Configura la federación de identidades de personal con Microsoft Entra ID

OIDC

Para crear un registro de aplicación de Microsoft Entra ID que use el protocolo OIDC, haz lo siguiente:

1. Accede al centro de administración de Microsoft Entra.

2. Ve a la página Overview del registro de tu aplicación de Microsoft Entra ID.

3. Navega a Entra ID > Registros de aplicaciones.

4. Para comenzar a configurar el registro de la aplicación, haz lo siguiente:

   1. Haz clic en New registration.

   2. Ingresa un nombre para tu aplicación.

   3. En Tipos de cuentas compatibles, selecciona una opción.

   4. En la sección URI de redireccionamiento, en la lista desplegable Seleccionar una plataforma, selecciona Web.

   5. En el campo de texto, ingresa una URL de redireccionamiento. Se redirecciona a tus usuarios a esta URL después de que acceden de forma correcta. Si configuras el acceso a la consola (federada), usa el siguiente formato de URL:

      https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
      

      Reemplaza lo siguiente:

      • WORKFORCE_POOL_ID: Es un ID del grupo de identidades de personal que usarás cuando crees el grupo de identidades de personal más adelante en este documento; por ejemplo: entra-id-oidc-pool

      • WORKFORCE_PROVIDER_ID: Un ID de proveedor de grupo de identidades de personal que usarás cuando crees el proveedor de grupo de identidades de personal más adelante en este documento; por ejemplo, entra-id-oidc-pool-provider

        Para obtener información sobre el formato del ID, consulta la sección Parámetros de consulta en la documentación de la API.

   6. Para crear el registro de la aplicación, haz clic en Registrar.

   7. Para usar la asignación de atributos de ejemplo que se proporciona más adelante en este documento, debes crear un atributo department personalizado.

SAML

Para crear un registro de aplicación de Microsoft Entra ID que use el protocolo SAML, haz lo siguiente:

1. Accede al portal de administración de Microsoft Entra.

2. En el menú de navegación de la izquierda, ve a Entra ID > Enterprise Apps.

3. Para comenzar a configurar la aplicación empresarial, haz lo siguiente:

   1. Haz clic en Nueva aplicación > Crear tu propia aplicación.

   2. En el panel Crea tu propia aplicación que aparece, ingresa un nombre para tu aplicación.

   3. Haz clic en Crear.

   4. Ve a Inicio de sesión único > SAML.

   5. Actualiza la Configuración básica del SAML de la siguiente manera:

      1. En el campo Identificador (ID de entidad), ingresa el siguiente valor:

         https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
         

         Reemplaza lo siguiente:

         • WORKFORCE_POOL_ID: Un ID de grupo de identidades de personal que usarás cuando crees el grupo de identidades de personal más adelante en este documento; por ejemplo: entra-id-saml-pool

         • WORKFORCE_PROVIDER_ID: Un ID de proveedor de grupo de identidades de personal que usarás cuando crees el proveedor de grupo de identidades de personal más adelante en este documento; por ejemplo: entra-id-saml-pool-provider

           Para obtener información sobre el formato del ID, consulta la sección Parámetros de consulta en la documentación de la API.

      2. En el campo URL de respuesta (URL del servicio de confirmación de consumidores), ingresa una URL de redireccionamiento. Se redirecciona a tus usuarios a esta URL después de que acceden de forma correcta. Si configuras el acceso a la consola (federada), usa el siguiente formato de URL:

         https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
         

         Reemplaza lo siguiente:

         • WORKFORCE_POOL_ID: El ID del grupo de identidades de personal
         • WORKFORCE_PROVIDER_ID: El ID del proveedor de identidad de personal

      3. Para habilitar el inicio de sesión iniciado por IdP, establece el campo Estado de retransmisión en el siguiente valor:

         https://console.cloud.google/
         

      4. Para guardar la configuración de la aplicación de SAML, haz clic en Guardar.

   6. Para usar la asignación de atributos de ejemplo que se proporciona más adelante en este documento, debes crear un atributo department personalizado.

gcloud

Para crear el grupo de identidades de personal, ejecuta el siguiente comando:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Reemplaza lo siguiente:

• WORKFORCE_POOL_ID: Es un ID que elijas para representar tu Google Cloud grupo de personal. El ID del grupo debe ser único a nivel global en todos los grupos de identidades de personal de Google Cloud. Para obtener información sobre el formato del ID, consulta la sección Parámetros de consulta en la documentación de la API.
• ORGANIZATION_ID: Es el ID numérico de tu Google Cloud organización para el grupo de identidades de personal. Los grupos de identidades de personal están disponibles en todos los proyectos y carpetas de la organización.
• DISPLAY_NAME: Opcional Un nombre visible para tu grupo de identidad del personal.
• DESCRIPTION: Opcional Una descripción del grupo de identidad del personal.
• SESSION_DURATION: Opcional Duración de la sesión, expresada como un número al que se agrega s, por ejemplo, 3600s. La duración de la sesión determina el tiempo de acceso a los tokens de acceso de Google Cloud , las sesiones de acceso de la consola (federada) y las sesiones de acceso de la gcloud CLI de este grupo de personal son válidas. La duración predeterminada de la sesión es de una hora (3,600 s). El valor de duración de la sesión debe estar entre 15 minutos (900 s) y 12 horas (43,200 s).

Console

Para crear el grupo de identidades de personal, haz lo siguiente:

1. En la consola de Google Cloud , ve a la página Grupos de identidades de personal:

   Ir a Grupos de identidades de personal

2. Selecciona la organización para tu grupo de identidades del personal. Los grupos de identidades para cargas de trabajo están disponibles en todos los proyectos y carpetas de una organización.

3. Haz clic en Crear grupo y haz lo siguiente:

   1. En el campo Nombre, ingresa el nombre visible del grupo. El ID del grupo se deriva automáticamente del nombre a medida que escribes y se muestra en el campo Nombre. Para actualizar el ID del grupo, haz clic en Editar junto a él.

   2. Opcional: En Descripción, ingresa una descripción del grupo.

   3. Para crear el grupo de identidades de personal, haz clic en Siguiente.

La duración de la sesión del grupo de identidades del personal se establece de forma predeterminada en una hora (3,600 s). La duración de la sesión determina el tiempo de validez de los tokens de acceso Google Cloud , la consola (federada) y las sesiones de acceso a gcloud CLI de este grupo de personal. Después de crear el grupo, puedes actualizarlo para establecer una duración de la sesión personalizada. La duración de la sesión debe ser de 15 minutos (900 s) a 12 horas (43,200 s).

gcloud

Para crear el proveedor de grupos de identidades de personal de OIDC, ejecuta el siguiente comando:

gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global \
    --display-name=DISPLAY_NAME \
    --issuer-uri=ISSUER_URI \
    --client-id=CLIENT_ID \
    --attribute-mapping=ATTRIBUTE_MAPPING \
    --web-sso-response-type=id-token \
    --web-sso-assertion-claims-behavior=only-id-token-claims \
    --extra-attributes-issuer-uri=EXTRA_ATTRIBUTES_ISSUER_URI \
    --extra-attributes-client-id=EXTRA_ATTRIBUTES_CLIENT_ID \
    --extra-attributes-client-secret-value=EXTRA_ATTRIBUTES_CLIENT_SECRET \
    --extra-attributes-type=EXTRA_ATTRIBUTES_TYPE  \
    --extra-attributes-filter=EXTRA_ATTRIBUTES_FILTER \
    --detailed-audit-logging
    

Reemplaza lo siguiente:

• PROVIDER_ID: un ID de proveedor único. El prefijo gcp- está reservado y no se puede usar en un ID de grupo ni de proveedor.
• WORKFORCE_POOL_ID: el ID del grupo de personal.
• DISPLAY_NAME: Es el nombre visible del proveedor.
• ISSUER_URI: Es el URI de la entidad emisora de la aplicación de Microsoft Entra ID que creaste anteriormente en este documento.
• CLIENT_ID: Es el ID de cliente de tu aplicación de Microsoft Entra ID.
• ATTRIBUTE_MAPPING: Es la asignación de atributos de Microsoft Entra ID a Google Cloud. Si usas marcas de --extra-attributes para consultar grupos desde Microsoft Entra ID, se ignorará cualquier asignación de google.groups que use reclamaciones estándar de SAML o OIDC. Por ejemplo, para asignar los atributos groups y subject de Microsoft Entra ID, usa la siguiente asignación de atributos:

  --attribute-mapping="google.groups=assertion.groups, google.subject=assertion.oid"

  Para obtener más información, consulta Asignación de atributos.

• EXTRA_ATTRIBUTES_ISSUER_URI: Es el URI de la entidad emisora de tu aplicación de Microsoft Entra ID.
• EXTRA_ATTRIBUTES_CLIENT_ID: Es el ID de cliente de tu aplicación de Microsoft Entra ID.
• EXTRA_ATTRIBUTES_CLIENT_SECRET: Es el secreto del cliente adicional de tu aplicación de Microsoft Entra ID.
• EXTRA_ATTRIBUTES_TYPE: Usa azure-ad-groups-mail para recuperar las direcciones de correo electrónico de los grupos. Usa azure-ad-groups-id para recuperar los IDs de los grupos. Usa azure-ad-groups-display-name para recuperar los nombres visibles de los grupos.
• EXTRA_ATTRIBUTES_FILTER: Opcional Una expresión de filtro que se usa cuando se consulta la API de Microsoft Graph para grupos. Puedes usar este parámetro para asegurarte de que la cantidad de grupos recuperados del IdP permanezca por debajo del límite de 400 grupos.

  En el siguiente ejemplo, se recuperan los grupos que tienen el prefijo sales en su ID de correo electrónico:

  --extra-attributes-filter='"mail:sales"'

  La siguiente expresión recupera grupos con un nombre visible que contiene la cadena sales.

  --extra-attributes-filter='"displayName:sales"'

• El registro de auditoría detallado de la federación de identidades de personal registra la información que se recibe de tu IdP en Logging. El registro de auditoría detallado puede ayudarte a solucionar problemas relacionados con la configuración de tu proveedor de grupos de identidades de personal. Para obtener información sobre cómo solucionar problemas de errores de asignación de atributos con el registro de auditoría detallado, consulta Errores generales de asignación de atributos. Para obtener información sobre los precios de Logging, consulta Precios de Google Cloud Observability.

  Para inhabilitar el registro de auditoría detallado de un proveedor de grupos de identidades de personal, omite la marca --detailed-audit-logging cuando ejecutes gcloud iam workforce-pools providers create. Para inhabilitar el registro de auditoría detallado, también puedes actualizar el proveedor.

Console

1. En la consola de Google Cloud , ve a la página Grupos de identidades de personal:

Ir a Grupos de identidades de personal

2. En la tabla Workforce Identity Pools, selecciona el grupo para el que deseas crear el proveedor.
3. En la sección Proveedores, haz clic en add Agregar proveedor.
4. En la lista Selecciona un proveedor, elige tu proveedor de identidad (IdP).

   Si tu IdP no aparece en la lista, selecciona Generic Identity Provider.

5. En Selecciona un protocolo de autenticación, elige OpenID Connect (OIDC).
6. En la sección Crear un proveedor, haz lo siguiente:
   1. En Nombre, ingresa el nombre del proveedor.
   2. En Descripción, ingresa la descripción del proveedor.
   3. En Emisor (URL), ingresa el URI de la entidad emisora. El URI de la entidad emisora de OIDC debe tener un formato de URI válido y comenzar con https; por ejemplo, https://example.com/oidc.
   4. En ID de cliente, ingresa el ID de cliente de OIDC que está registrado con tu IdP de OIDC. El ID debe coincidir con la reclamación aud del JWT que emite tu IdP.

   5. Para crear un proveedor habilitado, asegúrate de que la opción Habilitar proveedor esté activada.

   6. Haz clic en Continuar.
7. En la sección Comparte la información de tu proveedor con el IdP, copia la URL. En tu IdP, configura esta URL como el URI de redireccionamiento, que le informa a tu IdP dónde enviar el token de aserción después de acceder.
8. Haz clic en Continuar.
9. En la sección Configurar el acceso a la Web con OIDC, haz lo siguiente:
   1. En la lista Tipo de flujo, selecciona Token de ID.
   2. En la lista Comportamiento de los reclamos de aserciones, se selecciona Token de ID.
10. Haz clic en Continuar.
11. En Configurar proveedor, puedes configurar una asignación de atributos y una condición de atributo. Para crear una asignación de atributos, haz lo siguiente: Puedes proporcionar el nombre del campo del IdP o una expresión con formato CEL que devuelva una cadena.
    1. Obligatorio: En OIDC 1, ingresa el asunto del IdP, por ejemplo, assertion.sub.
    2. Opcional: Para agregar asignaciones de atributos adicionales, haz lo siguiente:
       1. Haz clic en Agregar asignación.
       2. En Google n, donde n es un número, ingresa una de las claves compatibles conGoogle Cloud.
       3. En el campo OIDC n correspondiente, ingresa el nombre del campo específico de la IdP que deseas asignar, en formato CEL.
    3. Para aumentar la cantidad de grupos, haz lo siguiente:
       1. Selecciona Usar atributos adicionales.
       2. En el campo URI de la entidad emisora de atributos adicionales, ingresa la URL de la entidad emisora.
       3. En el campo ID de cliente de atributos adicionales, ingresa el ID de cliente.
       4. En el campo Secreto del cliente de atributos adicionales, ingresa el secreto del cliente.
       5. En la lista Tipo de atributo adicional, selecciona un tipo de atributo para los atributos adicionales.
       6. En el campo Filtro de atributos adicionales, ingresa una expresión de filtro que se use cuando se consulte la API de Microsoft Graph para grupos.
    4. Para crear una condición de atributo, haz lo siguiente:
       1. Haz clic en Agregar condición:
       2. En el campo Condiciones del atributo, ingresa una condición en formato CEL, por ejemplo, assertion.role == 'gcp-users'. Esta condición de ejemplo garantiza que solo los usuarios con el rol gcp-users puedan acceder mediante este proveedor.
       3. Para activar el registro de auditoría detallado, en Registro detallado, haz clic en el botón de activación Habilitar el registro de auditoría del valor de atributos.

          El registro de auditoría detallado de la federación de identidades de personal registra la información que se recibe de tu IdP en Logging. El registro de auditoría detallado puede ayudarte a solucionar problemas relacionados con la configuración de tu proveedor de grupos de identidades de personal. Para obtener información sobre cómo solucionar problemas de errores de asignación de atributos con el registro de auditoría detallado, consulta Errores generales de asignación de atributos. Para obtener información sobre los precios de Logging, consulta Precios de Google Cloud Observability.

          Para inhabilitar el registro de auditoría detallado de un proveedor de grupos de identidades de personal, omite la marca --detailed-audit-logging cuando ejecutes gcloud iam workforce-pools providers create. Para inhabilitar el registro de auditoría detallado, también puedes actualizar el proveedor.

12. Para crear el proveedor, haz clic en Enviar.

gcloud

Para crear el grupo de identidades de personal, ejecuta el siguiente comando:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Reemplaza lo siguiente:

• WORKFORCE_POOL_ID: Es un ID que elijas para representar tu Google Cloud grupo de personal. El ID del grupo debe ser único a nivel global en todos los grupos de identidades de personal de Google Cloud. Para obtener información sobre el formato del ID, consulta la sección Parámetros de consulta en la documentación de la API.
• ORGANIZATION_ID: Es el ID numérico de tu Google Cloud organización para el grupo de identidades de personal. Los grupos de identidades de personal están disponibles en todos los proyectos y carpetas de la organización.
• DISPLAY_NAME: Opcional Un nombre visible para tu grupo de identidad del personal.
• DESCRIPTION: Opcional Una descripción del grupo de identidad del personal.
• SESSION_DURATION: Opcional Duración de la sesión, expresada como un número al que se agrega s, por ejemplo, 3600s. La duración de la sesión determina el tiempo de acceso a los tokens de acceso de Google Cloud , las sesiones de acceso de la consola (federada) y las sesiones de acceso de la gcloud CLI de este grupo de personal son válidas. La duración predeterminada de la sesión es de una hora (3,600 s). El valor de duración de la sesión debe estar entre 15 minutos (900 s) y 12 horas (43,200 s).

Console

Para crear el grupo de identidades de personal, haz lo siguiente:

1. En la consola de Google Cloud , ve a la página Grupos de identidades de personal:

   Ir a Grupos de identidades de personal

2. Selecciona la organización para tu grupo de identidades del personal. Los grupos de identidades para cargas de trabajo están disponibles en todos los proyectos y carpetas de una organización.

3. Haz clic en Crear grupo y haz lo siguiente:

   1. En el campo Nombre, ingresa el nombre visible del grupo. El ID del grupo se deriva automáticamente del nombre a medida que escribes y se muestra en el campo Nombre. Para actualizar el ID del grupo, haz clic en Editar junto a él.

   2. Opcional: En Descripción, ingresa una descripción del grupo.

   3. Para crear el grupo de identidades de personal, haz clic en Siguiente.

La duración de la sesión del grupo de identidades del personal se establece de forma predeterminada en una hora (3,600 s). La duración de la sesión determina el tiempo de validez de los tokens de acceso Google Cloud , la consola (federada) y las sesiones de acceso a gcloud CLI de este grupo de personal. Después de crear el grupo, puedes actualizarlo para establecer una duración de la sesión personalizada. La duración de la sesión debe ser de 15 minutos (900 s) a 12 horas (43,200 s).

gcloud

Para crear el proveedor de grupos de identidades de personal de OIDC, ejecuta el siguiente comando:

gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global \
    --display-name=DISPLAY_NAME \
    --issuer-uri=ISSUER_URI \
    --client-id=CLIENT_ID \
    --client-secret-value="OIDC_CLIENT_SECRET" \
    --attribute-mapping=ATTRIBUTE_MAPPING \
    --web-sso-response-type=code \
    --web-sso-assertion-claims-behavior=merge-user-info-over-id-token-claims \
    --extra-attributes-issuer-uri=EXTRA_ATTRIBUTES_ISSUER_URI \
    --extra-attributes-client-id=EXTRA_ATTRIBUTES_CLIENT_ID \
    --extra-attributes-client-secret-value=EXTRA_ATTRIBUTES_CLIENT_SECRET \
    --extra-attributes-type=EXTRA_ATTRIBUTES_TYPE  \
    --extra-attributes-filter=EXTRA_ATTRIBUTES_FILTER \
    --detailed-audit-logging
    

Reemplaza lo siguiente:

• PROVIDER_ID: un ID de proveedor único. El prefijo gcp- está reservado y no se puede usar en un ID de grupo ni de proveedor.
• WORKFORCE_POOL_ID: el ID del grupo de personal.
• DISPLAY_NAME: Es el nombre visible del proveedor.
• ISSUER_URI: Es el URI de la entidad emisora de la aplicación de Microsoft Entra ID que creaste anteriormente en este documento.
• CLIENT_ID: Es el ID de cliente de tu aplicación de Microsoft Entra ID.
• ATTRIBUTE_MAPPING: Es la asignación de atributos de Microsoft Entra ID a Google Cloud. Si usas marcas de --extra-attributes para consultar grupos desde Microsoft Entra ID, se ignorará cualquier asignación de google.groups que use reclamaciones estándar de SAML o OIDC. Por ejemplo, para asignar los atributos groups y subject de Microsoft Entra ID, usa la siguiente asignación de atributos:

  --attribute-mapping="google.groups=assertion.groups, google.subject=assertion.oid"

  Para obtener más información, consulta Asignación de atributos.

• EXTRA_ATTRIBUTES_ISSUER_URI: Es el URI de la entidad emisora de tu aplicación de Microsoft Entra ID.
• EXTRA_ATTRIBUTES_CLIENT_ID: Es el ID de cliente de tu aplicación de Microsoft Entra ID.
• EXTRA_ATTRIBUTES_CLIENT_SECRET: Es el secreto del cliente adicional de tu aplicación de Microsoft Entra ID.
• EXTRA_ATTRIBUTES_TYPE: Usa azure-ad-groups-mail para recuperar las direcciones de correo electrónico de los grupos. Usa azure-ad-groups-id para recuperar los IDs de los grupos. Usa azure-ad-groups-display-name para recuperar los nombres visibles de los grupos.
• EXTRA_ATTRIBUTES_FILTER: Opcional Una expresión de filtro que se usa cuando se consulta la API de Microsoft Graph para grupos. Puedes usar este parámetro para asegurarte de que la cantidad de grupos recuperados del IdP permanezca por debajo del límite de 400 grupos.

  En el siguiente ejemplo, se recuperan los grupos que tienen el prefijo sales en su ID de correo electrónico:

  --extra-attributes-filter='"mail:sales"'

  La siguiente expresión recupera grupos con un nombre visible que contiene la cadena sales.

  --extra-attributes-filter='"displayName:sales"'

• El registro de auditoría detallado de la federación de identidades de personal registra la información que se recibe de tu IdP en Logging. El registro de auditoría detallado puede ayudarte a solucionar problemas relacionados con la configuración de tu proveedor de grupos de identidades de personal. Para obtener información sobre cómo solucionar problemas de errores de asignación de atributos con el registro de auditoría detallado, consulta Errores generales de asignación de atributos. Para obtener información sobre los precios de Logging, consulta Precios de Google Cloud Observability.

  Para inhabilitar el registro de auditoría detallado de un proveedor de grupos de identidades de personal, omite la marca --detailed-audit-logging cuando ejecutes gcloud iam workforce-pools providers create. Para inhabilitar el registro de auditoría detallado, también puedes actualizar el proveedor.

Console

1. En la consola de Google Cloud , ve a la página Grupos de identidades de personal:

Ir a Grupos de identidades de personal

2. En la tabla Workforce Identity Pools, selecciona el grupo para el que deseas crear el proveedor.
3. En la sección Proveedores, haz clic en add Agregar proveedor.
4. En la lista Selecciona un proveedor, elige tu proveedor de identidad (IdP).

   Si tu IdP no aparece en la lista, selecciona Generic Identity Provider.

5. En Selecciona un protocolo de autenticación, elige OpenID Connect (OIDC).
6. En la sección Crear un proveedor, haz lo siguiente:
   1. En Nombre, ingresa el nombre del proveedor.
   2. En Descripción, ingresa la descripción del proveedor.
   3. En Emisor (URL), ingresa el URI de la entidad emisora. El URI de la entidad emisora de OIDC debe tener un formato de URI válido y comenzar con https; por ejemplo, https://example.com/oidc.
   4. En ID de cliente, ingresa el ID de cliente de OIDC que está registrado con tu IdP de OIDC. El ID debe coincidir con la reclamación aud del JWT que emite tu IdP.

   5. Para crear un proveedor habilitado, asegúrate de que la opción Habilitar proveedor esté activada.

   6. Haz clic en Continuar.
7. En la sección Comparte la información de tu proveedor con el IdP, copia la URL. En tu IdP, configura esta URL como el URI de redireccionamiento, que le informa a tu IdP dónde enviar el token de aserción después de acceder.
8. Haz clic en Continuar.
9. En la sección Configurar el acceso a la Web con OIDC, haz lo siguiente:
   1. En la lista Tipo de flujo, selecciona Código.
   2. En la lista Comportamiento de los reclamos de aserciones, selecciona una de las siguientes opciones:
      • Información del usuario y token de ID
      • Solo token de ID
   3. En el campo Secreto del cliente, ingresa el secreto del cliente de tu IdP.
10. Haz clic en Continuar.
11. En Configurar proveedor, puedes configurar una asignación de atributos y una condición de atributo. Para crear una asignación de atributos, haz lo siguiente: Puedes proporcionar el nombre del campo del IdP o una expresión con formato CEL que devuelva una cadena.
    1. Obligatorio: En OIDC 1, ingresa el asunto del IdP, por ejemplo, assertion.sub.
    2. Opcional: Para agregar asignaciones de atributos adicionales, haz lo siguiente:
       1. Haz clic en Agregar asignación.
       2. En Google n, donde n es un número, ingresa una de las claves compatibles conGoogle Cloud.
       3. En el campo OIDC n correspondiente, ingresa el nombre del campo específico de la IdP que deseas asignar, en formato CEL.
    3. Para aumentar la cantidad de grupos, haz lo siguiente:
       1. Selecciona Usar atributos adicionales.
       2. En el campo URI de la entidad emisora de atributos adicionales, ingresa la URL de la entidad emisora.
       3. En el campo ID de cliente de atributos adicionales, ingresa el ID de cliente.
       4. En el campo Secreto del cliente de atributos adicionales, ingresa el secreto del cliente.
       5. En la lista Tipo de atributo adicional, selecciona un tipo de atributo para los atributos adicionales.
       6. En el campo Filtro de atributos adicionales, ingresa una expresión de filtro que se use cuando se consulte la API de Microsoft Graph para grupos.
    4. Para crear una condición de atributo, haz lo siguiente:
       1. Haz clic en Agregar condición:
       2. En el campo Condiciones del atributo, ingresa una condición en formato CEL, por ejemplo, assertion.role == 'gcp-users'. Esta condición de ejemplo garantiza que solo los usuarios con el rol gcp-users puedan acceder mediante este proveedor.
       3. Para activar el registro de auditoría detallado, en Registro detallado, haz clic en el botón de activación Habilitar el registro de auditoría del valor de atributos.

          El registro de auditoría detallado de la federación de identidades de personal registra la información que se recibe de tu IdP en Logging. El registro de auditoría detallado puede ayudarte a solucionar problemas relacionados con la configuración de tu proveedor de grupos de identidades de personal. Para obtener información sobre cómo solucionar problemas de errores de asignación de atributos con el registro de auditoría detallado, consulta Errores generales de asignación de atributos. Para obtener información sobre los precios de Logging, consulta Precios de Google Cloud Observability.

          Para inhabilitar el registro de auditoría detallado de un proveedor de grupos de identidades de personal, omite la marca --detailed-audit-logging cuando ejecutes gcloud iam workforce-pools providers create. Para inhabilitar el registro de auditoría detallado, también puedes actualizar el proveedor.

12. Para crear el proveedor, haz clic en Enviar.

gcloud

Para crear el grupo de identidades de personal, ejecuta el siguiente comando:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Reemplaza lo siguiente:

• WORKFORCE_POOL_ID: Es un ID que elijas para representar tu Google Cloud grupo de personal. El ID del grupo debe ser único a nivel global en todos los grupos de identidades de personal de Google Cloud. Para obtener información sobre el formato del ID, consulta la sección Parámetros de consulta en la documentación de la API.
• ORGANIZATION_ID: Es el ID numérico de tu Google Cloud organización para el grupo de identidades de personal. Los grupos de identidades de personal están disponibles en todos los proyectos y carpetas de la organización.
• DISPLAY_NAME: Opcional Un nombre visible para tu grupo de identidad del personal.
• DESCRIPTION: Opcional Una descripción del grupo de identidad del personal.
• SESSION_DURATION: Opcional Duración de la sesión, expresada como un número al que se agrega s, por ejemplo, 3600s. La duración de la sesión determina el tiempo de acceso a los tokens de acceso de Google Cloud , las sesiones de acceso de la consola (federada) y las sesiones de acceso de la gcloud CLI de este grupo de personal son válidas. La duración predeterminada de la sesión es de una hora (3,600 s). El valor de duración de la sesión debe estar entre 15 minutos (900 s) y 12 horas (43,200 s).

Console

Para crear el grupo de identidades de personal, haz lo siguiente:

1. En la consola de Google Cloud , ve a la página Grupos de identidades de personal:

   Ir a Grupos de identidades de personal

2. Selecciona la organización para tu grupo de identidades del personal. Los grupos de identidades para cargas de trabajo están disponibles en todos los proyectos y carpetas de una organización.

3. Haz clic en Crear grupo y haz lo siguiente:

   1. En el campo Nombre, ingresa el nombre visible del grupo. El ID del grupo se deriva automáticamente del nombre a medida que escribes y se muestra en el campo Nombre. Para actualizar el ID del grupo, haz clic en Editar junto a él.

   2. Opcional: En Descripción, ingresa una descripción del grupo.

   3. Para crear el grupo de identidades de personal, haz clic en Siguiente.

La duración de la sesión del grupo de identidades del personal se establece de forma predeterminada en una hora (3,600 s). La duración de la sesión determina el tiempo de validez de los tokens de acceso Google Cloud , la consola (federada) y las sesiones de acceso a gcloud CLI de este grupo de personal. Después de crear el grupo, puedes actualizarlo para establecer una duración de la sesión personalizada. La duración de la sesión debe ser de 15 minutos (900 s) a 12 horas (43,200 s).

gcloud

Para crear el proveedor de grupos de identidades de personal de SAML, ejecuta el siguiente comando:

gcloud iam workforce-pools providers create-saml PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global \
    --display-name=DISPLAY_NAME \
    --idp-metadata-path=XML_METADATA_PATH \
    --attribute-mapping=ATTRIBUTE_MAPPING \
    --extra-attributes-issuer-uri=EXTRA_ATTRIBUTES_ISSUER_URI \
    --extra-attributes-client-id=EXTRA_ATTRIBUTES_CLIENT_ID \
    --extra-attributes-client-secret-value=EXTRA_ATTRIBUTES_CLIENT_SECRET \
    --extra-attributes-type=EXTRA_ATTRIBUTES_TYPE  \
    --extra-attributes-filter=EXTRA_ATTRIBUTES_FILTER \
    --detailed-audit-logging
    

Reemplaza lo siguiente:

• PROVIDER_ID: un ID de proveedor único. El prefijo gcp- está reservado y no se puede usar en un ID de grupo ni de proveedor.
• WORKFORCE_POOL_ID: el ID del grupo de personal.
• DISPLAY_NAME: Es el nombre visible del proveedor.
• XML_METADATA_PATH: Es la ruta de acceso al archivo de metadatos XML de SAML 2.0.
• ATTRIBUTE_MAPPING: Es la asignación de atributos de Microsoft Entra ID a Google Cloud. Si usas marcas de --extra-attributes para consultar grupos desde Microsoft Entra ID, se ignorará cualquier asignación de google.groups que use reclamaciones estándar de SAML o OIDC. Por ejemplo, para asignar los atributos groups y subject de Microsoft Entra ID, usa la siguiente asignación de atributos:

  --attribute-mapping="google.groups=assertion.groups, google.subject=assertion.oid"

  Para obtener más información, consulta Asignación de atributos.

• EXTRA_ATTRIBUTES_ISSUER_URI: Es el URI de la entidad emisora de tu aplicación de Microsoft Entra ID.
• EXTRA_ATTRIBUTES_CLIENT_ID: Es el ID de cliente de tu aplicación de Microsoft Entra ID.
• EXTRA_ATTRIBUTES_CLIENT_SECRET: Es el secreto del cliente adicional de tu aplicación de Microsoft Entra ID.
• EXTRA_ATTRIBUTES_TYPE: Usa azure-ad-groups-mail para recuperar las direcciones de correo electrónico de los grupos. Usa azure-ad-groups-id para recuperar los IDs de los grupos. Usa azure-ad-groups-display-name para recuperar los nombres visibles de los grupos.
• EXTRA_ATTRIBUTES_FILTER: Opcional Una expresión de filtro que se usa cuando se consulta la API de Microsoft Graph para grupos. Puedes usar este parámetro para asegurarte de que la cantidad de grupos recuperados del IdP permanezca por debajo del límite de 400 grupos.

  En el siguiente ejemplo, se recuperan los grupos que tienen el prefijo sales en su ID de correo electrónico:

  --extra-attributes-filter='"mail:sales"'

  La siguiente expresión recupera grupos con un nombre visible que contiene la cadena sales.

  --extra-attributes-filter='"displayName:sales"'

• El registro de auditoría detallado de la federación de identidades de personal registra la información que se recibe de tu IdP en Logging. El registro de auditoría detallado puede ayudarte a solucionar problemas relacionados con la configuración de tu proveedor de grupos de identidades de personal. Para obtener información sobre cómo solucionar problemas de errores de asignación de atributos con el registro de auditoría detallado, consulta Errores generales de asignación de atributos. Para obtener información sobre los precios de Logging, consulta Precios de Google Cloud Observability.

  Para inhabilitar el registro de auditoría detallado de un proveedor de grupos de identidades de personal, omite la marca --detailed-audit-logging cuando ejecutes gcloud iam workforce-pools providers create. Para inhabilitar el registro de auditoría detallado, también puedes actualizar el proveedor.

Console

1. En la consola de Google Cloud , ve a la página Grupos de identidades de personal:

Ir a Grupos de identidades de personal

2. En la tabla Workforce Identity Pools, selecciona el grupo para el que deseas crear el proveedor.
3. En la sección Proveedores, haz clic en add Agregar proveedor.
4. En la lista Selecciona un proveedor, elige tu proveedor de identidad (IdP).

   Si tu IdP no aparece en la lista, selecciona Generic Identity Provider.

5. En Selecciona un protocolo de autenticación, selecciona SAML.
6. En la sección Crear un proveedor, haz lo siguiente:
   1. En Nombre del proveedor, ingresa un nombre para el proveedor.
   2. Opcional: En Descripción, ingresa una descripción para el proveedor.
   3. En Archivo de metadatos de IdP (XML), selecciona el archivo XML de metadatos que generaste antes en esta guía.
   4. Para crear un proveedor habilitado, asegúrate de que la opción Habilitar proveedor esté activada.
   5. Haz clic en Continuar.
7. En la sección Comparte la información de tu proveedor, copia las URLs. En tu IdP, configura la primera URL como el ID de la entidad, que identifica tu aplicación para el IdP. Configura la otra URL como el URI de redireccionamiento, que le informa a tu IdP dónde enviar el token de aserción después de acceder.
8. Haz clic en Continuar.
9. En la sección Configurar proveedor, haz lo siguiente:
   1. En Asignación de atributos, ingresa una expresión CEL para google.subject.
   2. Opcional: Para ingresar otras asignaciones, haz clic en Agregar asignación y, luego, ingresa otras asignaciones:

   google.subject=assertion.oid
   attribute.costcenter=assertion.attributes.costcenter[0]

   En este ejemplo, se asignan los atributos de IdP assertion.oid y assertion.attributes.costcenter[0] a los atributos Google Cloud google.subject y attribute.costcenter, respectivamente.
   3. Si seleccionaste Microsoft Entra ID como tu IdP, puedes aumentar la cantidad de grupos.
      1. Selecciona Usar atributos adicionales.
      2. En el campo URI de la entidad emisora de atributos adicionales, ingresa la URL de la entidad emisora.
      3. En el campo ID de cliente de atributos adicionales, ingresa el ID de cliente.
      4. En el campo Secreto del cliente de atributos adicionales, ingresa el secreto del cliente.
      5. En la lista Tipo de atributos adicionales, selecciona un tipo de atributo para los atributos adicionales.
      6. En el campo Filtro de atributos adicionales, ingresa una expresión de filtro que se use cuando se consulte la API de Microsoft Graph para grupos.
   4. Opcional: Para agregar una condición de atributo, haz clic en Agregar condición y, luego, ingresa una expresión de CEL que represente una condición de atributo. Por ejemplo, para limitar el atributo ipaddr a un rango de IP determinado, puedes establecer la condición assertion.attributes.ipaddr.startsWith('98.11.12.'). Esta condición de ejemplo garantiza que solo los usuarios con una dirección IP que comienza con 98.11.12. puedan acceder mediante este proveedor de personal.
   5. Haz clic en Continuar.
   6. Para activar el registro de auditoría detallado, en Registro detallado, haz clic en el botón de activación Habilitar el registro de auditoría del valor de atributos.

      El registro de auditoría detallado de la federación de identidades de personal registra la información que se recibe de tu IdP en Logging. El registro de auditoría detallado puede ayudarte a solucionar problemas relacionados con la configuración de tu proveedor de grupos de identidades de personal. Para obtener información sobre cómo solucionar problemas de errores de asignación de atributos con el registro de auditoría detallado, consulta Errores generales de asignación de atributos. Para obtener información sobre los precios de Logging, consulta Precios de Google Cloud Observability.

      Para inhabilitar el registro de auditoría detallado de un proveedor de grupos de identidades de personal, omite la marca --detailed-audit-logging cuando ejecutes gcloud iam workforce-pools providers create. Para inhabilitar el registro de auditoría detallado, también puedes actualizar el proveedor.

10. Para crear el proveedor, haz clic en Enviar.

Acceso a la consola (federada)

Para acceder a la consola de Google Cloud federación de identidades de personal, también conocida como la consola (federada), haz lo siguiente:

1. Ve a la página de acceso de la consola (federada).

   Ir a la consola (federada)

2. Ingresa el nombre del proveedor, que tiene el siguiente formato:

   locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

Si se te solicita, ingresa las credenciales de usuario en Microsoft Entra ID.

Si inicias un acceso iniciado por IdP, usa la siguiente URL de retransmisión: https://console.cloud.google/.

Acceso con el navegador de la gcloud CLI

Para acceder a la gcloud CLI con un flujo de acceso basado en el navegador, haz lo siguiente:

Crea un archivo de configuración

Ejecuta el siguiente comando para crear un archivo de configuración de acceso:

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

Reemplaza lo siguiente:

• WORKFORCE_POOL_ID: Es el ID del grupo de federación de identidades de personal.
• WORKFORCE_PROVIDER_ID: Es el ID del proveedor de la federación de identidades de personal.
• LOGIN_CONFIG_PATH: Es la ruta de acceso en la que se escribirá el archivo de configuración de acceso. Por ejemplo, login-config.json

El archivo de configuración de acceso contiene los extremos que usa la gcloud CLI para habilitar el flujo de autenticación basado en el navegador y establecer el público en el IdP que se configuró en el proveedor del grupo de identidades de personal. El archivo no contiene información confidencial.

El contenido del archivo de configuración de acceso se ve de la siguiente manera:

{
  "universe_domain": "googleapis.com",
  "universe_cloud_web_domain": "cloud.google",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.google/authorize",
  "token_url": "https://sts.googleapis.com/v1/oauthtoken",
  "token_info_url": "https://sts.googleapis.com/v1/introspect"
}

Accede con autenticación basada en el navegador

Apunta al archivo de configuración de acceso con una variable de entorno, una propiedad en la configuración activa de la gcloud CLI o úsalo directamente con el comando gcloud auth login:

gcloud config unset auth/login_config_file

El comando gcloud auth login almacena las credenciales de acceso en tu directorio principal. La principal autenticada se convierte en la principal activa en tu configuración activa de gcloud CLI. A menos que se anulen, gcloud CLI usa estas credenciales almacenadas para acceder a Google Cloud.

Acceso sin interfaz gráfica de la gcloud CLI

Para acceder a Microsoft Entra ID con la gcloud CLI, haz lo siguiente:

Consola (federada)

Para probar que tienes acceso con la consola (federada), haz lo siguiente:

• Ve a la página de Cloud Storage

  Ir a Cloud Storage

• Verifica que puedas ver una lista de los buckets existentes para TEST_PROJECT_ID.

gcloud CLI

Para probar que tienes acceso con gcloud CLI, puedes enumerar los buckets y objetos de Cloud Storage del proyecto al que tienes acceso. Para hacer esto, ejecuta el siguiente comando. La principal debe tener el permiso serviceusage.services.use en el proyecto especificado.

gcloud storage ls --project="TEST_PROJECT_ID"