Workforce Identity-Föderation mit Microsoft Entra ID konfigurieren

OIDC

So erstellen Sie eine Microsoft Entra ID-App-Registrierung, die das OIDC-Protokoll verwendet:

1. Melden Sie sich im Microsoft Entra Admin Center an.

2. Rufen Sie die Seite Übersicht Ihrer Microsoft Entra ID-Anwendungsregistrierung auf.

3. Wechseln Sie zu Entra ID > App-Registrierungen.

4. So konfigurieren Sie die Anwendungsregistrierung:

   1. Klicken Sie auf Neue Registrierung.

   2. Geben Sie einen Namen für die Anwendung ein.

   3. Wählen Sie unter Unterstützte Kontotypen eine Option aus.

   4. Wählen Sie im Abschnitt Weiterleitungs-URI in der Drop-down-Liste Plattform auswählen die Option Web aus.

   5. Geben Sie im Textfeld eine Weiterleitungs-URL ein. Ihre Nutzer werden nach der erfolgreichen Anmeldung zu dieser URL weitergeleitet. Wenn Sie den Zugriff auf die Console (föderiert) konfigurieren, müssen Sie das folgende URL-Format verwenden:

      https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
      

      Ersetzen Sie Folgendes:

      • WORKFORCE_POOL_ID: die ID eines Workforce Identity-Pools, die Sie später in diesem Dokument verwenden, um den Workforce Identity-Pool zu erstellen, z. B.: entra-id-oidc-pool

      • WORKFORCE_PROVIDER_ID: eine ID des Anbieters des Mitarbeiteridentitätspools, die Sie verwenden, wenn Sie den Anbieter des Mitarbeiteridentitätspools später in diesem Dokument erstellen, z. B. entra-id-oidc-pool-provider

        Informationen zum Formatieren der ID finden Sie in der API-Dokumentation im Abschnitt Abfrageparameter.

   6. Klicken Sie auf Registrieren, um die Anwendungsregistrierung zu erstellen.

   7. Wenn Sie die Beispielattributzuordnung verwenden möchten, die später in diesem Dokument bereitgestellt wird, müssen Sie ein benutzerdefiniertes department-Attribut erstellen.

SAML

So erstellen Sie eine Microsoft Entra ID-App-Registrierung, die das SAML-Protokoll verwendet:

1. Melden Sie sich im Microsoft Entra Admin Center an.

2. Klicken Sie im linken Navigationsmenü auf Entra ID > Unternehmensanwendungen.

3. So konfigurieren Sie die Unternehmensanwendung:

   1. Klicken Sie auf Neue Anwendung > Eigene Anwendung erstellen.

   2. Geben Sie im daraufhin angezeigten Bereich Eigene Anwendung erstellen einen Namen für die Anwendung ein.

   3. Klicken Sie auf Erstellen.

   4. Gehen Sie zu Einmalanmeldung (SSO) > SAML.

   5. Aktualisieren Sie die grundlegende SAML-Konfiguration so:

      1. Geben Sie im Feld Identifier (Entity ID) (Kennung (Entitäts-ID)) den folgenden Wert ein:

         https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
         

         Ersetzen Sie Folgendes:

         • WORKFORCE_POOL_ID: eine Workforce Identity-Pool-ID, die Sie beim Erstellen des Workforce Identity-Pools später in diesem Dokument verwenden, z. B.: entra-id-saml-pool

         • WORKFORCE_PROVIDER_ID: die ID eines Anbieters des Mitarbeiteridentitätspools, die Sie verwenden, wenn Sie den Anbieter des Mitarbeiteridentitätspools später in diesem Dokument erstellen, z. B. entra-id-saml-pool-provider

           Informationen zum Formatieren der ID finden Sie in der API-Dokumentation im Abschnitt Abfrageparameter.

      2. Geben Sie im Feld Antwort-URL (Assertion Consumer Service-URL) eine Weiterleitungs-URL ein. Ihre Nutzer werden nach der erfolgreichen Anmeldung zu dieser URL weitergeleitet. Wenn Sie den Zugriff auf die Console (föderiert) konfigurieren, müssen Sie das folgende URL-Format verwenden:

         https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
         

         Ersetzen Sie Folgendes:

         • WORKFORCE_POOL_ID: die ID des Workforce Identity-Pools
         • WORKFORCE_PROVIDER_ID: die ID des Identitätsanbieters für Mitarbeiter

      3. Wenn Sie die vom IdP initiierte Anmeldung aktivieren möchten, legen Sie das Feld Relay State (Relay-Status) auf den folgenden Wert fest:

         https://console.cloud.google/
         

      4. Klicken Sie zum Speichern der SAML-Anwendungskonfiguration auf Save.

   6. Wenn Sie die Beispielattributzuordnung verwenden möchten, die später in diesem Dokument bereitgestellt wird, müssen Sie ein benutzerdefiniertes department-Attribut erstellen.

gcloud

Führen Sie folgenden Befehl aus, um den Workforce Identity-Pool zu erstellen:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Ersetzen Sie Folgendes:

• WORKFORCE_POOL_ID: Eine ID, die Sie ausgewählt haben, um den Google Cloud Workforce-Pool darzustellen. Die Pool-ID muss unter allen Workforce Identity-Pools in Google Cloudglobal eindeutig sein. Informationen zum Formatieren der ID finden Sie in der API-Dokumentation im Abschnitt Abfrageparameter.
• ORGANIZATION_ID: die numerische Organisations-ID Ihrer Google Cloud Organisation für den Workforce Identity-Pool. Workforce Identity-Pools sind in allen Projekten und Ordnern der Organisation verfügbar.
• DISPLAY_NAME: Optional. Ein Anzeigename für Ihren Workforce Identity-Pool.
• DESCRIPTION: Optional. Beschreibung des Workforce Identity-Pools.
• SESSION_DURATION: Optional. Die Sitzungsdauer als Zahl mit dem Suffix s, z. B. 3600s. Die Sitzungsdauer bestimmt, wie lange die Google Cloud -Zugriffstokens, die Console (föderiert)-Anmeldesitzungen und die gcloud CLI-Anmeldungssitzungen aus diesem Workforce-Pool gültig sind. Die Sitzungsdauer beträgt standardmäßig eine Stunde (3.600 Sekunden). Der Wert für die Sitzungsdauer muss zwischen 15 Minuten (900 Sekunden) und 12 Stunden (43.200 Sekunden) liegen.

Console

So erstellen Sie den Workforce Identity-Pool:

1. Rufen Sie in der Google Cloud Console die Seite Workforce Identity-Pools auf:

   Zu Workforce Identity-Pools

2. Wählen Sie die Organisation für Ihren Pool der Mitarbeiteridentitätsföderation aus. Workforce Identity-Pools sind in allen Projekten und Ordnern einer Organisation verfügbar.

3. Klicken Sie auf Pool erstellen und gehen Sie so vor:

   1. Geben Sie im Feld Name den Anzeigenamen des Pools ein. Die Pool-ID wird während der Eingabe automatisch aus dem Namen abgeleitet und unter dem Feld Name angezeigt. Sie können die Pool-ID aktualisieren, indem Sie neben der Pool-ID auf Bearbeiten klicken.

   2. Optional: Geben Sie unter Beschreibung eine Beschreibung des Pools ein.

   3. Klicken Sie zum Erstellen des Workforce Identity-Pools auf Weiter.

Die Sitzungsdauer des Workforce Identity-Pools ist standardmäßig auf eine Stunde (3.600 Sekunden) festgelegt. Die Sitzungsdauer bestimmt, wie lange die Google Cloud -Zugriffstokens, die Console (föderiert)-Anmeldesitzungen und die gcloud CLI-Anmeldungssitzungen aus diesem Workforce-Pool gültig sind. Nachdem Sie den Pool erstellt haben, können Sie ihn aktualisieren, um eine benutzerdefinierte Sitzungsdauer festzulegen. Die Sitzungsdauer muss zwischen 15 Minuten (900 Sek.) und 12 Stunden (43.200 Sek.) liegen.

gcloud

Führen Sie den folgenden Befehl aus, um den Anbieter des OIDC-Mitarbeiteridentitätspools zu erstellen:

gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global \
    --display-name=DISPLAY_NAME \
    --issuer-uri=ISSUER_URI \
    --client-id=CLIENT_ID \
    --attribute-mapping=ATTRIBUTE_MAPPING \
    --web-sso-response-type=id-token \
    --web-sso-assertion-claims-behavior=only-id-token-claims \
    --extra-attributes-issuer-uri=EXTRA_ATTRIBUTES_ISSUER_URI \
    --extra-attributes-client-id=EXTRA_ATTRIBUTES_CLIENT_ID \
    --extra-attributes-client-secret-value=EXTRA_ATTRIBUTES_CLIENT_SECRET \
    --extra-attributes-type=EXTRA_ATTRIBUTES_TYPE  \
    --extra-attributes-filter=EXTRA_ATTRIBUTES_FILTER \
    --detailed-audit-logging
    

Ersetzen Sie Folgendes:

• PROVIDER_ID: eine eindeutige Anbieter-ID Das Präfix gcp- ist reserviert und kann nicht in einem Pool oder einer Anbieter-ID verwendet werden.
• WORKFORCE_POOL_ID: die ID des Workforce-Pools.
• DISPLAY_NAME: Ein Anzeigename für den Anbieter.
• ISSUER_URI: der Aussteller-URI der Microsoft Entra ID-Anwendung, die Sie zuvor in diesem Dokument erstellt haben.
• CLIENT_ID: die Client-ID aus Ihrer Microsoft Entra ID-Anwendung.
• ATTRIBUTE_MAPPING: die Zuordnung von Attributen aus Microsoft Entra ID zu Google Cloud. Wenn Sie --extra-attributes-Flags verwenden, um Gruppen aus Microsoft Entra ID abzufragen, wird jede google.groups-Zuordnung, die Standard-SAML- oder OIDC-Ansprüche verwendet, ignoriert. Wenn Sie beispielsweise die Attribute groups und subject aus Microsoft Entra ID zuordnen möchten, verwenden Sie die folgende Attributzuordnung:

  --attribute-mapping="google.groups=assertion.groups, google.subject=assertion.oid"

  Weitere Informationen finden Sie unter Attributzuordnung.

• EXTRA_ATTRIBUTES_ISSUER_URI: der Aussteller-URI aus Ihrer Microsoft Entra ID-Anwendung.
• EXTRA_ATTRIBUTES_CLIENT_ID: Die Client-ID aus Ihrer Microsoft Entra ID-Anwendung.
• EXTRA_ATTRIBUTES_CLIENT_SECRET: Der zusätzliche Clientschlüssel aus Ihrer Microsoft Entra ID-Anwendung.
• EXTRA_ATTRIBUTES_TYPE: Verwenden Sie azure-ad-groups-mail, um die E‑Mail-Adressen der Gruppen abzurufen. Verwenden Sie azure-ad-groups-id, um die IDs der Gruppen abzurufen. Verwenden Sie azure-ad-groups-display-name, um die Anzeigenamen der Gruppen abzurufen.
• EXTRA_ATTRIBUTES_FILTER: Optional. Ein Filterausdruck, mit dem die Microsoft Graph API nach Gruppen abgefragt wird. Mit diesem Parameter können Sie dafür sorgen, dass die Anzahl der aus dem IdP abgerufenen Gruppen unter dem Limit von 400 Gruppen bleibt.

  Im folgenden Beispiel werden die Gruppen abgerufen, deren E-Mail-ID das Präfix sales hat:

  --extra-attributes-filter='"mail:sales"'

  Der folgende Ausdruck ruft Gruppen mit einem Anzeigenamen ab, der den String sales enthält.

  --extra-attributes-filter='"displayName:sales"'

• Die Mitarbeiteridentitätsföderation detaillierte Audit-Logs protokolliert Informationen, die von Ihrem IdP in Logging empfangen werden. Detaillierte Audit-Logs können Ihnen bei der Fehlerbehebung bei der Konfiguration Ihres Mitarbeiteridentitäts-Poolanbieters helfen. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detaillierten Audit-Logs finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Logging-Preisen finden Sie unter Google Cloud Observability-Preise.

  Wenn Sie die detaillierte Audit-Protokollierung für einen Workforce Identity-Pool-Anbieter deaktivieren möchten, lassen Sie das Flag --detailed-audit-logging weg, wenn Sie gcloud iam workforce-pools providers create ausführen. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

Console

1. Rufen Sie in der Google Cloud Console die Seite Mitarbeiteridentitätspools auf:

Zu Workforce Identity-Pools

2. Wählen Sie in der Tabelle Workforce Identity-Pools den Pool aus, für den Sie den Anbieter erstellen möchten.
3. Klicken Sie im Bereich Anbieter auf add Anbieter hinzufügen.
4. Wählen Sie in der Liste Select a Provider vendor (Anbieter auswählen) Ihren Identitätsanbieter (IdP) aus.

   Wenn Ihr IdP nicht aufgeführt ist, wählen Sie Generic Identity Provider aus.

5. Wählen Sie unter Authentifizierungsprotokoll auswählen die Option OpenID Connect (OIDC) aus.
6. Führen Sie im Abschnitt Anbieter erstellen die folgenden Schritte aus:
   1. Geben Sie unter Name den Namen für den Anbieter ein.
   2. Geben Sie unter Beschreibung die Beschreibung für den Anbieter ein.
   3. Geben Sie unter Aussteller (URL) den URI des Ausstellers ein. Der OIDC-Aussteller-URI muss ein gültiges URI-Format haben und mit https beginnen. Beispiel: https://example.com/oidc
   4. Geben Sie unter Client-ID die OIDC-Client-ID ein, die bei Ihrem OIDC-IdP registriert ist. Die ID muss mit der aud-Anforderung des JWT übereinstimmen, die von Ihrem IdP ausgestellt wird.

   5. Wenn Sie einen aktivierten Anbieter erstellen möchten, muss die Option Anbieter aktivieren aktiviert sein.

   6. Klicken Sie auf Weiter.
7. Kopieren Sie im Abschnitt Providerinformationen für IdP freigeben die URL. Konfigurieren Sie diese URL in Ihrem IdP als Weiterleitungs-URI, damit Ihr IdP weiß, wohin das Assertion-Token nach der Anmeldung gesendet werden soll.
8. Klicken Sie auf Weiter.
9. Führen Sie im Abschnitt OIDC-Webanmeldung konfigurieren die folgenden Schritte aus:
   1. Wählen Sie in der Liste Ablaufart die Option ID-Token aus.
   2. In der Liste Verhalten bei Assertion-Anforderungen ist ID-Token ausgewählt.
10. Klicken Sie auf Weiter.
11. Unter Anbieter konfigurieren können Sie eine Attributzuordnung und eine Attributbedingung konfigurieren. Gehen Sie dazu so vor: Sie können entweder den Namen des IdP-Felds oder einen CEL-formatierten Ausdruck angeben, der einen String zurückgibt.
    1. Erforderlich: Geben Sie in OIDC 1 den Betreff des IdP ein, z. B. assertion.sub.
    2. Optional: So fügen Sie zusätzliche Attributzuordnungen hinzu:
       1. Klicken Sie auf Zuordnung hinzufügen.
       2. Geben Sie in Google n, wobei n eine Zahl ist, einen der vonGoogle Cloudunterstützten Schlüssel ein.
       3. Geben Sie im entsprechenden Feld OIDC n den Namen des IdP-spezifischen Felds im CEL-Format ein.
    3. So erhöhen Sie die Anzahl der Gruppen:
       1. Wählen Sie Zusätzliche Attribute verwenden aus.
       2. Geben Sie im Feld Aussteller-URI für zusätzliche Attribute die Aussteller-URL ein.
       3. Geben Sie im Feld Client-ID für zusätzliche Attribute die Client-ID ein.
       4. Geben Sie im Feld Clientschlüssel für zusätzliche Attribute den Clientschlüssel ein.
       5. Wählen Sie in der Liste Typ für zusätzliche Attribute einen Attributtyp für zusätzliche Attribute aus.
       6. Geben Sie im Feld Filter für zusätzliche Attribute einen Filterausdruck ein, mit dem die Microsoft Graph API nach Gruppen abgefragt wird.
    4. So erstellen Sie eine Attributbedingung:
       1. Klicken Sie auf Bedingung hinzufügen.
       2. Geben Sie im Feld Attributbedingungen eine Bedingung im CEL-Format ein, z. B. assertion.role == 'gcp-users'. Durch diese Beispielbedingung wird gewährleistet, dass sich nur Nutzer mit der Rolle gcp-users über diesen Anbieter anmelden können.
       3. Wenn Sie das detaillierte Audit-Logging aktivieren möchten, klicken Sie unter Detaillierte Protokollierung auf den Schieberegler Audit-Logging für Attributwerte aktivieren.

          Die Mitarbeiteridentitätsföderation detaillierte Audit-Logs protokolliert Informationen, die von Ihrem IdP in Logging empfangen werden. Detaillierte Audit-Logs können Ihnen bei der Fehlerbehebung bei der Konfiguration Ihres Mitarbeiteridentitäts-Poolanbieters helfen. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detaillierten Audit-Logs finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Logging-Preisen finden Sie unter Google Cloud Observability-Preise.

          Wenn Sie die detaillierte Audit-Protokollierung für einen Workforce Identity-Pool-Anbieter deaktivieren möchten, lassen Sie das Flag --detailed-audit-logging weg, wenn Sie gcloud iam workforce-pools providers create ausführen. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

12. Klicken Sie auf Senden, um den Anbieter zu erstellen.

gcloud

Führen Sie folgenden Befehl aus, um den Workforce Identity-Pool zu erstellen:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Ersetzen Sie Folgendes:

• WORKFORCE_POOL_ID: Eine ID, die Sie ausgewählt haben, um den Google Cloud Workforce-Pool darzustellen. Die Pool-ID muss unter allen Workforce Identity-Pools in Google Cloudglobal eindeutig sein. Informationen zum Formatieren der ID finden Sie in der API-Dokumentation im Abschnitt Abfrageparameter.
• ORGANIZATION_ID: die numerische Organisations-ID Ihrer Google Cloud Organisation für den Workforce Identity-Pool. Workforce Identity-Pools sind in allen Projekten und Ordnern der Organisation verfügbar.
• DISPLAY_NAME: Optional. Ein Anzeigename für Ihren Workforce Identity-Pool.
• DESCRIPTION: Optional. Beschreibung des Workforce Identity-Pools.
• SESSION_DURATION: Optional. Die Sitzungsdauer als Zahl mit dem Suffix s, z. B. 3600s. Die Sitzungsdauer bestimmt, wie lange die Google Cloud -Zugriffstokens, die Console (föderiert)-Anmeldesitzungen und die gcloud CLI-Anmeldungssitzungen aus diesem Workforce-Pool gültig sind. Die Sitzungsdauer beträgt standardmäßig eine Stunde (3.600 Sekunden). Der Wert für die Sitzungsdauer muss zwischen 15 Minuten (900 Sekunden) und 12 Stunden (43.200 Sekunden) liegen.

Console

So erstellen Sie den Workforce Identity-Pool:

1. Rufen Sie in der Google Cloud Console die Seite Workforce Identity-Pools auf:

   Zu Workforce Identity-Pools

2. Wählen Sie die Organisation für Ihren Pool der Mitarbeiteridentitätsföderation aus. Workforce Identity-Pools sind in allen Projekten und Ordnern einer Organisation verfügbar.

3. Klicken Sie auf Pool erstellen und gehen Sie so vor:

   1. Geben Sie im Feld Name den Anzeigenamen des Pools ein. Die Pool-ID wird während der Eingabe automatisch aus dem Namen abgeleitet und unter dem Feld Name angezeigt. Sie können die Pool-ID aktualisieren, indem Sie neben der Pool-ID auf Bearbeiten klicken.

   2. Optional: Geben Sie unter Beschreibung eine Beschreibung des Pools ein.

   3. Klicken Sie zum Erstellen des Workforce Identity-Pools auf Weiter.

Die Sitzungsdauer des Workforce Identity-Pools ist standardmäßig auf eine Stunde (3.600 Sekunden) festgelegt. Die Sitzungsdauer bestimmt, wie lange die Google Cloud -Zugriffstokens, die Console (föderiert)-Anmeldesitzungen und die gcloud CLI-Anmeldungssitzungen aus diesem Workforce-Pool gültig sind. Nachdem Sie den Pool erstellt haben, können Sie ihn aktualisieren, um eine benutzerdefinierte Sitzungsdauer festzulegen. Die Sitzungsdauer muss zwischen 15 Minuten (900 Sek.) und 12 Stunden (43.200 Sek.) liegen.

gcloud

Führen Sie den folgenden Befehl aus, um den Anbieter des OIDC-Mitarbeiteridentitätspools zu erstellen:

gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global \
    --display-name=DISPLAY_NAME \
    --issuer-uri=ISSUER_URI \
    --client-id=CLIENT_ID \
    --client-secret-value="OIDC_CLIENT_SECRET" \
    --attribute-mapping=ATTRIBUTE_MAPPING \
    --web-sso-response-type=code \
    --web-sso-assertion-claims-behavior=merge-user-info-over-id-token-claims \
    --extra-attributes-issuer-uri=EXTRA_ATTRIBUTES_ISSUER_URI \
    --extra-attributes-client-id=EXTRA_ATTRIBUTES_CLIENT_ID \
    --extra-attributes-client-secret-value=EXTRA_ATTRIBUTES_CLIENT_SECRET \
    --extra-attributes-type=EXTRA_ATTRIBUTES_TYPE  \
    --extra-attributes-filter=EXTRA_ATTRIBUTES_FILTER \
    --detailed-audit-logging
    

Ersetzen Sie Folgendes:

• PROVIDER_ID: eine eindeutige Anbieter-ID Das Präfix gcp- ist reserviert und kann nicht in einem Pool oder einer Anbieter-ID verwendet werden.
• WORKFORCE_POOL_ID: die ID des Workforce-Pools.
• DISPLAY_NAME: Ein Anzeigename für den Anbieter.
• ISSUER_URI: der Aussteller-URI der Microsoft Entra ID-Anwendung, die Sie zuvor in diesem Dokument erstellt haben.
• CLIENT_ID: die Client-ID aus Ihrer Microsoft Entra ID-Anwendung.
• ATTRIBUTE_MAPPING: die Zuordnung von Attributen aus Microsoft Entra ID zu Google Cloud. Wenn Sie --extra-attributes-Flags verwenden, um Gruppen aus Microsoft Entra ID abzufragen, wird jede google.groups-Zuordnung, die Standard-SAML- oder OIDC-Ansprüche verwendet, ignoriert. Wenn Sie beispielsweise die Attribute groups und subject aus Microsoft Entra ID zuordnen möchten, verwenden Sie die folgende Attributzuordnung:

  --attribute-mapping="google.groups=assertion.groups, google.subject=assertion.oid"

  Weitere Informationen finden Sie unter Attributzuordnung.

• EXTRA_ATTRIBUTES_ISSUER_URI: der Aussteller-URI aus Ihrer Microsoft Entra ID-Anwendung.
• EXTRA_ATTRIBUTES_CLIENT_ID: Die Client-ID aus Ihrer Microsoft Entra ID-Anwendung.
• EXTRA_ATTRIBUTES_CLIENT_SECRET: Der zusätzliche Clientschlüssel aus Ihrer Microsoft Entra ID-Anwendung.
• EXTRA_ATTRIBUTES_TYPE: Verwenden Sie azure-ad-groups-mail, um die E‑Mail-Adressen der Gruppen abzurufen. Verwenden Sie azure-ad-groups-id, um die IDs der Gruppen abzurufen. Verwenden Sie azure-ad-groups-display-name, um die Anzeigenamen der Gruppen abzurufen.
• EXTRA_ATTRIBUTES_FILTER: Optional. Ein Filterausdruck, mit dem die Microsoft Graph API nach Gruppen abgefragt wird. Mit diesem Parameter können Sie dafür sorgen, dass die Anzahl der aus dem IdP abgerufenen Gruppen unter dem Limit von 400 Gruppen bleibt.

  Im folgenden Beispiel werden die Gruppen abgerufen, deren E-Mail-ID das Präfix sales hat:

  --extra-attributes-filter='"mail:sales"'

  Der folgende Ausdruck ruft Gruppen mit einem Anzeigenamen ab, der den String sales enthält.

  --extra-attributes-filter='"displayName:sales"'

• Die Mitarbeiteridentitätsföderation detaillierte Audit-Logs protokolliert Informationen, die von Ihrem IdP in Logging empfangen werden. Detaillierte Audit-Logs können Ihnen bei der Fehlerbehebung bei der Konfiguration Ihres Mitarbeiteridentitäts-Poolanbieters helfen. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detaillierten Audit-Logs finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Logging-Preisen finden Sie unter Google Cloud Observability-Preise.

  Wenn Sie die detaillierte Audit-Protokollierung für einen Workforce Identity-Pool-Anbieter deaktivieren möchten, lassen Sie das Flag --detailed-audit-logging weg, wenn Sie gcloud iam workforce-pools providers create ausführen. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

Console

1. Rufen Sie in der Google Cloud Console die Seite Mitarbeiteridentitätspools auf:

Zu Workforce Identity-Pools

2. Wählen Sie in der Tabelle Workforce Identity-Pools den Pool aus, für den Sie den Anbieter erstellen möchten.
3. Klicken Sie im Bereich Anbieter auf add Anbieter hinzufügen.
4. Wählen Sie in der Liste Select a Provider vendor (Anbieter auswählen) Ihren Identitätsanbieter (IdP) aus.

   Wenn Ihr IdP nicht aufgeführt ist, wählen Sie Generic Identity Provider aus.

5. Wählen Sie unter Authentifizierungsprotokoll auswählen die Option OpenID Connect (OIDC) aus.
6. Führen Sie im Abschnitt Anbieter erstellen die folgenden Schritte aus:
   1. Geben Sie unter Name den Namen für den Anbieter ein.
   2. Geben Sie unter Beschreibung die Beschreibung für den Anbieter ein.
   3. Geben Sie unter Aussteller (URL) den URI des Ausstellers ein. Der OIDC-Aussteller-URI muss ein gültiges URI-Format haben und mit https beginnen. Beispiel: https://example.com/oidc
   4. Geben Sie unter Client-ID die OIDC-Client-ID ein, die bei Ihrem OIDC-IdP registriert ist. Die ID muss mit der aud-Anforderung des JWT übereinstimmen, die von Ihrem IdP ausgestellt wird.

   5. Wenn Sie einen aktivierten Anbieter erstellen möchten, muss die Option Anbieter aktivieren aktiviert sein.

   6. Klicken Sie auf Weiter.
7. Kopieren Sie im Abschnitt Providerinformationen für IdP freigeben die URL. Konfigurieren Sie diese URL in Ihrem IdP als Weiterleitungs-URI, damit Ihr IdP weiß, wohin das Assertion-Token nach der Anmeldung gesendet werden soll.
8. Klicken Sie auf Weiter.
9. Führen Sie im Abschnitt OIDC-Webanmeldung konfigurieren die folgenden Schritte aus:
   1. Wählen Sie in der Liste Ablaufart die Option Code aus.
   2. Wählen Sie in der Liste Verhalten bei Assertion-Anforderungen eine der folgenden Optionen aus:
      • Nutzerinformationen und ID-Token
      • Nur ID-Token
   3. Geben Sie im Feld Clientschlüssel den Clientschlüssel von Ihrem IdP ein.
10. Klicken Sie auf Weiter.
11. Unter Anbieter konfigurieren können Sie eine Attributzuordnung und eine Attributbedingung konfigurieren. Gehen Sie dazu so vor: Sie können entweder den Namen des IdP-Felds oder einen CEL-formatierten Ausdruck angeben, der einen String zurückgibt.
    1. Erforderlich: Geben Sie in OIDC 1 den Betreff des IdP ein, z. B. assertion.sub.
    2. Optional: So fügen Sie zusätzliche Attributzuordnungen hinzu:
       1. Klicken Sie auf Zuordnung hinzufügen.
       2. Geben Sie in Google n, wobei n eine Zahl ist, einen der vonGoogle Cloudunterstützten Schlüssel ein.
       3. Geben Sie im entsprechenden Feld OIDC n den Namen des IdP-spezifischen Felds im CEL-Format ein.
    3. So erhöhen Sie die Anzahl der Gruppen:
       1. Wählen Sie Zusätzliche Attribute verwenden aus.
       2. Geben Sie im Feld Aussteller-URI für zusätzliche Attribute die Aussteller-URL ein.
       3. Geben Sie im Feld Client-ID für zusätzliche Attribute die Client-ID ein.
       4. Geben Sie im Feld Clientschlüssel für zusätzliche Attribute den Clientschlüssel ein.
       5. Wählen Sie in der Liste Typ für zusätzliche Attribute einen Attributtyp für zusätzliche Attribute aus.
       6. Geben Sie im Feld Filter für zusätzliche Attribute einen Filterausdruck ein, mit dem die Microsoft Graph API nach Gruppen abgefragt wird.
    4. So erstellen Sie eine Attributbedingung:
       1. Klicken Sie auf Bedingung hinzufügen.
       2. Geben Sie im Feld Attributbedingungen eine Bedingung im CEL-Format ein, z. B. assertion.role == 'gcp-users'. Durch diese Beispielbedingung wird gewährleistet, dass sich nur Nutzer mit der Rolle gcp-users über diesen Anbieter anmelden können.
       3. Wenn Sie das detaillierte Audit-Logging aktivieren möchten, klicken Sie unter Detaillierte Protokollierung auf den Schieberegler Audit-Logging für Attributwerte aktivieren.

          Die Mitarbeiteridentitätsföderation detaillierte Audit-Logs protokolliert Informationen, die von Ihrem IdP in Logging empfangen werden. Detaillierte Audit-Logs können Ihnen bei der Fehlerbehebung bei der Konfiguration Ihres Mitarbeiteridentitäts-Poolanbieters helfen. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detaillierten Audit-Logs finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Logging-Preisen finden Sie unter Google Cloud Observability-Preise.

          Wenn Sie die detaillierte Audit-Protokollierung für einen Workforce Identity-Pool-Anbieter deaktivieren möchten, lassen Sie das Flag --detailed-audit-logging weg, wenn Sie gcloud iam workforce-pools providers create ausführen. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

12. Klicken Sie auf Senden, um den Anbieter zu erstellen.

gcloud

Führen Sie folgenden Befehl aus, um den Workforce Identity-Pool zu erstellen:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Ersetzen Sie Folgendes:

• WORKFORCE_POOL_ID: Eine ID, die Sie ausgewählt haben, um den Google Cloud Workforce-Pool darzustellen. Die Pool-ID muss unter allen Workforce Identity-Pools in Google Cloudglobal eindeutig sein. Informationen zum Formatieren der ID finden Sie in der API-Dokumentation im Abschnitt Abfrageparameter.
• ORGANIZATION_ID: die numerische Organisations-ID Ihrer Google Cloud Organisation für den Workforce Identity-Pool. Workforce Identity-Pools sind in allen Projekten und Ordnern der Organisation verfügbar.
• DISPLAY_NAME: Optional. Ein Anzeigename für Ihren Workforce Identity-Pool.
• DESCRIPTION: Optional. Beschreibung des Workforce Identity-Pools.
• SESSION_DURATION: Optional. Die Sitzungsdauer als Zahl mit dem Suffix s, z. B. 3600s. Die Sitzungsdauer bestimmt, wie lange die Google Cloud -Zugriffstokens, die Console (föderiert)-Anmeldesitzungen und die gcloud CLI-Anmeldungssitzungen aus diesem Workforce-Pool gültig sind. Die Sitzungsdauer beträgt standardmäßig eine Stunde (3.600 Sekunden). Der Wert für die Sitzungsdauer muss zwischen 15 Minuten (900 Sekunden) und 12 Stunden (43.200 Sekunden) liegen.

Console

So erstellen Sie den Workforce Identity-Pool:

1. Rufen Sie in der Google Cloud Console die Seite Workforce Identity-Pools auf:

   Zu Workforce Identity-Pools

2. Wählen Sie die Organisation für Ihren Pool der Mitarbeiteridentitätsföderation aus. Workforce Identity-Pools sind in allen Projekten und Ordnern einer Organisation verfügbar.

3. Klicken Sie auf Pool erstellen und gehen Sie so vor:

   1. Geben Sie im Feld Name den Anzeigenamen des Pools ein. Die Pool-ID wird während der Eingabe automatisch aus dem Namen abgeleitet und unter dem Feld Name angezeigt. Sie können die Pool-ID aktualisieren, indem Sie neben der Pool-ID auf Bearbeiten klicken.

   2. Optional: Geben Sie unter Beschreibung eine Beschreibung des Pools ein.

   3. Klicken Sie zum Erstellen des Workforce Identity-Pools auf Weiter.

Die Sitzungsdauer des Workforce Identity-Pools ist standardmäßig auf eine Stunde (3.600 Sekunden) festgelegt. Die Sitzungsdauer bestimmt, wie lange die Google Cloud -Zugriffstokens, die Console (föderiert)-Anmeldesitzungen und die gcloud CLI-Anmeldungssitzungen aus diesem Workforce-Pool gültig sind. Nachdem Sie den Pool erstellt haben, können Sie ihn aktualisieren, um eine benutzerdefinierte Sitzungsdauer festzulegen. Die Sitzungsdauer muss zwischen 15 Minuten (900 Sek.) und 12 Stunden (43.200 Sek.) liegen.

gcloud

Führen Sie den folgenden Befehl aus, um den Anbieter des SAML-Mitarbeiteridentitätspools zu erstellen:

gcloud iam workforce-pools providers create-saml PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global \
    --display-name=DISPLAY_NAME \
    --idp-metadata-path=XML_METADATA_PATH \
    --attribute-mapping=ATTRIBUTE_MAPPING \
    --extra-attributes-issuer-uri=EXTRA_ATTRIBUTES_ISSUER_URI \
    --extra-attributes-client-id=EXTRA_ATTRIBUTES_CLIENT_ID \
    --extra-attributes-client-secret-value=EXTRA_ATTRIBUTES_CLIENT_SECRET \
    --extra-attributes-type=EXTRA_ATTRIBUTES_TYPE  \
    --extra-attributes-filter=EXTRA_ATTRIBUTES_FILTER \
    --detailed-audit-logging
    

Ersetzen Sie Folgendes:

• PROVIDER_ID: eine eindeutige Anbieter-ID Das Präfix gcp- ist reserviert und kann nicht in einem Pool oder einer Anbieter-ID verwendet werden.
• WORKFORCE_POOL_ID: die ID des Workforce-Pools.
• DISPLAY_NAME: Ein Anzeigename für den Anbieter.
• XML_METADATA_PATH: der Pfad zur SAML 2.0-XML-Metadatendatei.
• ATTRIBUTE_MAPPING: die Zuordnung von Attributen aus Microsoft Entra ID zu Google Cloud. Wenn Sie --extra-attributes-Flags verwenden, um Gruppen aus Microsoft Entra ID abzufragen, wird jede google.groups-Zuordnung, die Standard-SAML- oder OIDC-Ansprüche verwendet, ignoriert. Wenn Sie beispielsweise die Attribute groups und subject aus Microsoft Entra ID zuordnen möchten, verwenden Sie die folgende Attributzuordnung:

  --attribute-mapping="google.groups=assertion.groups, google.subject=assertion.oid"

  Weitere Informationen finden Sie unter Attributzuordnung.

• EXTRA_ATTRIBUTES_ISSUER_URI: der Aussteller-URI aus Ihrer Microsoft Entra ID-Anwendung.
• EXTRA_ATTRIBUTES_CLIENT_ID: Die Client-ID aus Ihrer Microsoft Entra ID-Anwendung.
• EXTRA_ATTRIBUTES_CLIENT_SECRET: Der zusätzliche Clientschlüssel aus Ihrer Microsoft Entra ID-Anwendung.
• EXTRA_ATTRIBUTES_TYPE: Verwenden Sie azure-ad-groups-mail, um die E‑Mail-Adressen der Gruppen abzurufen. Verwenden Sie azure-ad-groups-id, um die IDs der Gruppen abzurufen. Verwenden Sie azure-ad-groups-display-name, um die Anzeigenamen der Gruppen abzurufen.
• EXTRA_ATTRIBUTES_FILTER: Optional. Ein Filterausdruck, mit dem die Microsoft Graph API nach Gruppen abgefragt wird. Mit diesem Parameter können Sie dafür sorgen, dass die Anzahl der aus dem IdP abgerufenen Gruppen unter dem Limit von 400 Gruppen bleibt.

  Im folgenden Beispiel werden die Gruppen abgerufen, deren E-Mail-ID das Präfix sales hat:

  --extra-attributes-filter='"mail:sales"'

  Der folgende Ausdruck ruft Gruppen mit einem Anzeigenamen ab, der den String sales enthält.

  --extra-attributes-filter='"displayName:sales"'

• Die Mitarbeiteridentitätsföderation detaillierte Audit-Logs protokolliert Informationen, die von Ihrem IdP in Logging empfangen werden. Detaillierte Audit-Logs können Ihnen bei der Fehlerbehebung bei der Konfiguration Ihres Mitarbeiteridentitäts-Poolanbieters helfen. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detaillierten Audit-Logs finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Logging-Preisen finden Sie unter Google Cloud Observability-Preise.

  Wenn Sie die detaillierte Audit-Protokollierung für einen Workforce Identity-Pool-Anbieter deaktivieren möchten, lassen Sie das Flag --detailed-audit-logging weg, wenn Sie gcloud iam workforce-pools providers create ausführen. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

Console

1. Rufen Sie in der Google Cloud Console die Seite Mitarbeiteridentitätspools auf:

Zu Workforce Identity-Pools

2. Wählen Sie in der Tabelle Workforce Identity-Pools den Pool aus, für den Sie den Anbieter erstellen möchten.
3. Klicken Sie im Bereich Anbieter auf add Anbieter hinzufügen.
4. Wählen Sie in der Liste Select a Provider vendor (Anbieter auswählen) Ihren Identitätsanbieter (IdP) aus.

   Wenn Ihr IdP nicht aufgeführt ist, wählen Sie Generic Identity Provider aus.

5. Wählen Sie unter Authentifizierungsprotokoll auswählen die Option SAML aus.
6. Führen Sie im Abschnitt Anbieter erstellen die folgenden Schritte aus:
   1. Geben Sie unter Name einen Namen für den Anbieter ein.
   2. Optional: Geben Sie unter Beschreibung eine Beschreibung für den Anbieter ein.
   3. Wählen Sie in der IdP-Metadatendatei (XML) die XML-Metadatendatei aus, die Sie zuvor in dieser Anleitung generiert haben.
   4. Wenn Sie einen aktivierten Anbieter erstellen möchten, muss die Option Anbieter aktivieren aktiviert sein.
   5. Klicken Sie auf Weiter.
7. Kopieren Sie im Abschnitt Share your provider information (Informationen zum Anbieter freigeben) die URLs. Konfigurieren Sie in Ihrem IdP die erste URL als Entitäts-ID, mit der Ihre Anwendung gegenüber dem IdP identifiziert wird. Konfigurieren Sie die andere URL als Weiterleitungs-URI, damit Ihr IdP weiß, wohin das Assertion-Token nach der Anmeldung gesendet werden soll.
8. Klicken Sie auf Weiter.
9. Führen Sie im Abschnitt Anbieter konfigurieren die folgenden Schritte aus:
   1. Geben Sie unter Attributzuordnung einen CEL-Ausdruck für google.subject ein.
   2. Optional: Wenn Sie andere Zuordnungen eingeben möchten, klicken Sie auf Zuordnung hinzufügen und geben Sie andere Zuordnungen ein. Beispiel:

   google.subject=assertion.oid
   attribute.costcenter=assertion.attributes.costcenter[0]

   In diesem Beispiel werden die IdP-Attribute assertion.oid und assertion.attributes.costcenter[0] den Attributen Google Cloud google.subject bzw. attribute.costcenter zugeordnet.
   3. Wenn Sie Microsoft Entra ID als IdP ausgewählt haben, können Sie die Anzahl der Gruppen erhöhen.
      1. Wählen Sie Zusätzliche Attribute verwenden aus.
      2. Geben Sie im Feld Aussteller-URI für zusätzliche Attribute die Aussteller-URL ein.
      3. Geben Sie im Feld Client-ID für zusätzliche Attribute die Client-ID ein.
      4. Geben Sie im Feld Clientschlüssel für zusätzliche Attribute den Clientschlüssel ein.
      5. Wählen Sie in der Liste Typ für zusätzliche Attribute einen Attributtyp für zusätzliche Attribute aus.
      6. Geben Sie im Feld Filter für zusätzliche Attribute einen Filterausdruck ein, der beim Abfragen der Microsoft Graph API nach Gruppen verwendet wird.
   4. Optional: Klicken Sie auf Bedingung hinzufügen und geben Sie einen CEL-Ausdruck ein, der eine Attributbedingung darstellt, um eine Attributbedingung hinzuzufügen. Wenn Sie beispielsweise das Attribut ipaddr auf einen bestimmten IP-Bereich beschränken möchten, können Sie die Bedingung assertion.attributes.ipaddr.startsWith('98.11.12.') festlegen. Durch diese Beispielbedingung wird gewährleistet, dass sich nur Nutzer mit einer IP-Adresse, die mit 98.11.12. beginnt, über diesen Workforce-anbieter anmelden können.
   5. Klicken Sie auf Weiter.
   6. Wenn Sie das detaillierte Audit-Logging aktivieren möchten, klicken Sie unter Detaillierte Protokollierung auf den Schieberegler Audit-Logging für Attributwerte aktivieren.

      Die Mitarbeiteridentitätsföderation detaillierte Audit-Logs protokolliert Informationen, die von Ihrem IdP in Logging empfangen werden. Detaillierte Audit-Logs können Ihnen bei der Fehlerbehebung bei der Konfiguration Ihres Mitarbeiteridentitäts-Poolanbieters helfen. Informationen zur Fehlerbehebung bei Attributzuordnungsfehlern mit detaillierten Audit-Logs finden Sie unter Allgemeine Attributzuordnungsfehler. Informationen zu den Logging-Preisen finden Sie unter Google Cloud Observability-Preise.

      Wenn Sie die detaillierte Audit-Protokollierung für einen Workforce Identity-Pool-Anbieter deaktivieren möchten, lassen Sie das Flag --detailed-audit-logging weg, wenn Sie gcloud iam workforce-pools providers create ausführen. Wenn Sie das detaillierte Audit-Logging deaktivieren möchten, können Sie auch den Anbieter aktualisieren.

10. Klicken Sie auf Senden, um den Anbieter zu erstellen.

(Föderierte) Anmeldung bei der Console

So melden Sie sich in der Google Cloud Console für die Mitarbeiteridentitätsföderation an, die auch als Console (föderiert) bezeichnet wird:

1. Rufen Sie die (föderierte) Anmeldeseite der Konsole auf.

   Zur Konsole (föderiert)

2. Geben Sie den Namen des Anbieters ein. Er muss so formatiert sein:

   locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

Geben Sie bei Aufforderung die Nutzeranmeldedaten in Microsoft Entra ID ein.

Wenn Sie eine IdP-initiierte Anmeldung starten, verwenden Sie die folgende Relay-URL: https://console.cloud.google/.

Browserbasierte Anmeldung bei der gcloud CLI

So melden Sie sich mit einem browserbasierten Anmeldevorgang in der gcloud CLI an:

Konfigurationsdatei erstellen

Führen Sie den folgenden Befehl aus, um eine Konfigurationsdatei für die Anmeldung zu erstellen:

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

Ersetzen Sie Folgendes:

• WORKFORCE_POOL_ID: Die ID des Pools für die Mitarbeiteridentitätsföderation.
• WORKFORCE_PROVIDER_ID: Die ID des Anbieters der Mitarbeiteridentitätsföderation.
• LOGIN_CONFIG_PATH: Der Pfad, in den die Anmeldekonfigurationsdatei geschrieben werden soll. Beispiel: login-config.json.

Die Konfigurationsdatei für die Anmeldung enthält die Endpunkte, die von der gcloud CLI verwendet werden, um den browserbasierten Authentifizierungsvorgang zu aktivieren und die Zielgruppe auf den IdP festzulegen, der im Workforce Identity-Poolanbieter konfiguriert wurde. Die Datei enthält keine vertraulichen Informationen.

Der Inhalt der Anmeldekonfigurationsdatei sieht in etwa so aus:

{
  "universe_domain": "googleapis.com",
  "universe_cloud_web_domain": "cloud.google",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.google/authorize",
  "token_url": "https://sts.googleapis.com/v1/oauthtoken",
  "token_info_url": "https://sts.googleapis.com/v1/introspect"
}

Mit der browserbasierten Authentifizierung anmelden

Verweisen Sie mit einer Umgebungsvariable oder einem Attribut in der aktiven gcloud CLI-Konfiguration auf die Konfigurationsdatei für die Anmeldung oder verwenden Sie sie direkt mit dem Befehl gcloud auth login:

gcloud config unset auth/login_config_file

Mit dem Befehl gcloud auth login werden Anmeldedaten für den Zugriff in Ihrem Basisverzeichnis gespeichert. Der authentifizierte Prinzipal wird zum aktiven Prinzipal in Ihrer aktiven gcloud CLI-Konfiguration. Sofern nicht anders angegeben, verwendet die gcloud CLI diese gespeicherten Anmeldedaten für den Zugriff auf Google Cloud.

Monitorlose Anmeldung bei der gcloud CLI

So melden Sie sich mit der gcloud CLI in Microsoft Entra ID an:

Konsole (föderiert)

So testen Sie, ob Sie über die Console (föderiert) Zugriff haben:

• Rufen Sie die Cloud Storage-Seite auf.

  Cloud Storage aufrufen

• Prüfen Sie, ob Sie die Liste der vorhandenen Buckets für den TEST_PROJECT_ID sehen.

gcloud-CLI

Wenn Sie mit der gcloud CLI testen möchten, ob Sie Zugriff haben, können Sie Cloud Storage-Buckets und -Objekte für das Projekt auflisten, auf das Sie Zugriff haben. Führen Sie hierzu den folgenden Befehl aus. Das Hauptkonto muss die Berechtigung serviceusage.services.use für das angegebene Projekt haben.

gcloud storage ls --project="TEST_PROJECT_ID"