使用 Microsoft Entra ID 設定員工身分聯盟，並讓使用者登入

本文說明如何使用 Microsoft Entra ID 識別資訊提供者 (IdP) 設定員工身分聯盟，以及如何管理Google Cloud的存取權。聯合使用者隨後即可存取 Google Cloud 支援員工身分聯盟的服務。您可以使用 OIDC 或 SAML 2.0 通訊協定，進行身分同盟。

事前準備

1. 確認您已設定 Google Cloud 組織。

2. 安裝 Google Cloud CLI。 完成後，執行下列指令來初始化 Google Cloud CLI：

   gcloud init

   若您採用的是外部識別資訊提供者 (IdP)，請先 使用聯合身分登入 gcloud CLI。

3. 在 Microsoft Entra ID 中，請確認已為隱含流程啟用 ID 權杖。詳情請參閱「啟用 ID 權杖隱含授權」。
4. 如要登入，IdP 必須提供已簽署的驗證資訊：OIDC IdP 必須提供 JWT，且 SAML IdP 回應必須經過簽署。
5. 如要接收有關組織或Google Cloud 產品異動的重要資訊，請務必提供重要聯絡人。詳情請參閱「員工身分聯盟總覽」。

費用

員工身分聯盟是免付費功能。不過，員工身分聯盟詳細稽核記錄會使用 Cloud Logging。如要瞭解 Logging 定價，請參閱「Google Cloud Observability 定價」。

必要的角色

如要取得設定員工身分聯盟所需的權限，請要求管理員授予您組織的 IAM 工作團隊集區管理員 (roles/iam.workforcePoolAdmin) IAM 角色。如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

您或許也能透過自訂角色或其他預先定義的角色，取得必要權限。

如果您是在開發或測試環境 (而非正式環境) 中設定權限，可以授予 IAM 擁有者 (roles/owner) 基本角色，其中也包含員工身分聯盟的權限。

建立 Microsoft Entra ID 應用程式

員工身分集區支援使用 OIDC 和 SAML 通訊協定的聯盟。

建立工作團隊身分集區

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

建立 Microsoft Entra ID 員工身分集區提供者

本節說明如何建立員工身分集區提供者，讓 IdP 使用者存取 Google Cloud。您可以將提供者設為使用 OIDC 或 SAML 通訊協定。

建立 OIDC 工作團隊身分集區提供者

如要使用 OIDC 通訊協定，為 Microsoft Entra ID Application Integration 建立工作團隊身分集區 provider，請按照下列步驟操作：

1. 如要取得 Microsoft Entra ID 應用程式的核發者 URI，請按照下列步驟操作：

   1. 前往 Microsoft Entra ID 應用程式註冊的「Overview」(總覽) 頁面。
   2. 按一下 [端點]。

   3. 找出 OpenID Connect 中繼資料文件端點。核發機構 URI 是 OpenID Connect 中繼資料文件 URI，但省略了尾端的 /.well-known/openid-configuration。

      舉例來說，如果 OpenID Connect 中繼資料文件 URI 是 https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/.well-known/openid-configuration，則核發者 URI 為 https://login.microsoftonline.com/d41ad248-019e-49e5-b3de-4bdfe1fapple/v2.0/。或者，您也可以複製 OpenID Connect 中繼資料文件網址，在瀏覽器分頁中開啟，然後從 JSON 回應中複製 issuer 的值。

2. 如要取得 Microsoft Entra ID 應用程式的用戶端 ID，請按照下列步驟操作：

   1. 前往 Microsoft Entra ID 應用程式註冊的「Overview」(總覽) 頁面。
   2. 複製「應用程式 (用戶端) ID」中的值。

3. 如要建立 OIDC 工作團隊身分集區提供者，以便進行網頁式登入，請按照下列步驟操作：

   gcloud

   如要建立支援 OIDC 通訊協定的提供者，請按照下列步驟操作：

   代碼流程

   如要建立使用授權碼流程的 OIDC 提供者，以便透過網頁式登入，請按照下列步驟操作：

   1. 如要取得 Microsoft Entra ID 應用程式的用戶端密鑰，請按照下列步驟操作：

      1. 前往 Microsoft Entra ID 應用程式註冊頁面。

      2. 在「Certificates & secrets」中，按一下「用戶端密鑰」分頁標籤。

      3. 如要新增用戶端密鑰，請按一下「+ New client secret」。

      4. 在「新增用戶端密鑰」對話方塊中，視需要輸入資訊。

      5. 按一下「Add」，建立用戶端密鑰。

      6. 在「Client secrets」分頁中，找出新的用戶端密鑰。

      7. 在新的用戶端密鑰「Value」(值) 欄中，按一下 content_copy「Copy」(複製)。

   2. 如要建立供應商，請執行下列指令：

      gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
          --workforce-pool=WORKFORCE_POOL_ID \
          --display-name="DISPLAY_NAME" \
          --description="DESCRIPTION" \
          --issuer-uri="ISSUER_URI" \
          --client-id="OIDC_CLIENT_ID" \
          --client-secret-value="OIDC_CLIENT_SECRET" \
          --vendor-type="entra-id" \
          --web-sso-response-type="code" \
          --web-sso-assertion-claims-behavior="merge-user-info-over-id-token-claims" \
          --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
          --attribute-mapping="ATTRIBUTE_MAPPING" \
          --attribute-condition="ATTRIBUTE_CONDITION" \
          --jwk-json-path="JWK_JSON_PATH" \
          --detailed-audit-logging \
          --location=global
      

      替換下列內容：

      • WORKFORCE_PROVIDER_ID：員工身分集區提供者的專屬 ID。前置字元 gcp- 為保留字，不得用於員工身分集區或員工身分集區提供者 ID。
      • WORKFORCE_POOL_ID：要連結 IdP 的員工身分集區 ID。
      • DISPLAY_NAME：提供者的選用易記顯示名稱，例如 idp-eu-employees。
      • DESCRIPTION：選用的工作團隊提供者說明，例如 IdP for Partner Example Organization employees。
      • ISSUER_URI：OIDC 核發者 URI，格式必須有效，且開頭為 https，例如 https://example.com/oidc。注意：基於安全考量，ISSUER_URI 必須使用 HTTPS 配置。
      • OIDC_CLIENT_ID：向 OIDC IdP 註冊的 OIDC 用戶端 ID；該 ID 必須與 IdP 核發的 JWT aud 宣告相符。
      • OIDC_CLIENT_SECRET：OIDC 用戶端密鑰。
      • WEB_SSO_ADDITIONAL_SCOPES：選用的額外範圍，用於傳送至 OIDC IdP，以便透過控制台 (聯合) 或 gcloud CLI 瀏覽器登入。
      • ATTRIBUTE_MAPPING：屬性對應。 如果是採用 OIDC 驗證機制的 Microsoft Entra ID，建議使用下列屬性對應：

        google.subject=assertion.oid,
        google.groups=assertion.groups,
        google.display_name=assertion.preferred_username
        

        這個範例會將 IdP 屬性 assertion.oid、assertion.groups 和 assertion.preferred_username 分別對應至 Google Cloud屬性 google.subject、google.groups 和 google.display_name。

      • ATTRIBUTE_CONDITION：屬性條件；例如，如要將 ipaddr 屬性限制在特定 IP 範圍，您可以設定條件 assertion.ipaddr.startsWith('98.11.12.')。
      • JWK_JSON_PATH：在本機上傳的 OIDC JWK 選用路徑。如果未提供這個參數， Google Cloud 會改用 IdP 的 /.well-known/openid-configuration 路徑，取得含有公開金鑰的 JWK。如要進一步瞭解本機上傳的 OIDC JWK，請參閱「管理 OIDC JWK」。

      • 員工身分聯盟詳細稽核記錄會將從 IdP 收到的資訊記錄到 Logging。詳細稽核記錄可協助您排解工作團隊身分集區提供者設定的問題。如要瞭解如何透過詳細的稽核記錄排解屬性對應錯誤，請參閱「一般屬性對應錯誤」。如要瞭解 Logging 定價，請參閱「Google Cloud Observability 定價」。

        如要為工作團隊身分集區提供者停用詳細稽核記錄功能，請在執行 gcloud iam workforce-pools providers create 時省略 --detailed-audit-logging 旗標。如要停用詳細稽核記錄，您也可以更新供應商。

      --web-sso-assertion-claims-behavior 旗標可控管 OIDC 宣告如何納入用於屬性對應和屬性條件的 assertion 物件。如果是授權碼流程 (--web-sso-response-type="code")，您可以將這個旗標設為下列其中一個值：

      • merge-user-info-over-id-token-claims：將 OIDC UserInfo 端點的憑證資訊與 ID 權杖的憑證資訊合併。如果兩者包含相同的聲明名稱，系統會優先採用 UserInfo 聲明值。如果 IdP 從 UserInfo 端點傳回額外的使用者屬性或群組宣告，請使用這個值。
      • only-id-token-claims：僅包含 ID 權杖中的要求。 如果屬性對應和條件所需的所有憑證資訊都已存在於 ID 權杖中，請使用這個值。
      在指令回應中，POOL_RESOURCE_NAME 是集區的名稱，例如 locations/global/workforcePools/enterprise-example-organization-employees。

   隱含流程

   如要建立使用隱含流程的 OIDC 供應商，以便進行網頁登入，請按照下列步驟操作：

   1. 如要在 Microsoft Entra ID 應用程式中啟用 ID 權杖，請按照下列步驟操作：

      1. 前往 Microsoft Entra ID 應用程式註冊頁面。
      2. 在「Authentication」(驗證) 中，勾選「ID token」(ID 權杖) 核取方塊。
      3. 按一下 [儲存]。

   2. 如要建立供應商，請執行下列指令：

      gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
          --workforce-pool=WORKFORCE_POOL_ID \
          --display-name="DISPLAY_NAME" \
          --description="DESCRIPTION" \
          --issuer-uri="ISSUER_URI" \
          --client-id="OIDC_CLIENT_ID" \
          --vendor-type="entra-id" \
          --web-sso-response-type="id-token" \
          --web-sso-assertion-claims-behavior="only-id-token-claims" \
          --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
          --attribute-mapping="ATTRIBUTE_MAPPING" \
          --attribute-condition="ATTRIBUTE_CONDITION" \
          --jwk-json-path="JWK_JSON_PATH" \
          --detailed-audit-logging \
          --location=global
      

      替換下列內容：

      • WORKFORCE_PROVIDER_ID：員工身分集區提供者的專屬 ID。前置字元 gcp- 為保留字，不得用於員工身分集區或員工身分集區提供者 ID。
      • WORKFORCE_POOL_ID：要連結 IdP 的員工身分集區 ID。
      • DISPLAY_NAME：提供者的選用易記顯示名稱，例如 idp-eu-employees。
      • DESCRIPTION：選用的工作團隊提供者說明，例如 IdP for Partner Example Organization employees。
      • ISSUER_URI：OIDC 核發者 URI，格式必須有效，且開頭為 https，例如 https://example.com/oidc。注意：基於安全考量，ISSUER_URI 必須使用 HTTPS 配置。
      • OIDC_CLIENT_ID：向 OIDC IdP 註冊的 OIDC 用戶端 ID；該 ID 必須與 IdP 核發的 JWT aud 宣告相符。
      • WEB_SSO_ADDITIONAL_SCOPES：選用的額外範圍，用於傳送至 OIDC IdP，以便透過控制台 (聯合) 或 gcloud CLI 瀏覽器登入。
      • ATTRIBUTE_MAPPING：屬性對應。 如果是採用 OIDC 驗證機制的 Microsoft Entra ID，建議使用下列屬性對應：

        google.subject=assertion.oid,
        google.groups=assertion.groups,
        google.display_name=assertion.preferred_username
        

        這個範例會將 IdP 屬性 assertion.oid、assertion.groups 和 assertion.preferred_username 分別對應至 Google Cloud屬性 google.subject、google.groups 和 google.display_name。

      • ATTRIBUTE_CONDITION：屬性條件；例如，如要將 ipaddr 屬性限制在特定 IP 範圍內，可以設定 assertion.ipaddr.startsWith('98.11.12.') 條件。
      • JWK_JSON_PATH：在本機上傳的 OIDC JWK 選用路徑。如果未提供這個參數， Google Cloud 會改用 IdP 的 /.well-known/openid-configuration 路徑，取得含有公開金鑰的 JWK。如要進一步瞭解本機上傳的 OIDC JWK，請參閱「管理 OIDC JWK」。

      • 員工身分聯盟詳細稽核記錄會將從 IdP 收到的資訊記錄到 Cloud Logging。詳細稽核記錄可協助您排解工作團隊身分集區提供者設定的問題。如要瞭解如何透過詳細的稽核記錄排解屬性對應錯誤，請參閱「一般屬性對應錯誤」。如要瞭解 Logging 定價，請參閱「Google Cloud Observability 定價」。

        如要為工作團隊身分集區提供者停用詳細稽核記錄功能，請在執行 gcloud iam workforce-pools providers create 時省略 --detailed-audit-logging 旗標。如要停用詳細稽核記錄，您也可以更新供應商。

      如果是隱含流程 (--web-sso-response-type="id-token")，您必須將 --web-sso-assertion-claims-behavior 旗標設為 only-id-token-claims，這只會納入 assertion 物件中 ID 權杖的宣告。隱含流程不支援 merge-user-info-over-id-token-claims 值。

      在指令回應中，POOL_RESOURCE_NAME 是集區名稱，例如 locations/global/workforcePools/enterprise-example-organization-employees。

   控制台

   代碼流程

   如要建立使用授權碼流程的 OIDC 提供者，以進行網頁式登入，請執行下列步驟：

   1. 如要取得 Microsoft Entra ID 用戶端密鑰，請按照下列步驟操作：

      1. 前往 Microsoft Entra ID 應用程式註冊頁面。

      2. 在「Certificates & secrets」中，按一下「用戶端密鑰」分頁標籤。

      3. 如要新增用戶端密鑰，請按一下「+ New client secret」。

      4. 在「新增用戶端密鑰」對話方塊中，視需要輸入資訊。

      5. 按一下「Add」，建立用戶端密鑰。

      6. 在「Client secrets」分頁中，找出新的用戶端密鑰。

      7. 在新的用戶端密鑰「Value」(值) 欄中，按一下 content_copy「Copy」(複製)。

   1. 前往 Google Cloud 控制台的「Workforce Identity Pools」(員工身分集區) 頁面：

      前往「Workforce Identity Pools」(員工身分集區) 頁面

   2. 在「Workforce Identity Pools」(員工身分集區) 表格中，選取要建立提供者的集區。
   3. 在「Providers」部分，按一下「addAdd Provider」。
   4. 在「Select a Provider vendor」(選取提供者) 清單中，選取您的 IdP。

      如果您的 IdP 未列出，請選取「Generic Identity Provider」。

   5. 在「選取驗證通訊協定」中，選取「OpenID Connect (OIDC)」。
   6. 在「Create a provider」(建立提供者) 區段中，執行下列操作：
      1. 在「名稱」中，輸入供應商名稱。
      2. 在「說明」中，輸入提供者的說明。
      3. 在「核發者 (網址)」中輸入核發者 URI。OIDC 核發者 URI 必須採用有效的 URI 格式，且開頭為 https，例如 https://example.com/oidc。
      4. 在「Client ID」(用戶端 ID) 中，輸入向 OIDC IdP 註冊的 OIDC 用戶端 ID；該 ID 必須與 IdP 核發的 JWT aud 宣告相符。
      5. 如要建立已啟用的提供者，請確認「啟用提供者」已開啟。
      6. 按一下「繼續」。
   7. 在「與 IdP 分享提供者資訊」部分，複製網址。在 IdP 中，將這個網址設為重新導向 URI，讓 IdP 瞭解登入後要將斷言權杖傳送至何處。
   8. 按一下「繼續」。
   9. 在「設定 OIDC 網頁登入功能」部分，執行下列操作：
      1. 在「Flow type」(流程類型) 清單中，選取「Code」(程式碼)。
      2. 在「Assertion claims behavior」(斷言宣告行為) 清單中，選取下列其中一個選項：
         • 使用者資訊和 ID 權杖：合併 UserInfo 端點和 ID 權杖的憑證資訊，並優先採用 UserInfo 憑證資訊值 (如果憑證名稱相同)。如果 IdP 從 UserInfo 端點傳回額外使用者屬性或群組憑證附加資訊，請選取這個選項。
         • 僅限 ID 權杖：僅包含 ID 權杖中的宣告。如果屬性對應和條件所需的所有要求都已存在於 ID 權杖中，請選取這個選項。
      3. 在「Client secret」(用戶端密鑰) 欄位中，輸入 IdP 的用戶端密鑰。

   10. 按一下「繼續」。
   11. 在「Configure provider」(設定供應商) 部分，按一下「Detailed logging」(詳細記錄) 下方的「Enable attribute value audit logging」(啟用屬性值稽核記錄) 切換鈕。

       員工身分聯盟詳細稽核記錄會將從 IdP 收到的資訊記錄到 Cloud Logging。詳細稽核記錄可協助您排解工作團隊身分集區提供者設定的問題。如要瞭解如何透過詳細的稽核記錄排解屬性對應錯誤，請參閱「一般屬性對應錯誤」。如要瞭解 Logging 定價，請參閱「Google Cloud Observability 定價」。

       如要停用員工身分集區提供者的詳細稽核記錄，請在建立提供者時，將「啟用屬性值稽核記錄」切換鈕設為關閉。如要停用詳細稽核記錄，您也可以更新供應商。

   12. 按一下「Submit」(提交)，建立提供者。

   建立供應商後，系統會將您重新導向至供應商屬性頁面。

   如要設定屬性對應和條件，請按照下列步驟操作：

   1. 系統提示時，請登入外部 IdP，驗證預設屬性對應。
   2. 在提供者屬性頁面中，查看及編輯屬性對應和條件：
      1. 如要新增或編輯屬性對應，請按照下列步驟操作：
         1. 按一下「新增對應」新增對應，或編輯現有對應。
         2. 在「Google n」欄位中 (n 為數字)，選取 Google Cloud支援的金鑰。
         3. 在對應的「OIDC n」欄位中，輸入 IdP 屬性名稱或 CEL 運算式。 如果是採用 OIDC 驗證機制的 Microsoft Entra ID，建議使用下列屬性對應：

            google.subject=assertion.oid,
            google.groups=assertion.groups,
            google.display_name=assertion.preferred_username
            

            這個範例會將 IdP 屬性 assertion.oid、assertion.groups 和 assertion.preferred_username 分別對應至 Google Cloud屬性 google.subject、google.groups 和 google.display_name。

      2. 如要增加群組數量，請按照下列步驟操作：
         1. 按一下「啟用」即可取得額外屬性。
         2. 在開啟的子工作中，輸入下列詳細資料：
            1. 在「Extra Attributes Issuer URI」(額外屬性核發者 URI) 欄位中，輸入核發者網址。
            2. 在「Extra Attributes Client ID」欄位中，輸入用戶端 ID。
            3. 在「額外屬性用戶端密鑰」欄位中，輸入用戶端密鑰。
            4. 在「額外屬性類型」清單中，選取額外屬性的屬性類型。
            5. 在「Extra Attributes Filter」欄位中，輸入透過 Microsoft Graph API 查詢群組時使用的篩選運算式。
            6. 按一下「啟用」。

         啟用額外屬性後，您可以按一下「編輯」重新開啟子任務並編輯詳細資料，或按一下「停用」關閉額外屬性。

      3. 如要新增屬性條件，請按照下列步驟操作：
         1. 按一下「新增條件」。
         2. 在「Attribute Conditions」(屬性條件) 欄位中，以 CEL 格式輸入條件。舉例來說，如要將 ipaddr 屬性限制在特定 IP 範圍，您可以設定 assertion.ipaddr.startsWith('98.11.12.') 條件。
   3. 如要驗證對應關係，請按一下「Save and refetch token」(儲存並重新擷取權杖)。
   4. 按一下「儲存並結束」，完成設定。

   隱含流程

   如要建立使用隱含流程的 OIDC 供應商，以供網頁登入，請按照下列步驟操作：

   1. 如要在 Microsoft Entra ID 應用程式中啟用 ID 權杖，請執行下列步驟：

      1. 前往 Microsoft Entra ID 應用程式註冊頁面。
      2. 在「Authentication」(驗證) 中，勾選「ID token」(ID 權杖) 核取方塊。
      3. 按一下 [儲存]。

   1. 前往 Google Cloud 控制台的「Workforce Identity Pools」(員工身分集區) 頁面：

      前往「Workforce Identity Pools」(員工身分集區) 頁面

   2. 在「Workforce Identity Pools」(員工身分集區) 表格中，選取要建立提供者的集區。
   3. 在「Providers」部分，按一下「add Add Provider」。
   4. 在「Select a Provider vendor」(選取提供者) 清單中，選取您的 IdP。

      如果您的 IdP 未列出，請選取「Generic Identity Provider」。

   5. 在「選取驗證通訊協定」中，選取「OpenID Connect (OIDC)」。
   6. 在「Create a provider」(建立提供者) 區段中，執行下列操作：
      1. 在「名稱」中，輸入供應商名稱。
      2. 在「說明」中，輸入提供者的說明。
      3. 在「核發者 (網址)」中輸入核發者 URI。OIDC 核發者 URI 必須採用有效的 URI 格式，且開頭為 https，例如 https://example.com/oidc。
      4. 在「Client ID」(用戶端 ID) 中，輸入向 OIDC IdP 註冊的 OIDC 用戶端 ID；該 ID 必須與 IdP 核發的 JWT aud 宣告相符。
      5. 如要建立已啟用的提供者，請確認「啟用提供者」已開啟。
      6. 按一下「繼續」。
   7. 在「與 IdP 分享提供者資訊」部分，複製網址。在 IdP 中，將這個網址設為重新導向 URI，讓 IdP 瞭解登入後要將斷言權杖傳送至何處。
   8. 按一下「繼續」。
   9. 在「Configure OIDC Web Sign-in」(設定 OIDC 網頁登入) 部分，執行下列操作：
      1. 在「Flow type」(流程類型) 清單中，選取「ID Token」(ID 權杖)。
      2. 在「Assertion claims behavior」(斷言宣告行為) 清單中，選取「ID token」(ID 權杖)。
   10. 按一下「繼續」。
   11. 在「Configure provider」(設定供應商) 部分的「Detailed logging」(詳細記錄) 中，按一下「Enable attribute value audit logging」(啟用屬性值稽核記錄) 切換鈕。

       員工身分聯盟詳細稽核記錄會將從 IdP 收到的資訊記錄到 Cloud Logging。詳細稽核記錄可協助您排解工作團隊身分識別集區提供者設定問題。如要瞭解如何透過詳細的稽核記錄排解屬性對應錯誤，請參閱「一般屬性對應錯誤」。如要瞭解 Logging 定價，請參閱「Google Cloud Observability 定價」。

       如要停用員工身分集區提供者的詳細稽核記錄，請在建立提供者時，將「啟用屬性值稽核記錄」切換鈕設為關閉。如要停用詳細稽核記錄，您也可以更新供應商。

   12. 按一下「Submit」(提交)，建立提供者。

   建立供應商後，系統會將您重新導向至供應商屬性頁面。

   如要設定屬性對應和條件，請按照下列步驟操作：

   1. 系統提示時，請登入外部 IdP，驗證預設屬性對應。
   2. 在提供者屬性頁面中，查看及編輯屬性對應和條件：
      1. 如要新增或編輯屬性對應，請按照下列步驟操作：
         1. 按一下「新增對應」，即可新增對應或編輯現有對應。
         2. 在「Google n」欄位中 (n 為數字)，選取 Google Cloud支援的金鑰。
         3. 在對應的「OIDC n」欄位中，輸入 IdP 屬性名稱或 CEL 運算式。 如果是採用 OIDC 驗證機制的 Microsoft Entra ID，建議使用下列屬性對應：

            google.subject=assertion.oid,
            google.groups=assertion.groups,
            google.display_name=assertion.preferred_username
            

            這個範例會將 IdP 屬性 assertion.oid、assertion.groups 和 assertion.preferred_username 分別對應至 Google Cloud屬性 google.subject、google.groups 和 google.display_name。

      2. 如要增加群組數量，請按照下列步驟操作：
         1. 按一下「啟用」，取得額外屬性。
         2. 在開啟的子工作中輸入詳細資料：
            1. 在「額外屬性核發者 URI」欄位中， 輸入核發者網址。
            2. 在「Extra Attributes Client ID」欄位中，輸入用戶端 ID。
            3. 在「額外屬性用戶端密鑰」欄位中，輸入用戶端密鑰。
            4. 在「額外屬性類型」清單中，選取額外屬性的屬性類型。
            5. 在「Extra Attributes Filter」欄位中，輸入透過 Microsoft Graph API 查詢群組時使用的篩選運算式。
            6. 按一下「啟用」。

         啟用額外屬性後，您可以按一下「編輯」重新開啟子任務並編輯詳細資料，或按一下「停用」關閉額外屬性。

      3. 如要新增屬性條件，請按照下列步驟操作：
         1. 按一下「新增條件」。
         2. 在「Attribute Conditions」(屬性條件) 欄位中，以 CEL 格式輸入條件。舉例來說，如要將 ipaddr 屬性限制在特定 IP 範圍，您可以設定 assertion.ipaddr.startsWith('98.11.12.') 條件。
   3. 如要驗證對應關係，請按一下「Save and refetch token」(儲存並重新擷取權杖)。
   4. 按一下「儲存並結束」，完成設定。

建立 SAML 2.0 工作團隊身分集區提供者

1. 在 SAML IdP 中，註冊 Google Cloud員工身分聯盟的新應用程式。

2. 設定 SAML 宣告的目標對象。 通常是 IdP 設定中的「SP Entity ID」欄位。請務必將其設為下列網址：

   https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

3. 設定重新導向網址，也稱為宣告客戶服務 (ACS) 網址。如要設定重新導向網址，請在 SAML IdP 中找到重新導向網址欄位，然後執行下列其中一項操作：

   • 如要透過 Google Cloud 控制台或其他瀏覽器登入方式，設定瀏覽器登入功能，請輸入下列網址：

     https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
     

     更改下列內容：

     • WORKFORCE_POOL_ID：員工身分集區 ID

     • WORKFORCE_PROVIDER_ID：您稍後在本文件中建立的員工身分集區提供者 ID。

   • 如要透過 IdP 設定程式輔助登入，請輸入下列網址：

     localhost
     

   如要進一步瞭解如何設定控制台登入，請參閱「設定控制台的使用者存取權」。

4. 在 Google Cloud中，使用 IdP 的 SAML 中繼資料文件，建立 SAML 員工身分集區提供者。您可以從 IdP 下載 SAML 中繼資料 XML 文件。文件至少須包含下列內容：

   • IdP 的 SAML 實體 ID。
   • IdP 的單一登入網址。
   • 至少一個簽署公開金鑰。如要瞭解簽署金鑰的詳細資訊，請參閱本指南稍後的「重要規定」。

gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
    --workforce-pool="WORKFORCE_POOL_ID" \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --idp-metadata-path="XML_METADATA_PATH" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --vendor-type="entra-id" \
    --detailed-audit-logging \
    --location=global

gcloud iam workforce-pools providers keys create KEY_ID \
    --workforce-pool WORKFORCE_POOL_ID \
    --provider WORKFORCE_PROVIDER_ID \
    --location global \
    --use encryption \
    --spec KEY_SPECIFICATION

gcloud iam workforce-pools providers keys describe KEY_ID \
    --workforce-pool WORKFORCE_POOL_ID \
    --provider WORKFORCE_PROVIDER_ID \
    --location global \
    --format "value(keyData.key)" \
    > CERTIFICATE_PATH

驗證提供者設定

測試使用者登入流程前，請先確認提供者設定正確無誤，且 Google Cloud 可以與 IdP 交換權杖。

Google Cloud 控制台的「驗證供應商屬性」頁面包含屬性檢視器，可讓您以互動方式測試設定，並偵錯通用運算式語言 (CEL) 運算式。您可以使用屬性檢視器執行下列操作：

• 查看 IdP 聲明中傳送的原始屬性。
• 確認屬性對應和條件能正確轉換這些屬性。
• 即時偵錯複雜的 CEL 運算式。

如要驗證供應商設定，請按照下列步驟操作：

1. 如要為員工身分聯盟啟用瀏覽器登入流程，請將 https://auth.cloud.google/signin-callback/locations/global/workforcePools/POOL_ID/providers/PROVIDER_ID 新增至 IdP 的允許重新導向 URI 清單。

2. 在 Google Cloud 控制台中，前往「Workforce Identity Pools」(員工身分集區)。

   前往「Workforce Identity Pools」(員工身分集區) 頁面
3. 在集區清單中，按一下要驗證的集區名稱。
4. 在「Workforce pool details」(員工集區詳細資料) 頁面中，按一下要驗證的 IdP 名稱。
5. 在「Provider Details」頁面中，按一下「Debug IdP token」。
6. 在「Sign in」(登入) 對話方塊中，以測試使用者身分登入 IdP。

「Validate your provider attributes」(驗證提供者屬性) 頁面會顯示對應的屬性和屬性條件結果。

「IdP 權杖中的對應屬性」部分會顯示 Google 屬性 (例如 google.subject) 如何根據對應設定，從 IdP 權杖填入。如果對應不正確，系統會顯示錯誤圖示。

「屬性條件」部分會顯示條件的布林結果。如果條件評估結果為 false，系統就會封鎖登入作業。

如要查看完整斷言權杖，請點選「查看完整權杖」。這會顯示 IdP 的原始 JSON 物件。請使用 assertion.PROPERTY_NAME 格式，在對應中參照頂層屬性。

編輯提供者設定

如要修正錯誤，請編輯設定：

1. 在「驗證提供者屬性」頁面，按一下「 edit 編輯」。
2. 進行必要變更。
3. 如要開始新的測試並查看更新後的結果，請按一下「Save and refetch token」(儲存並重新擷取權杖)。

管理 Google Cloud 資源的存取權

本節提供範例，說明如何管理員工身分聯盟使用者對Google Cloud 資源的存取權。

在本範例中，您將授予範例專案的 Identity and Access Management (IAM) 角色。使用者可以登入並透過這項專案存取 Google Cloud 產品。

您可以管理單一身分、一組身分或整個集區的 IAM 角色。詳情請參閱「允許政策的工作團隊主體 ID」。

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/SUBJECT_VALUE"

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.department/DEPARTMENT_VALUE"

登入並測試存取權

在本節中，您將以工作團隊身分集區使用者身分登入，並測試您是否能存取 Google Cloud 資源。

登入

本節說明如何以同盟使用者身分登入，並存取Google Cloud 資源。

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

{
  "universe_domain": "googleapis.com",
  "universe_cloud_web_domain": "cloud.google",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.google/authorize",
  "token_url": "https://sts.googleapis.com/v1/oauthtoken",
  "token_info_url": "https://sts.googleapis.com/v1/introspect"
}

gcloud config unset auth/login_config_file

測試存取權

您現在可以存取 Google Cloud 支援員工身分聯盟，且您已獲得存取權的產品。在本文件的稍早部分，您已將 Storage 管理員角色 (roles/storage.admin) 授予gcloud projects add-iam-policy-binding專案 TEST_PROJECT_ID 中指定群組 ID 內的所有身分。

現在可以列出 Cloud Storage bucket，測試是否具備存取權。

gcloud storage ls --project="TEST_PROJECT_ID"

刪除使用者

員工身分聯盟會為聯合使用者身分建立使用者中繼資料和資源。如果您選擇刪除 IdP 中的使用者，也必須在 Google Cloud中明確刪除這些資源。如要這麼做，請參閱「刪除員工身分聯盟使用者及其資料」。

您可能會看到資源仍與已刪除的使用者相關聯。這是因為刪除使用者中繼資料和資源需要長時間執行的作業。在您啟動刪除使用者身分的程序後，使用者在刪除前啟動的程序可以繼續執行，直到程序完成或取消為止。

後續步驟

• 在 Microsoft Entra ID 中設定 SCIM
• 刪除員工身分聯盟使用者及其資料
• 撤銷員工身分聯盟使用者工作階段
• 瞭解哪些 Google Cloud 產品支援員工身分聯盟
• 設定使用者對控制台 (聯合) 的存取權