIDC JWK 관리를 참조하세요.

   참고: 로컬 OIDC JWK는 암시적 흐름이나 코드 흐름을 통해 업로드될 수 있지만 프로그래매틱 흐름에서만 사용될 수 있습니다. 여기서는 서드 파티 IdP의 사용자 인증 정보로 STS /token 엔드포인트를 직접 호출하여 직원 풀을 위한 Google Cloud 액세스 토큰으로 교환합니다.

   명령어 응답에서 POOL_RESOURCE_NAME은 풀 이름입니다(예: locations/global/workforcePools/enterprise-example-organization-employees).

   암시적 흐름

   웹 로그인에 암시적 흐름을 사용하는 OIDC 공급업체를 만들려면 다음 명령어를 실행합니다.

   gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
       --workforce-pool=WORKFORCE_POOL_ID \
       --display-name="DISPLAY_NAME" \
       --description="DESCRIPTION" \
       --issuer-uri="ISSUER_URI" \
       --client-id="OIDC_CLIENT_ID" \
       --web-sso-response-type="id-token" \
       --web-sso-assertion-claims-behavior="only-id-token-claims" \
       --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --jwk-json-path="JWK_JSON_PATH" \
       --location=global
   

   다음을 바꿉니다.

   • PROVIDER_ID: 고유한 공급업체 ID gcp- 프리픽스는 예약되어 있으며 풀 또는 공급업체 ID에는 사용할 수 없습니다.
   • WORKFORCE_POOL_ID: IdP를 연결할 직원 ID 풀 ID
   • DISPLAY_NAME: 선택사항이며 공급업체의 사용자 친화적인 표시 이름(예: idp-eu-employees)
   • DESCRIPTION: 선택사항이며 직원 공급업체 설명(예: IdP for Partner Example Organization employees)
   • ISSUER_URI: 유효한 URI 형식의 OIDC 발급기관 URI, https(으)로 시작(예: https://example.com/oidc) 참고: 보안상의 이유로 ISSUER_URI은(는) HTTPS 스키마를 사용해야 합니다.
   • OIDC_CLIENT_ID: OIDC IdP에 등록된 OIDC 클라이언트 ID. ID가 IdP에서 발급한 JWT의 aud 클레임과 일치해야 합니다.
   • WEB_SSO_ADDITIONAL_SCOPES: 콘솔(제휴) 또는 gcloud CLI 브라우저 기반 로그인을 위해 OIDC IdP로 전송할 선택적 추가 범위(예: groups Okta의 조직 승인 서버를 사용하는 경우 Okta에서 그룹 클레임 요청)
   • ATTRIBUTE_MAPPING: 속성 매핑입니다. 다음은 속성 매핑의 예시입니다.

     google.subject=assertion.sub,
     google.groups=assertion.group1,
     attribute.costcenter=assertion.costcenter

     이 예시에서는 OIDC 어설션의 IdP 속성 subject 및 group1, costcenter를 각각 google.subject, google.groups, attribute.costcenter 속성에 매핑합니다.
   • ATTRIBUTE_CONDITION: 속성 조건(예: assertion.subject.endsWith('@example.com') 이전에 매핑된 subject 값에 @example.com(으)로 끝나는 이메일 주소가 포함된 경우)
   경고: 멀티 테넌트 IdP에 단일 발급기관 URI가 있으면 속성 조건을 사용하여 액세스가 올바른 테넌트로 제한되도록 해야 합니다. 자세한 내용은 GitHub 또는 다른 멀티 테넌트 ID 공급업체와 제휴할 때 속성 조건 사용을 참조하세요.
   • JWK_JSON_PATH: 로컬로 업로드된 OIDC JWK의 선택적 경로입니다. 이 파라미터를 제공하지 않으면 Google Cloud에서 대신 IdP의 /.well-known/openid-configuration 경로를 사용하여 공개 키가 포함된 JWK를 소싱합니다. 로컬로 업로드된 OIDC JWK에 대한 자세한 내용은 OIDC JWK 관리를 참조하세요.

   참고: 로컬 OIDC JWK는 암시적 흐름이나 코드 흐름을 통해 업로드될 수 있지만 프로그래매틱 흐름에서만 사용될 수 있습니다. 여기서는 서드 파티 IdP의 사용자 인증 정보로 STS /token 엔드포인트를 직접 호출하여 직원 풀을 위한 Google Cloud 액세스 토큰으로 교환합니다.

   명령어 응답에서 POOL_RESOURCE_NAME은 풀 이름입니다(예: locations/global/workforcePools/enterprise-example-organization-employees).

SAML 직원 풀 제공업체 만들기

1. SAML IdP에서 Google Cloud 직원 ID 제휴를 위한 새 애플리케이션을 등록합니다.

2. SAML 어설션 대상을 설정합니다. 이는 일반적으로 IdP 구성의 SP Entity ID 필드입니다. 값을 다음 URL로 설정해야 합니다.

   https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/PROVIDER_ID
   

3. 콘솔에 대한 사용자 액세스를 설정하려면 SAML IdP에서 리디렉션 URL 또는 어설션 소비자 서비스(ACS) URL 필드를 다음 URL로 설정합니다.

   https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

   콘솔 로그인 구성에 대한 자세한 내용은 콘솔에 대한 사용자 액세스 설정을 참조하세요.

4. Google Cloud에서 IdP의 SAML 메타데이터 문서를 사용하여 SAML 직원 ID 풀 제공업체를 만듭니다. IdP의 SAML 메타데이터 XML 문서를 다운로드할 수 있습니다. 문서에는 다음 항목이 반드시 포함되어야 합니다.

   • IdP의 SAML 엔티티 ID
   • IdP의 싱글 사인온(SSO) URL
   • 서명 공개 키 1개 이상 서명 키에 대한 자세한 내용은 이 가이드 뒷부분의 주요 요구사항을 참조하세요.

콘솔

Google Cloud 콘솔을 사용하여 SAML 공급업체를 구성하려면 다음을 수행합니다.

1. Google Cloud 콘솔에서 직원 ID 풀 페이지로 이동합니다.

   직원 ID 풀로 이동

2. 직원 ID 풀 표에서 공급업체를 만들 풀을 선택합니다.

3. 공급업체 표에서 공급업체 추가를 클릭합니다.

4. 프로토콜 선택에서 SAML을 선택합니다.

5. 풀 제공업체 만들기에서 다음을 수행합니다.

   1. 이름에 제공업체 이름을 입력합니다.

   2. 선택사항: 설명에 제공업체에 대한 설명을 입력합니다.

   3. IDP 메타데이터 파일(XML)에서 이 가이드의 앞부분에서 생성한 메타데이터 XML 파일을 선택합니다.

   4. 사용 설정된 제공업체를 사용 설정합니다.

   5. 계속을 클릭합니다.

6. 제공업체 구성에서 다음을 수행합니다.

   1. 속성 매핑에서 google.subject의 CEL 표현식을 입력합니다.

   2. 선택사항: 다른 매핑을 입력하려면 매핑 추가를 클릭하고 다른 매핑을 입력합니다. 예를 들면 다음과 같습니다.

      google.subject=assertion.subject,
      google.groups=assertion.attributes['https://example.com/aliases'],
      attribute.costcenter=assertion.attributes.costcenter[0]

      이 예시에서는 IdP 속성 assertion.subject, assertion.attributes['https://example.com/aliases'], assertion.attributes.costcenter[0]을 각각 Google Cloud 속성 google.subject, google.groups, google.costcenter에 매핑합니다.

   3. 선택사항: 속성 조건을 추가하려면 조건 추가를 클릭하고 속성 조건을 나타내는 CEL 표현식을 입력합니다. 예를 들어 ipaddr 속성을 특정 IP 범위로 제한하려면 assertion.attributes.ipaddr.startsWith('98.11.12.') 조건을 설정합니다. 이 예시의 조건은 IP 주소가 98.11.12.로 시작하는 사용자만 이 직원 제공업체를 사용하여 로그인할 수 있도록 합니다.

      경고: 멀티 테넌트 IdP에 단일 발급기관 URI가 있으면 속성 조건을 사용하여 액세스가 올바른 테넌트로 제한되도록 해야 합니다. 자세한 내용은 GitHub 또는 다른 멀티 테넌트 ID 공급업체와 제휴할 때 속성 조건 사용을 참조하세요.

   4. 계속을 클릭합니다.

7. 제공업체를 만들려면 제출을 클릭합니다.

gcloud

SAML 프로토콜을 사용하여 Okta 앱 통합을 위한 직원 ID 풀 공급업체를 만들려면 다음을 수행합니다.

1. Okta 앱의 SAML 메타데이터를 저장하려면 다음을 수행합니다.

   1. Okta 앱으로 이동합니다.
   2. 사인온 탭을 클릭합니다.
   3. SAML 서명 인증서 섹션에서 활성 인증서의 작업 > IdP 메타데이터 보기를 클릭합니다.
   4. 새 페이지가 열리면 XML 메타데이터를 복사합니다.
   5. 메타데이터를 로컬 XML 파일로 저장합니다.

2. Okta 앱의 직원 제공업체를 만들려면 다음 명령어를 실행합니다.

   gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
       --workforce-pool="WORKFORCE_POOL_ID" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --idp-metadata-path="XML_METADATA_PATH" \
       --location="global"
   

   다음을 바꿉니다.

   • WORKFORCE_PROVIDER_ID: 이 가이드 앞부분에서 만든 직원 제공업체 ID
   • WORKFORCE_POOL_ID: 이 가이드 앞부분에서 만든 직원 풀 ID

   • ATTRIBUTE_MAPPING: 속성 매핑. 예를 들면 다음과 같습니다.

     google.subject=assertion.subject,
     google.groups=assertion.attributes['https://example.com/aliases'],
     attribute.costcenter=assertion.attributes.costcenter[0]

     이 예시에서는 IdP 속성 assertion.subject, assertion.attributes['https://example.com/aliases'], assertion.attributes.costcenter[0]을 각각 Google Cloud 속성 google.subject, google.groups, google.costcenter에 매핑합니다.

   • ATTRIBUTE_CONDITION: 선택사항인 속성 조건 예를 들어 ipaddr 속성을 특정 IP 범위로 제한하려면 assertion.attributes.ipaddr.startsWith('98.11.12.') 조건을 설정합니다. 이 예시의 조건은 IP 주소가 98.11.12.로 시작하는 사용자만 이 직원 제공업체를 사용하여 로그인할 수 있도록 합니다.

   • XML_METADATA_PATH: 이 가이드 앞부분에서 만든 Okta 앱의 XML 형식 메타데이터 파일 경로

   gcp- 프리픽스는 예약되어 있으며 풀 또는 공급업체 ID에는 사용할 수 없습니다.

   선택사항: IdP에서 암호화된 SAML 어설션 허용

   SAML 2.0 IdP에서 직원 ID 제휴에서 허용할 수 있는 암호화된 SAML 어설션을 생성하도록 하려면 다음 안내를 따르세요.

   • 직원 ID 제휴에서 다음을 수행합니다.
   • 직원 ID 풀 공급업체에 비대칭 키 쌍을 만듭니다.
   • 공개 키가 포함된 인증서 파일을 다운로드합니다.
   • 공개 키를 사용하여 발급되는 SAML 어설션을 암호화하도록 SAML IdP를 구성합니다.
   • IdP에서 다음을 수행합니다.
   • 토큰 암호화라고도 하는 어설션 암호화를 사용 설정합니다.
   • 직원 ID 제휴에서 만든 공개 키를 업로드합니다.
   • IdP에서 암호화된 SAML 어설션을 생성하는지 확인합니다.
   SAML 암호화 제공업체 키가 구성되어 있더라도 직원 ID 제휴는 일반 텍스트 어설션을 처리할 수 있습니다.

   직원 ID 제휴 SAML 어설션 암호화 키 만들기

   이 섹션에서는 직원 ID 제휴가 암호화된 SAML 어설션을 허용할 수 있도록 하는 비대칭 키 쌍을 만드는 방법을 설명합니다.

   Google Cloud는 비공개 키를 사용하여 IdP에서 발급하는 SAML 어설션을 복호화합니다. SAML 암호화에 사용할 비대칭 키 쌍을 만들려면 다음 명령어를 실행합니다. 자세한 내용은 지원되는 SAML 암호화 알고리즘을 참조하세요.

   gcloud iam workforce-pools providers keys create KEY_ID \
       --workforce-pool WORKFORCE_POOL_ID \
       --provider PROVIDER_ID \
       --location global \
       --use encryption \
       --spec KEY_SPECIFICATION

   다음을 바꿉니다.

   • KEY_ID: 선택한 키 이름
   • WORKFORCE_POOL_ID: 풀 ID
   • PROVIDER_ID: 공급업체 ID
   • KEY_SPECIFICATION: 키 사양(rsa-2048, rsa-3072, rsa-4096 중 하나일 수 있음)

   키 쌍이 생성된 후 공개 키를 인증서 파일로 다운로드하려면 다음 명령어를 실행합니다. 직원 ID 제휴만 비공개 키에 액세스할 수 있습니다.

   gcloud iam workforce-pools providers keys describe KEY_ID \
       --workforce-pool WORKFORCE_POOL_ID \
       --provider PROVIDER_ID \
       --location global \
       --format "value(keyData.key)" \
       > CERTIFICATE_PATH

   다음을 바꿉니다.

   • KEY_ID: 키 이름
   • WORKFORCE_POOL_ID: 풀 ID
   • PROVIDER_ID: 공급업체 ID
   • CERTIFICATE_PATH: 인증서를 작성할 경로(예: saml-certificate.cer 또는 saml-certificate.pem)

   암호화된 SAML 어설션을 발급하도록 SAML 2.0 호환 IdP 구성

   SAML 어설션을 암호화하도록 Okta를 구성하려면 다음을 수행합니다.

   • Okta 대시보드로 이동하여 로그인합니다.
   • 애플리케이션>애플리케이션으로 이동합니다.
   • 앱을 클릭합니다.
   • 일반 탭의 SAML 설정 섹션에서 수정을 클릭합니다.
   • 다음을 클릭하여 SAML 설정을 확인합니다.
   • 고급 설정 표시를 클릭합니다.
   • SAML 설정에서 다음을 수행합니다.
   • 응답(권장) 또는 어설션 서명에서 Signed를 선택합니다.
   • 서명 알고리즘 및 다이제스트 알고리즘에서 옵션을 선택합니다.
   • 다음 값을 설정합니다.
   • 어설션 암호화: 암호화됩니다.
   • 암호화 알고리즘: 선택한 알고리즘입니다.
   • 암호화 인증서: 이 가이드의 앞부분에서 생성한 인증서 파일을 업로드합니다.
   • 구성을 저장하려면 다음을 클릭한 후 완료를 클릭합니다.

   SAML 어설션을 암호화하도록 IdP를 구성한 후에는 생성되는 어설션이 실제로 암호화되는지 확인하는 것이 좋습니다. SAML 어설션 암호화를 구성하더라도 직원 ID 제휴는 일반 텍스트 어설션을 처리할 수 있습니다.

   직원 ID 제휴 암호화 키 삭제

   SAML 암호화 키를 삭제하려면 다음 명령어를 실행합니다.

     gcloud iam workforce-pools providers keys delete KEY_ID \
         --workforce-pool WORKFORCE_POOL_ID \
         --provider PROVIDER_ID \
         --location global

   다음을 바꿉니다.

   • KEY_ID: 키 이름
   • WORKFORCE_POOL_ID: 풀 ID
   • PROVIDER_ID: 공급업체 ID

   지원되는 SAML 암호화 알고리즘

   직원 ID 제휴는 다음 키 전송 알고리즘을 지원합니다.

   • http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p
   • http://www.w3.org/2009/xmlenc11#rsa-oaep"
   • http://www.w3.org/2001/04/xmlenc#rsa-1_5"

   직원 ID 제휴는 다음 블록 암호화 알고리즘을 지원합니다.

   • http://www.w3.org/2001/04/xmlenc#aes128-cbc
   • http://www.w3.org/2001/04/xmlenc#aes192-cbc
   • http://www.w3.org/2001/04/xmlenc#aes256-cbc
   • http://www.w3.org/2009/xmlenc11#aes128-gcm
   • http://www.w3.org/2009/xmlenc11#aes256-gcm

Google Cloud 리소스 액세스 관리

이 섹션에서는 직원 ID 제휴 사용자별로 Google Cloud 리소스에 대한 액세스 권한을 관리하는 방법을 보여주는 예시를 제공합니다.

이 예시에서는 샘플 프로젝트에 Identity and Access Management(IAM) 역할을 부여합니다. 그러면 사용자가 로그인하고 이 프로젝트를 사용하여 Google Cloud 제품에 액세스할 수 있습니다.

참고: 여기에 사용된 샘플 프로젝트는 직원 ID 제휴를 설정하는 데 사용한 프로젝트와 다를 수 있습니다.

단일 ID, ID 그룹 또는 전체 풀에 대해 IAM 역할을 관리할 수 있습니다. 자세한 내용은 IAM 정책에서 직원 ID 풀 사용자 표현을 참조하세요.

참고: 콘솔(제휴)이라고도 알려진 Google Cloud 직원 ID 제휴 콘솔에 액세스하는 모든 직원 ID 제휴 사용자에게 브라우저 역할(roles/browser)을 부여해야 합니다. 사용자가 Google Cloud CLI를 통해 Google Cloud 리소스에 액세스하는 경우 역할을 부여할 필요가 없습니다.

단일 ID의 경우

TEST_PROJECT_ID 프로젝트의 단일 ID에 스토리지 관리자(roles/storage.admin) 역할을 부여하려면 다음 명령어를 실행합니다.

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/SUBJECT_VALUE"

다음을 바꿉니다.

• TEST_PROJECT_ID: 프로젝트의 ID
• WORKFORCE_POOL_ID: 직원 ID 풀 ID
• SUBJECT_VALUE: 사용자 ID

매핑된 부서 속성 사용

TEST_PROJECT_ID 프로젝트의 특정 부서 내의 모든 ID에 스토리지 관리자(roles/storage.admin) 역할을 부여하려면 다음 명령어를 실행합니다.

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.department/DEPARTMENT_VALUE"

다음을 바꿉니다.

• TEST_PROJECT_ID: 프로젝트의 ID
• WORKFORCE_POOL_ID: 직원 풀 ID
• DEPARTMENT_VALUE: 매핑된 attribute.department 값

매핑된 그룹 사용

TEST_PROJECT_ID 프로젝트의 특정 그룹 내 모든 ID에 스토리지 관리자(roles/storage.admin) 역할을 부여하려면 다음 명령어를 실행합니다.

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

다음을 바꿉니다.

• TEST_PROJECT_ID: 프로젝트의 ID
• WORKFORCE_POOL_ID: 직원 풀 ID
• GROUP_ID: 매핑된 google.groups 클레임의 그룹

로그인 및 액세스 테스트

이 섹션에서는 직원 ID 풀 사용자로 로그인하여 Google Cloud 제품에 대한 액세스 권한이 있는지 테스트합니다.

로그인

이 섹션에서는 제휴 사용자로 로그인하여 Google Cloud 리소스에 액세스하는 방법을 설명합니다.

콘솔(제휴) 로그인

콘솔(제휴)이라고도 알려진 Google Cloud 직원 ID 제휴 콘솔에 로그인하려면 다음을 수행합니다.

1. 콘솔(제휴) 로그인 페이지로 이동합니다.

   콘솔(제휴)로 이동

2. 다음과 같은 형식의 공급업체 이름을 입력합니다.

   locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

1. 메시지가 표시되면 Okta 앱 통합에 사용자 인증 정보를 입력합니다.

IdP에서 시작하는 로그인을 시작하는 경우 중첩된 기본 RelayState 매개변수의 SAML 설정에 있는 다음 URL을 사용하세요. https://console.cloud.google/

gcloud CLI 브라우저 기반 로그인

브라우저 기반 로그인 과정을 사용하여 gcloud CLI에 로그인하려면 다음을 수행합니다.

구성 파일 만들기

로그인 구성 파일을 만들려면 다음 명령어를 실행합니다. 선택적으로 --activate 플래그를 사용해서 gcloud CLI에 대한 기본값으로 파일을 활성화할 수 있습니다.

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/PROVIDER_ID \
    --output-file=LOGIN_CONFIG_FILE

다음을 바꿉니다.

• WORKFORCE_POOL_ID: 직원 풀 ID
• PROVIDER_ID: 공급업체 ID
• LOGIN_CONFIG_FILE: 지정하는 구성 파일의 경로(예: login.json)

파일은 gcloud CLI에서 브라우저 기반 인증 흐름을 사용 설정하고 이 가이드의 앞부분에서 만든 공급업체를 잠재고객으로 설정하는 데 사용한 엔드포인트를 포함합니다. 파일에 포함된 기밀 정보가 없습니다.

결과는 다음과 유사합니다.

{
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/PROVIDER_ID",
  "auth_url": "https://auth.cloud.google/authorize",
  "token_url": "https://sts.googleapis.com/v1/oauthtoken",
  "token_info_url": "https://sts.googleapis.com/v1/introspect",
}

주의: 먼저 이 파일의 콘텐츠가 올바른지 확인한 다음 파일을 보호하는 것이 좋습니다. 예를 들어 파일을 읽기 전용으로 설정하고 ACL을 사용하여 액세스를 제한합니다. 파일이 검증되지 않으면 이 파일에 대해 쓰기 액세스 권한이 있는 악의적인 행위자가 엔드포인트를 변경하고 사용자 인증 정보를 가로챌 수 있습니다.

브라우저 기반 인증을 사용하여 로그인

브라우저 기반 로그인 인증을 사용하여 인증하려면 다음 방법 중 하나를 사용할 수 있습니다.

• 구성 파일을 만들 때 --activate 플래그를 사용하거나 gcloud config set auth/LOGIN_CONFIG_FILE로 구성 파일을 활성화한 경우 gcloud CLI에서 자동으로 구성 파일을 사용합니다.

  gcloud auth login

• 구성 파일의 위치를 지정하여 로그인하려면 다음 명령어를 실행합니다.

  gcloud auth login --login-config=LOGIN_CONFIG_FILE

• 환경 변수를 사용하여 구성 파일의 위치를 지정하려면 CLOUDSDK_AUTH_LOGIN_CONFIG_FILE을 구성 경로로 설정합니다.

브라우저 기반 로그인 사용 중지

로그인 구성 파일 사용을 중단하려면 다음을 수행합니다.

• 구성 파일을 만들 때 --activate 플래그를 사용했거나 gcloud config set auth/LOGIN_CONFIG_FILE로 구성 파일을 활성화한 경우 다음 명령어를 실행하여 설정을 해제해야 합니다.

  gcloud config unset auth/login_config_file

• CLOUDSDK_AUTH_LOGIN_CONFIG_FILE 환경 변수가 설정되어 있으면 지웁니다.

참고: IdP에서 시작하는 로그인을 시작하는 경우 중첩된 기본 RelayState 매개변수의 SAML 설정에 있는 다음 URL을 사용하세요. https://console.cloud.google/

gcloud CLI 헤드리스 로그인

헤드리스 흐름을 사용하여 gcloud CLI에 로그인하려면 다음을 수행합니다.

OIDC

1. Okta 앱에 사용자로 로그인하고 Okta에서 OIDC 토큰을 가져옵니다.

2. Okta에서 반환한 OIDC 토큰을 로컬 머신의 안전한 위치에 저장합니다.

3. 다음과 같이 구성 파일을 생성합니다. 다음 명령어를 실행합니다.

   gcloud iam workforce-pools create-cred-config \
       locations/global/workforcePools/WORKFORCE_POOL_ID/providers/PROVIDER_ID \
       --subject-token-type="urn:ietf:params:oauth:token-type:id_token" \
       --credential-source-file="PATH_TO_OIDC_ID_TOKEN" \
       --workforce-pool-user-project="WORKFORCE_POOL_USER_PROJECT" \
       --output-file="config.json"
   

다음을 바꿉니다.

• WORKFORCE_POOL_ID: 직원 풀 ID
• PROVIDER_ID: 공급업체 ID
• PATH_TO_OIDC_TOKEN: OIDC IdP 사용자 인증 정보 파일의 경로
• WORKFORCE_POOL_USER_PROJECT: 직원 풀 사용자 프로젝트와 연결된 프로젝트 번호

주 구성원에게 이 프로젝트에 대한 serviceusage.services.use 권한이 있어야 합니다.

명령어를 실행하면 다음과 비슷한 형식의 OIDC IdP 구성 파일이 생성됩니다.

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/PROVIDER_ID",
  "subject_token_type": "urn:ietf:params:oauth:token-type:id_token",
  "token_url": "https://sts.googleapis.com/v1/token",
  "workforce_pool_user_project": "WORKFORCE_POOL_USER_PROJECT",
  "credential_source": {
    "file": "PATH_TO_OIDC_CREDENTIALS_FILE"
  }
}

SAML

1. Okta 앱에 사용자를 로그인하고 Okta에서 SAML 응답을 가져옵니다.

2. Okta에서 반환한 SAML 응답을 로컬 머신의 안전한 위치에 저장한 후 다음과 같이 경로를 저장합니다.

   SAML_ASSERTION_PATH=SAML_ASSERTION_PATH
   

3. 구성 파일을 생성하려면 다음 명령어를 실행합니다.

   gcloud iam workforce-pools create-cred-config \
       locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
       --subject-token-type="urn:ietf:params:oauth:token-type:saml2" \
       --credential-source-file="SAML_ASSERTION_PATH"  \
       --workforce-pool-user-project="PROJECT_ID"  \
       --output-file="config.json"
   

   다음을 바꿉니다.

   • WORKFORCE_PROVIDER_ID: 이 가이드 앞부분에서 만든 직원 제공업체 ID
   • WORKFORCE_POOL_ID: 이 가이드 앞부분에서 만든 직원 풀 ID
   • SAML_ASSERTION_PATH: SAML 어설션 파일의 경로
   • PROJECT_ID: 프로젝트 ID

   생성되는 구성 파일은 다음과 유사합니다.

   {
     "type": "external_account",
     "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
     "subject_token_type": "urn:ietf:params:oauth:token-type:saml2",
     "token_url": "https://sts.googleapis.com/v1/token",
     "credential_source": {
       "file": "SAML_ASSERTION_PATH"
     },
     "workforce_pool_user_project": "PROJECT_ID"
   }
   

토큰 교환을 사용하여 gcloud에 로그인하려면 다음 명령어를 실행합니다.

gcloud auth login --cred-file="config.json"

그러면 gcloud가 Okta 사용자 인증 정보를 임시 Google Cloud 액세스 토큰으로 투명하게 교환하여 Google Cloud에 다른 gcloud 호출을 수행할 수 있게 됩니다.

다음과 비슷한 출력이 표시됩니다.

Authenticated with external account user credentials for:
[principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/USER_ID].

사용자 인증 정보 계정과 현재 활성 계정을 나열하려면 다음 명령어를 실행합니다.

gcloud auth list

액세스 테스트

이제 직원 ID 제휴를 지원하고 액세스 권한이 부여된 Google Cloud 서비스에 액세스할 수 있습니다. 이 가이드의 앞부분에서는 TEST_PROJECT_ID 프로젝트의 특정 부서 내의 모든 ID에 스토리지 관리자(roles/storage.admin) 역할을 부여했습니다. 이제 Cloud Storage 버킷을 나열하여 액세스 권한이 있는지 테스트할 수 있습니다.

콘솔(제휴)

콘솔(제휴)을 사용하여 Cloud Storage 버킷을 나열하려면 다음을 수행합니다.

• Cloud Storage 페이지로 이동합니다.
• TEST_PROJECT_ID의 기존 버킷 목록이 표시되는지 확인합니다.

gcloud CLI

액세스 권한이 있는 프로젝트의 Cloud Storage 버킷 및 객체를 나열하려면 다음 명령어를 실행합니다.

gcloud storage ls --project="TEST_PROJECT_ID"

주 구성원에게 지정된 프로젝트에 대한 serviceusage.services.use 권한이 있어야 합니다.

사용자 삭제

직원 ID 제휴는 제휴 사용자 ID에 대한 사용자 메타데이터와 리소스를 만듭니다. 예를 들어 IdP에서 사용자를 삭제하는 경우 Google Cloud에서도 해당 리소스를 명시적으로 삭제해야 합니다. 이렇게 하려면 직원 ID 제휴 사용자 및 데이터 삭제를 참조하세요.

리소스가 삭제된 사용자와 계속 연결된 것으로 표시될 수 있습니다. 이는 사용자 메타데이터 및 리소스 삭제를 위해 장기 실행 작업이 필요하기 때문입니다. 사용자 ID 삭제를 시작한 후에는 프로세스가 완료되거나 취소되기 전까지 삭제 이전에 사용자가 시작한 프로세스가 계속 실행될 수 있습니다.

다음 단계

• 직원 ID 제휴 사용자 및 데이터 삭제
• 직원 ID 제휴를 지원하는 Google Cloud 제품 알아보기
• 콘솔에 대한 사용자 액세스 설정(제휴)