Configurer la fédération des identités des employés avec Microsoft Entra ID

OIDC

Pour créer une inscription d'application Microsoft Entra ID qui utilise le protocole OIDC, procédez comme suit :

1. Connectez-vous au centre d'administration Microsoft Entra.

2. Accédez à la page Présentation de l'enregistrement de votre application Microsoft Entra ID.

3. Accédez à Entra ID > Inscriptions d'application.

4. Pour commencer à configurer l'enregistrement de l'application, procédez comme suit :

   1. Cliquez sur Nouvelle inscription.

   2. Saisissez un nom pour votre application.

   3. Dans Types de comptes compatibles, sélectionnez une option.

   4. Dans la section Redirect URI (URI de redirection), dans la liste déroulante Select a platform (Sélectionner une plate-forme), sélectionnez Web.

   5. Dans le champ de texte, saisissez une URL de redirection. Vos utilisateurs sont redirigés vers cette URL après s'être connectés. Si vous configurez l'accès à la console (fédéré), utilisez le format d'URL suivant :

      https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
      

      Remplacez les éléments suivants :

      • WORKFORCE_POOL_ID : ID de pool d'identités de personnel que vous utiliserez lorsque vous créerez le pool d'identités de personnel plus loin dans ce document. Par exemple : entra-id-oidc-pool

      • WORKFORCE_PROVIDER_ID : ID de fournisseur de pool d'identités de personnel que vous utiliserez lorsque vous créerez le fournisseur de pool d'identités de personnel plus loin dans ce document. Par exemple : entra-id-oidc-pool-provider

        Pour plus d'informations sur la mise en forme de l'ID, consultez la section Paramètres de requête dans la documentation de l'API.

   6. Pour créer l'enregistrement de l'application, cliquez sur Enregistrer.

   7. Pour utiliser l'exemple de mappage d'attributs fourni plus loin dans ce document, vous devez créer un attribut department personnalisé.

SAML

Pour créer une inscription d'application Microsoft Entra ID qui utilise le protocole SAML, procédez comme suit :

1. Connectez-vous au portail d'administration Microsoft Entra.

2. Dans le menu de navigation de gauche, accédez à Entra ID > Applications d'entreprise.

3. Pour commencer à configurer l'application d'entreprise, procédez comme suit :

   1. Cliquez sur Nouvelle application > Créer votre propre application.

   2. Dans le volet Créer votre propre application qui s'affiche, saisissez le nom de votre application.

   3. Cliquez sur Créer.

   4. Accédez à Authentification unique > SAML.

   5. Mettez à jour la configuration SAML de base comme suit :

      1. Dans le champ Identifiant (ID d'entité), saisissez la valeur suivante :

         https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
         

         Remplacez les éléments suivants :

         • WORKFORCE_POOL_ID : ID de pool d'identités de personnel que vous utiliserez lorsque vous créerez le pool d'identités de personnel plus loin dans ce document. Par exemple : entra-id-saml-pool

         • WORKFORCE_PROVIDER_ID : ID de fournisseur de pool d'identités de personnel que vous utiliserez lorsque vous créerez le fournisseur de pool d'identités de personnel plus loin dans ce document. Par exemple : entra-id-saml-pool-provider

           Pour plus d'informations sur la mise en forme de l'ID, consultez la section Paramètres de requête dans la documentation de l'API.

      2. Dans le champ URL de réponse (URL ACS - Assertion Consumer Service URL), saisissez une URL de redirection. Vos utilisateurs sont redirigés vers cette URL après s'être connectés. Si vous configurez l'accès à la console (fédéré), utilisez le format d'URL suivant :

         https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
         

         Remplacez les éléments suivants :

         • WORKFORCE_POOL_ID : ID du pool d'identités de personnel
         • WORKFORCE_PROVIDER_ID : ID du fournisseur d'identité de personnel

      3. Pour activer l'authentification initiée par le fournisseur d'identité, définissez le champ État du relais sur la valeur suivante :

         https://console.cloud.google/
         

      4. Pour enregistrer la configuration de l'application SAML, cliquez sur Enregistrer.

   6. Pour utiliser l'exemple de mappage d'attributs fourni plus loin dans ce document, vous devez créer un attribut department personnalisé.

gcloud

Pour créer le pool d'identités de personnel, exécutez la commande suivante :

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Remplacez les éléments suivants :

• WORKFORCE_POOL_ID : ID que vous choisissez pour représenter votre pool de personnel Google Cloud . L'ID de pool doit être unique au niveau mondial dans tous les pools d'identités de personnel de Google Cloud. Pour plus d'informations sur la mise en forme de l'ID, consultez la section Paramètres de requête dans la documentation de l'API.
• ORGANIZATION_ID : ID numérique de votre organisation Google Cloud pour le pool d'identités des employés. Les pools d'identités des employés sont disponibles dans tous les projets et dossiers de l'organisation.
• DISPLAY_NAME : facultatif. Un nom à afficher pour votre pool d'identités d'employés.
• DESCRIPTION : facultatif. Description du pool d'identités de personnel
• SESSION_DURATION : facultatif. Durée de la session, exprimée sous la forme d'un nombre suivi de s (par exemple, 3600s). La durée de la session détermine la durée pendant laquelle les jetons d'accès Google Cloud , les sessions de connexion à la console (fédération) et les sessions de connexion à gcloud CLI de ce pool de personnel sont valides. La durée de la session est définie par défaut sur une heure (3 600 s). La valeur de la durée de la session doit être comprise entre 15 minutes (900 s) et 12 heures (43 200 s).

Console

Pour créer le pool d'identités de personnel, procédez comme suit :

1. Dans la console Google Cloud , accédez à la page Pools d'identités de personnel :

   Accéder aux pools d'identités de personnel

2. Sélectionnez l'organisation pour votre pool d'identités de personnel. Les pools d'identités du personnel sont disponibles pour tous les projets et dossiers d'une organisation.

3. Cliquez sur Créer un pool et procédez comme suit :

   1. Dans le champ Nom, saisissez le nom à afficher du pool. L'ID du pool est automatiquement dérivé du nom au fur et à mesure de la saisie, et s'affiche sous le champ Nom. Vous pouvez modifier l'ID du pool en cliquant sur Modifier à côté de l'ID du pool.

   2. Facultatif : Dans le champ Description, saisissez une description du pool.

   3. Pour créer le pool d'identités de personnel, cliquez sur Suivant.

La durée de session du pool d'identités de personnel est définie par défaut sur une heure (3 600 s). Elle détermine la durée de validité des jetons d'accès Google Cloud , des sessions de connexion à la console (fédération) et des sessions de connexion à gcloud CLI de ce pool de personnel. Une fois le pool créé, vous pouvez le modifier pour définir une durée de session personnalisée. La durée de session doit être comprise entre 15 minutes (900 s) et 12 heures (43 200 s).

gcloud

Pour créer le fournisseur de pools d'identités de personnel OIDC, exécutez la commande suivante :

gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global \
    --display-name=DISPLAY_NAME \
    --issuer-uri=ISSUER_URI \
    --client-id=CLIENT_ID \
    --attribute-mapping=ATTRIBUTE_MAPPING \
    --web-sso-response-type=id-token \
    --web-sso-assertion-claims-behavior=only-id-token-claims \
    --extra-attributes-issuer-uri=EXTRA_ATTRIBUTES_ISSUER_URI \
    --extra-attributes-client-id=EXTRA_ATTRIBUTES_CLIENT_ID \
    --extra-attributes-client-secret-value=EXTRA_ATTRIBUTES_CLIENT_SECRET \
    --extra-attributes-type=EXTRA_ATTRIBUTES_TYPE  \
    --extra-attributes-filter=EXTRA_ATTRIBUTES_FILTER \
    --detailed-audit-logging
    

Remplacez les éléments suivants :

• PROVIDER_ID : ID de fournisseur unique. Le préfixe gcp- est réservé et ne peut pas être utilisé dans un ID de pool ou de fournisseur.
• WORKFORCE_POOL_ID : ID du pool de personnel.
• DISPLAY_NAME : nom à afficher pour le fournisseur.
• ISSUER_URI : URI de l'émetteur de l'application Microsoft Entra ID que vous avez créée précédemment dans ce document.
• CLIENT_ID : ID client de votre application Microsoft Entra ID.
• ATTRIBUTE_MAPPING : mappage des attributs de Microsoft Entra ID à Google Cloud. Si vous utilisez des indicateurs --extra-attributes pour interroger des groupes depuis Microsoft Entra ID, tout mappage google.groups qui utilise des revendications SAML ou OIDC standards est ignoré. Par exemple, pour mapper les attributs groups et subject de Microsoft Entra ID, utilisez le mappage d'attributs suivant :

  --attribute-mapping="google.groups=assertion.groups, google.subject=assertion.oid"

  Pour en savoir plus, consultez Mappage d'attributs.

• EXTRA_ATTRIBUTES_ISSUER_URI : URI de l'émetteur de votre application Microsoft Entra ID.
• EXTRA_ATTRIBUTES_CLIENT_ID : ID client de votre application Microsoft Entra ID.
• EXTRA_ATTRIBUTES_CLIENT_SECRET : code secret du client supplémentaire de votre application Microsoft Entra ID.
• EXTRA_ATTRIBUTES_TYPE : utilisez azure-ad-groups-mail pour récupérer les adresses e-mail des groupes. Utilisez azure-ad-groups-id pour récupérer les ID des groupes. Utilisez azure-ad-groups-display-name pour récupérer les noms à afficher des groupes.
• EXTRA_ATTRIBUTES_FILTER : facultatif. Expression de filtre utilisée pour rechercher des groupes avec l'API Microsoft Graph. Vous pouvez utiliser ce paramètre pour vous assurer que le nombre de groupes récupérés auprès de l'IdP ne dépasse pas la limite de 400 groupes.

  L'exemple suivant récupère les groupes dont l'adresse e-mail est précédée du préfixe sales :

  --extra-attributes-filter='"mail:sales"'

  L'expression suivante récupère les groupes dont le nom à afficher contient la chaîne sales.

  --extra-attributes-filter='"displayName:sales"'

• La journalisation d'audit détaillée de la fédération des identités des employés enregistre les informations reçues de votre fournisseur d'identité dans Logging. La journalisation d'audit détaillée peut vous aider à résoudre les problèmes liés à la configuration de votre fournisseur de pools d'identités des employés. Pour savoir comment résoudre les erreurs de mappage d'attributs à l'aide de journaux d'audit détaillés, consultez Erreurs générales de mappage d'attributs. Pour en savoir plus sur les tarifs de Logging, consultez la page Tarifs de Google Cloud Observability.

  Pour désactiver la journalisation d'audit détaillée pour un fournisseur de pools d'identités de personnel, omettez l'indicateur --detailed-audit-logging lorsque vous exécutez gcloud iam workforce-pools providers create. Pour désactiver la journalisation d'audit détaillée, vous pouvez également mettre à jour le fournisseur.

Console

1. Dans la console Google Cloud , accédez à la page Pools d'identités de personnel :

Accéder aux pools d'identités de personnel

2. Dans le tableau Pools d'identités de personnel, sélectionnez le pool pour lequel vous souhaitez créer le fournisseur.
3. Dans la section Fournisseurs, cliquez sur add Ajouter un fournisseur.
4. Dans la liste Sélectionner un fournisseur, sélectionnez votre fournisseur d'identité (IdP).

   Si votre fournisseur d'identité n'est pas listé, sélectionnez Fournisseur d'identité générique.

5. Dans Sélectionner un protocole d'authentification, sélectionnez OpenID Connect (OIDC).
6. Dans la section Créer un fournisseur, procédez comme suit :
   1. Dans Nom, saisissez le nom du fournisseur.
   2. Dans Description, saisissez la description du fournisseur.
   3. Dans le champ Issuer (URL) (Émetteur (URL)), saisissez l'URI de l'émetteur. L'URI d'émetteur OIDC doit être dans un format d'URI valide et commencer par https. Exemple : https://example.com/oidc.
   4. Dans ID client, saisissez l'ID client OIDC enregistré auprès de votre fournisseur d'identité OIDC. L'ID doit correspondre à la revendication aud du jeton JWT émis par votre fournisseur d'identité.

   5. Pour créer un fournisseur activé, assurez-vous que l'option Activer le fournisseur est activée.

   6. Cliquez sur Continuer.
7. Dans la section Share your provider information with IdP (Partagez les informations de votre fournisseur avec l'IdP), copiez l'URL. Dans votre IdP, configurez cette URL comme URI de redirection. Elle indique à votre IdP où envoyer le jeton d'assertion après la connexion.
8. Cliquez sur Continuer.
9. Dans la section Configurer la connexion Web OIDC, procédez comme suit :
   1. Dans la liste Type de flux, sélectionnez Jeton d'ID.
   2. Dans la liste Comportement des revendications d'assertion, l'option Jeton d'ID est sélectionnée.
10. Cliquez sur Continuer.
11. Dans Configurer le fournisseur, vous pouvez configurer un mappage d'attributs et une condition d'attributs. Pour créer un mappage d'attributs, procédez comme suit. Vous pouvez indiquer le nom du champ du fournisseur d'identité ou une expression au format CEL qui renvoie une chaîne.
    1. Obligatoire : dans OIDC 1, saisissez l'objet du fournisseur d'identité. Exemple : assertion.sub.
    2. Facultatif : Pour ajouter des mappages d'attributs supplémentaires, procédez comme suit :
       1. Cliquez sur Ajouter un mappage.
       2. Dans Google n, où n est un nombre, saisissez l'une des clés compatibles avecGoogle Cloud.
       3. Dans le champ OIDC n correspondant, saisissez le nom du champ spécifique au fournisseur d'identité à mapper, au format CEL.
    3. Pour augmenter le nombre de groupes, procédez comme suit :
       1. Sélectionnez Utiliser des attributs supplémentaires.
       2. Dans le champ URI de l'émetteur des attributs supplémentaires, saisissez l'URL de l'émetteur.
       3. Dans le champ ID client des attributs supplémentaires, saisissez l'ID client.
       4. Dans le champ Code secret du client pour les attributs supplémentaires, saisissez le code secret du client.
       5. Dans la liste Type d'attributs supplémentaires, sélectionnez un type d'attribut pour les attributs supplémentaires.
       6. Dans le champ Filtre d'attributs supplémentaires, saisissez une expression de filtre utilisée pour rechercher des groupes avec l'API Microsoft Graph.
    4. Pour créer une condition d'attribut :
       1. Cliquez sur Ajouter une condition :
       2. Dans le champ Conditions d'attribut, saisissez une condition au format CEL. Par exemple, assertion.role == 'gcp-users'. Cet exemple de condition garantit que seuls les utilisateurs disposant du rôle gcp-users peuvent se connecter via ce fournisseur.
       3. Pour activer la journalisation d'audit détaillée, dans Journalisation détaillée, cliquez sur le bouton Activer la journalisation d'audit des valeurs d'attribut.

          La journalisation d'audit détaillée de la fédération des identités des employés enregistre les informations reçues de votre fournisseur d'identité dans Logging. La journalisation d'audit détaillée peut vous aider à résoudre les problèmes liés à la configuration de votre fournisseur de pools d'identités des employés. Pour savoir comment résoudre les erreurs de mappage d'attributs à l'aide de journaux d'audit détaillés, consultez Erreurs générales de mappage d'attributs. Pour en savoir plus sur les tarifs de Logging, consultez la page Tarifs de Google Cloud Observability.

          Pour désactiver la journalisation d'audit détaillée pour un fournisseur de pools d'identités de personnel, omettez l'indicateur --detailed-audit-logging lorsque vous exécutez gcloud iam workforce-pools providers create. Pour désactiver la journalisation d'audit détaillée, vous pouvez également mettre à jour le fournisseur.

12. Pour créer le fournisseur, cliquez sur Envoyer.

gcloud

Pour créer le pool d'identités de personnel, exécutez la commande suivante :

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Remplacez les éléments suivants :

• WORKFORCE_POOL_ID : ID que vous choisissez pour représenter votre pool de personnel Google Cloud . L'ID de pool doit être unique au niveau mondial dans tous les pools d'identités de personnel de Google Cloud. Pour plus d'informations sur la mise en forme de l'ID, consultez la section Paramètres de requête dans la documentation de l'API.
• ORGANIZATION_ID : ID numérique de votre organisation Google Cloud pour le pool d'identités des employés. Les pools d'identités des employés sont disponibles dans tous les projets et dossiers de l'organisation.
• DISPLAY_NAME : facultatif. Un nom à afficher pour votre pool d'identités d'employés.
• DESCRIPTION : facultatif. Description du pool d'identités de personnel
• SESSION_DURATION : facultatif. Durée de la session, exprimée sous la forme d'un nombre suivi de s (par exemple, 3600s). La durée de la session détermine la durée pendant laquelle les jetons d'accès Google Cloud , les sessions de connexion à la console (fédération) et les sessions de connexion à gcloud CLI de ce pool de personnel sont valides. La durée de la session est définie par défaut sur une heure (3 600 s). La valeur de la durée de la session doit être comprise entre 15 minutes (900 s) et 12 heures (43 200 s).

Console

Pour créer le pool d'identités de personnel, procédez comme suit :

1. Dans la console Google Cloud , accédez à la page Pools d'identités de personnel :

   Accéder aux pools d'identités de personnel

2. Sélectionnez l'organisation pour votre pool d'identités de personnel. Les pools d'identités du personnel sont disponibles pour tous les projets et dossiers d'une organisation.

3. Cliquez sur Créer un pool et procédez comme suit :

   1. Dans le champ Nom, saisissez le nom à afficher du pool. L'ID du pool est automatiquement dérivé du nom au fur et à mesure de la saisie, et s'affiche sous le champ Nom. Vous pouvez modifier l'ID du pool en cliquant sur Modifier à côté de l'ID du pool.

   2. Facultatif : Dans le champ Description, saisissez une description du pool.

   3. Pour créer le pool d'identités de personnel, cliquez sur Suivant.

La durée de session du pool d'identités de personnel est définie par défaut sur une heure (3 600 s). Elle détermine la durée de validité des jetons d'accès Google Cloud , des sessions de connexion à la console (fédération) et des sessions de connexion à gcloud CLI de ce pool de personnel. Une fois le pool créé, vous pouvez le modifier pour définir une durée de session personnalisée. La durée de session doit être comprise entre 15 minutes (900 s) et 12 heures (43 200 s).

gcloud

Pour créer le fournisseur de pools d'identités de personnel OIDC, exécutez la commande suivante :

gcloud iam workforce-pools providers create-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global \
    --display-name=DISPLAY_NAME \
    --issuer-uri=ISSUER_URI \
    --client-id=CLIENT_ID \
    --client-secret-value="OIDC_CLIENT_SECRET" \
    --attribute-mapping=ATTRIBUTE_MAPPING \
    --web-sso-response-type=code \
    --web-sso-assertion-claims-behavior=merge-user-info-over-id-token-claims \
    --extra-attributes-issuer-uri=EXTRA_ATTRIBUTES_ISSUER_URI \
    --extra-attributes-client-id=EXTRA_ATTRIBUTES_CLIENT_ID \
    --extra-attributes-client-secret-value=EXTRA_ATTRIBUTES_CLIENT_SECRET \
    --extra-attributes-type=EXTRA_ATTRIBUTES_TYPE  \
    --extra-attributes-filter=EXTRA_ATTRIBUTES_FILTER \
    --detailed-audit-logging
    

Remplacez les éléments suivants :

• PROVIDER_ID : ID de fournisseur unique. Le préfixe gcp- est réservé et ne peut pas être utilisé dans un ID de pool ou de fournisseur.
• WORKFORCE_POOL_ID : ID du pool de personnel.
• DISPLAY_NAME : nom à afficher pour le fournisseur.
• ISSUER_URI : URI de l'émetteur de l'application Microsoft Entra ID que vous avez créée précédemment dans ce document.
• CLIENT_ID : ID client de votre application Microsoft Entra ID.
• ATTRIBUTE_MAPPING : mappage des attributs de Microsoft Entra ID à Google Cloud. Si vous utilisez des indicateurs --extra-attributes pour interroger des groupes depuis Microsoft Entra ID, tout mappage google.groups qui utilise des revendications SAML ou OIDC standards est ignoré. Par exemple, pour mapper les attributs groups et subject de Microsoft Entra ID, utilisez le mappage d'attributs suivant :

  --attribute-mapping="google.groups=assertion.groups, google.subject=assertion.oid"

  Pour en savoir plus, consultez Mappage d'attributs.

• EXTRA_ATTRIBUTES_ISSUER_URI : URI de l'émetteur de votre application Microsoft Entra ID.
• EXTRA_ATTRIBUTES_CLIENT_ID : ID client de votre application Microsoft Entra ID.
• EXTRA_ATTRIBUTES_CLIENT_SECRET : code secret du client supplémentaire de votre application Microsoft Entra ID.
• EXTRA_ATTRIBUTES_TYPE : utilisez azure-ad-groups-mail pour récupérer les adresses e-mail des groupes. Utilisez azure-ad-groups-id pour récupérer les ID des groupes. Utilisez azure-ad-groups-display-name pour récupérer les noms à afficher des groupes.
• EXTRA_ATTRIBUTES_FILTER : facultatif. Expression de filtre utilisée pour rechercher des groupes avec l'API Microsoft Graph. Vous pouvez utiliser ce paramètre pour vous assurer que le nombre de groupes récupérés auprès de l'IdP ne dépasse pas la limite de 400 groupes.

  L'exemple suivant récupère les groupes dont l'adresse e-mail est précédée du préfixe sales :

  --extra-attributes-filter='"mail:sales"'

  L'expression suivante récupère les groupes dont le nom à afficher contient la chaîne sales.

  --extra-attributes-filter='"displayName:sales"'

• La journalisation d'audit détaillée de la fédération des identités des employés enregistre les informations reçues de votre fournisseur d'identité dans Logging. La journalisation d'audit détaillée peut vous aider à résoudre les problèmes liés à la configuration de votre fournisseur de pools d'identités des employés. Pour savoir comment résoudre les erreurs de mappage d'attributs à l'aide de journaux d'audit détaillés, consultez Erreurs générales de mappage d'attributs. Pour en savoir plus sur les tarifs de Logging, consultez la page Tarifs de Google Cloud Observability.

  Pour désactiver la journalisation d'audit détaillée pour un fournisseur de pools d'identités de personnel, omettez l'indicateur --detailed-audit-logging lorsque vous exécutez gcloud iam workforce-pools providers create. Pour désactiver la journalisation d'audit détaillée, vous pouvez également mettre à jour le fournisseur.

Console

1. Dans la console Google Cloud , accédez à la page Pools d'identités de personnel :

Accéder aux pools d'identités de personnel

2. Dans le tableau Pools d'identités de personnel, sélectionnez le pool pour lequel vous souhaitez créer le fournisseur.
3. Dans la section Fournisseurs, cliquez sur add Ajouter un fournisseur.
4. Dans la liste Sélectionner un fournisseur, sélectionnez votre fournisseur d'identité (IdP).

   Si votre fournisseur d'identité n'est pas listé, sélectionnez Fournisseur d'identité générique.

5. Dans Sélectionner un protocole d'authentification, sélectionnez OpenID Connect (OIDC).
6. Dans la section Créer un fournisseur, procédez comme suit :
   1. Dans Nom, saisissez le nom du fournisseur.
   2. Dans Description, saisissez la description du fournisseur.
   3. Dans le champ Issuer (URL) (Émetteur (URL)), saisissez l'URI de l'émetteur. L'URI d'émetteur OIDC doit être dans un format d'URI valide et commencer par https. Exemple : https://example.com/oidc.
   4. Dans ID client, saisissez l'ID client OIDC enregistré auprès de votre fournisseur d'identité OIDC. L'ID doit correspondre à la revendication aud du jeton JWT émis par votre fournisseur d'identité.

   5. Pour créer un fournisseur activé, assurez-vous que l'option Activer le fournisseur est activée.

   6. Cliquez sur Continuer.
7. Dans la section Share your provider information with IdP (Partagez les informations de votre fournisseur avec l'IdP), copiez l'URL. Dans votre IdP, configurez cette URL comme URI de redirection. Elle indique à votre IdP où envoyer le jeton d'assertion après la connexion.
8. Cliquez sur Continuer.
9. Dans la section Configurer la connexion Web OIDC, procédez comme suit :
   1. Dans la liste Type de flux, sélectionnez Code.
   2. Dans la liste Comportement des revendications d'assertion, sélectionnez l'une des options suivantes :
      • Informations sur l'utilisateur et jeton d'ID
      • Jeton d'ID uniquement
   3. Dans le champ Code secret du client, saisissez le code secret du client provenant de votre fournisseur d'identité.
10. Cliquez sur Continuer.
11. Dans Configurer le fournisseur, vous pouvez configurer un mappage d'attributs et une condition d'attributs. Pour créer un mappage d'attributs, procédez comme suit. Vous pouvez indiquer le nom du champ du fournisseur d'identité ou une expression au format CEL qui renvoie une chaîne.
    1. Obligatoire : dans OIDC 1, saisissez l'objet du fournisseur d'identité. Exemple : assertion.sub.
    2. Facultatif : Pour ajouter des mappages d'attributs supplémentaires, procédez comme suit :
       1. Cliquez sur Ajouter un mappage.
       2. Dans Google n, où n est un nombre, saisissez l'une des clés compatibles avecGoogle Cloud.
       3. Dans le champ OIDC n correspondant, saisissez le nom du champ spécifique au fournisseur d'identité à mapper, au format CEL.
    3. Pour augmenter le nombre de groupes, procédez comme suit :
       1. Sélectionnez Utiliser des attributs supplémentaires.
       2. Dans le champ URI de l'émetteur des attributs supplémentaires, saisissez l'URL de l'émetteur.
       3. Dans le champ ID client des attributs supplémentaires, saisissez l'ID client.
       4. Dans le champ Code secret du client pour les attributs supplémentaires, saisissez le code secret du client.
       5. Dans la liste Type d'attributs supplémentaires, sélectionnez un type d'attribut pour les attributs supplémentaires.
       6. Dans le champ Filtre d'attributs supplémentaires, saisissez une expression de filtre utilisée pour rechercher des groupes avec l'API Microsoft Graph.
    4. Pour créer une condition d'attribut :
       1. Cliquez sur Ajouter une condition :
       2. Dans le champ Conditions d'attribut, saisissez une condition au format CEL. Par exemple, assertion.role == 'gcp-users'. Cet exemple de condition garantit que seuls les utilisateurs disposant du rôle gcp-users peuvent se connecter via ce fournisseur.
       3. Pour activer la journalisation d'audit détaillée, dans Journalisation détaillée, cliquez sur le bouton Activer la journalisation d'audit des valeurs d'attribut.

          La journalisation d'audit détaillée de la fédération des identités des employés enregistre les informations reçues de votre fournisseur d'identité dans Logging. La journalisation d'audit détaillée peut vous aider à résoudre les problèmes liés à la configuration de votre fournisseur de pools d'identités des employés. Pour savoir comment résoudre les erreurs de mappage d'attributs à l'aide de journaux d'audit détaillés, consultez Erreurs générales de mappage d'attributs. Pour en savoir plus sur les tarifs de Logging, consultez la page Tarifs de Google Cloud Observability.

          Pour désactiver la journalisation d'audit détaillée pour un fournisseur de pools d'identités de personnel, omettez l'indicateur --detailed-audit-logging lorsque vous exécutez gcloud iam workforce-pools providers create. Pour désactiver la journalisation d'audit détaillée, vous pouvez également mettre à jour le fournisseur.

12. Pour créer le fournisseur, cliquez sur Envoyer.

gcloud

Pour créer le pool d'identités de personnel, exécutez la commande suivante :

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Remplacez les éléments suivants :

• WORKFORCE_POOL_ID : ID que vous choisissez pour représenter votre pool de personnel Google Cloud . L'ID de pool doit être unique au niveau mondial dans tous les pools d'identités de personnel de Google Cloud. Pour plus d'informations sur la mise en forme de l'ID, consultez la section Paramètres de requête dans la documentation de l'API.
• ORGANIZATION_ID : ID numérique de votre organisation Google Cloud pour le pool d'identités des employés. Les pools d'identités des employés sont disponibles dans tous les projets et dossiers de l'organisation.
• DISPLAY_NAME : facultatif. Un nom à afficher pour votre pool d'identités d'employés.
• DESCRIPTION : facultatif. Description du pool d'identités de personnel
• SESSION_DURATION : facultatif. Durée de la session, exprimée sous la forme d'un nombre suivi de s (par exemple, 3600s). La durée de la session détermine la durée pendant laquelle les jetons d'accès Google Cloud , les sessions de connexion à la console (fédération) et les sessions de connexion à gcloud CLI de ce pool de personnel sont valides. La durée de la session est définie par défaut sur une heure (3 600 s). La valeur de la durée de la session doit être comprise entre 15 minutes (900 s) et 12 heures (43 200 s).

Console

Pour créer le pool d'identités de personnel, procédez comme suit :

1. Dans la console Google Cloud , accédez à la page Pools d'identités de personnel :

   Accéder aux pools d'identités de personnel

2. Sélectionnez l'organisation pour votre pool d'identités de personnel. Les pools d'identités du personnel sont disponibles pour tous les projets et dossiers d'une organisation.

3. Cliquez sur Créer un pool et procédez comme suit :

   1. Dans le champ Nom, saisissez le nom à afficher du pool. L'ID du pool est automatiquement dérivé du nom au fur et à mesure de la saisie, et s'affiche sous le champ Nom. Vous pouvez modifier l'ID du pool en cliquant sur Modifier à côté de l'ID du pool.

   2. Facultatif : Dans le champ Description, saisissez une description du pool.

   3. Pour créer le pool d'identités de personnel, cliquez sur Suivant.

La durée de session du pool d'identités de personnel est définie par défaut sur une heure (3 600 s). Elle détermine la durée de validité des jetons d'accès Google Cloud , des sessions de connexion à la console (fédération) et des sessions de connexion à gcloud CLI de ce pool de personnel. Une fois le pool créé, vous pouvez le modifier pour définir une durée de session personnalisée. La durée de session doit être comprise entre 15 minutes (900 s) et 12 heures (43 200 s).

gcloud

Pour créer le fournisseur de pools d'identité de personnel SAML, exécutez la commande suivante :

gcloud iam workforce-pools providers create-saml PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=global \
    --display-name=DISPLAY_NAME \
    --idp-metadata-path=XML_METADATA_PATH \
    --attribute-mapping=ATTRIBUTE_MAPPING \
    --extra-attributes-issuer-uri=EXTRA_ATTRIBUTES_ISSUER_URI \
    --extra-attributes-client-id=EXTRA_ATTRIBUTES_CLIENT_ID \
    --extra-attributes-client-secret-value=EXTRA_ATTRIBUTES_CLIENT_SECRET \
    --extra-attributes-type=EXTRA_ATTRIBUTES_TYPE  \
    --extra-attributes-filter=EXTRA_ATTRIBUTES_FILTER \
    --detailed-audit-logging
    

Remplacez les éléments suivants :

• PROVIDER_ID : ID de fournisseur unique. Le préfixe gcp- est réservé et ne peut pas être utilisé dans un ID de pool ou de fournisseur.
• WORKFORCE_POOL_ID : ID du pool de personnel.
• DISPLAY_NAME : nom à afficher pour le fournisseur.
• XML_METADATA_PATH : chemin d'accès au fichier de métadonnées XML SAML 2.0.
• ATTRIBUTE_MAPPING : mappage des attributs de Microsoft Entra ID à Google Cloud. Si vous utilisez des indicateurs --extra-attributes pour interroger des groupes depuis Microsoft Entra ID, tout mappage google.groups qui utilise des revendications SAML ou OIDC standards est ignoré. Par exemple, pour mapper les attributs groups et subject de Microsoft Entra ID, utilisez le mappage d'attributs suivant :

  --attribute-mapping="google.groups=assertion.groups, google.subject=assertion.oid"

  Pour en savoir plus, consultez Mappage d'attributs.

• EXTRA_ATTRIBUTES_ISSUER_URI : URI de l'émetteur de votre application Microsoft Entra ID.
• EXTRA_ATTRIBUTES_CLIENT_ID : ID client de votre application Microsoft Entra ID.
• EXTRA_ATTRIBUTES_CLIENT_SECRET : code secret du client supplémentaire de votre application Microsoft Entra ID.
• EXTRA_ATTRIBUTES_TYPE : utilisez azure-ad-groups-mail pour récupérer les adresses e-mail des groupes. Utilisez azure-ad-groups-id pour récupérer les ID des groupes. Utilisez azure-ad-groups-display-name pour récupérer les noms à afficher des groupes.
• EXTRA_ATTRIBUTES_FILTER : facultatif. Expression de filtre utilisée pour rechercher des groupes avec l'API Microsoft Graph. Vous pouvez utiliser ce paramètre pour vous assurer que le nombre de groupes récupérés auprès de l'IdP ne dépasse pas la limite de 400 groupes.

  L'exemple suivant récupère les groupes dont l'adresse e-mail est précédée du préfixe sales :

  --extra-attributes-filter='"mail:sales"'

  L'expression suivante récupère les groupes dont le nom à afficher contient la chaîne sales.

  --extra-attributes-filter='"displayName:sales"'

• La journalisation d'audit détaillée de la fédération des identités des employés enregistre les informations reçues de votre fournisseur d'identité dans Logging. La journalisation d'audit détaillée peut vous aider à résoudre les problèmes liés à la configuration de votre fournisseur de pools d'identités des employés. Pour savoir comment résoudre les erreurs de mappage d'attributs à l'aide de journaux d'audit détaillés, consultez Erreurs générales de mappage d'attributs. Pour en savoir plus sur les tarifs de Logging, consultez la page Tarifs de Google Cloud Observability.

  Pour désactiver la journalisation d'audit détaillée pour un fournisseur de pools d'identités de personnel, omettez l'indicateur --detailed-audit-logging lorsque vous exécutez gcloud iam workforce-pools providers create. Pour désactiver la journalisation d'audit détaillée, vous pouvez également mettre à jour le fournisseur.

Console

1. Dans la console Google Cloud , accédez à la page Pools d'identités de personnel :

Accéder aux pools d'identités de personnel

2. Dans le tableau Pools d'identités de personnel, sélectionnez le pool pour lequel vous souhaitez créer le fournisseur.
3. Dans la section Fournisseurs, cliquez sur add Ajouter un fournisseur.
4. Dans la liste Sélectionner un fournisseur, sélectionnez votre fournisseur d'identité (IdP).

   Si votre fournisseur d'identité n'est pas listé, sélectionnez Fournisseur d'identité générique.

5. Dans Sélectionner un protocole d'authentification, sélectionnez SAML.
6. Dans la section Créer un fournisseur, procédez comme suit :
   1. Dans Nom, saisissez un nom pour le fournisseur.
   2. Facultatif : Dans le champ Description, saisissez une description du fournisseur.
   3. Dans Fichier de métadonnées IdP (XML), sélectionnez le fichier XML de métadonnées que vous avez généré précédemment dans ce guide.
   4. Pour créer un fournisseur activé, assurez-vous que l'option Activer le fournisseur est activée.
   5. Cliquez sur Continuer.
7. Dans la section Share your provider information (Partager les informations sur votre fournisseur), copiez les URL. Dans votre IdP, configurez la première URL comme ID d'entité, qui identifie votre application auprès de l'IdP. Configurez l'autre URL comme URI de redirection, qui indique à votre IdP où envoyer le jeton d'assertion après la connexion.
8. Cliquez sur Continuer.
9. Dans la section Configurer le fournisseur, procédez comme suit :
   1. Dans Mappage des attributs, saisissez une expression CEL pour google.subject.
   2. Facultatif : Pour définir d'autres mappages, cliquez sur Ajouter un mappage et saisissez d'autres mappages. Par exemple :

   google.subject=assertion.oid
   attribute.costcenter=assertion.attributes.costcenter[0]

   Cet exemple mappe les attributs IdP assertion.oid et assertion.attributes.costcenter[0] sur les attributs Google Cloud google.subject et attribute.costcenter, respectivement.
   3. Si vous avez sélectionné Microsoft Entra ID comme IdP, vous pouvez augmenter le nombre de groupes.
      1. Sélectionnez Utiliser des attributs supplémentaires.
      2. Dans le champ URI de l'émetteur des attributs supplémentaires, saisissez l'URL de l'émetteur.
      3. Dans le champ ID client des attributs supplémentaires, saisissez l'ID client.
      4. Dans le champ Code secret du client pour les attributs supplémentaires, saisissez le code secret du client.
      5. Dans la liste Type d'attributs supplémentaires, sélectionnez un type d'attribut pour les attributs supplémentaires.
      6. Dans le champ Filtre d'attributs supplémentaires, saisissez une expression de filtre utilisée pour rechercher des groupes avec l'API Microsoft Graph.
   4. Facultatif : pour ajouter une condition d'attribut, cliquez sur Ajouter une condition, puis saisissez une expression CEL représentant une condition d'attribut. Par exemple, pour limiter l'attribut ipaddr à une certaine plage d'adresses IP, vous pouvez définir la condition assertion.attributes.ipaddr.startsWith('98.11.12.'). Cet exemple de condition garantit que seuls les utilisateurs dont l'adresse IP commence par 98.11.12. peuvent se connecter en utilisant ce fournisseur de personnel.
   5. Cliquez sur Continuer.
   6. Pour activer la journalisation d'audit détaillée, dans Journalisation détaillée, cliquez sur le bouton Activer la journalisation d'audit des valeurs d'attribut.

      La journalisation d'audit détaillée de la fédération des identités des employés enregistre les informations reçues de votre fournisseur d'identité dans Logging. La journalisation d'audit détaillée peut vous aider à résoudre les problèmes liés à la configuration de votre fournisseur de pools d'identités des employés. Pour savoir comment résoudre les erreurs de mappage d'attributs à l'aide de journaux d'audit détaillés, consultez Erreurs générales de mappage d'attributs. Pour en savoir plus sur les tarifs de Logging, consultez la page Tarifs de Google Cloud Observability.

      Pour désactiver la journalisation d'audit détaillée pour un fournisseur de pools d'identités de personnel, omettez l'indicateur --detailed-audit-logging lorsque vous exécutez gcloud iam workforce-pools providers create. Pour désactiver la journalisation d'audit détaillée, vous pouvez également mettre à jour le fournisseur.

10. Pour créer le fournisseur, cliquez sur Envoyer.

Connexion à la console (fédéré)

Pour vous connecter à la console de fédération des identités des employés Google Cloud , également appelée console (fédérée), procédez comme suit :

1. Accédez à la page de connexion de la console (fédéré).

   Accéder à la console (fédéré)

2. Saisissez le nom du fournisseur, en respectant le format suivant :

   locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

Si vous y êtes invité, saisissez les identifiants utilisateur dans Microsoft Entra ID.

Si vous démarrez une connexion initiée par le fournisseur d'identité, utilisez l'URL de relais suivante : https://console.cloud.google/.

Connexion à gcloud CLI depuis un navigateur

Pour vous connecter à gcloud CLI à l'aide d'un flux de connexion basé sur un navigateur, procédez comme suit :

Créer un fichier de configuration

Exécutez la commande suivante pour créer un fichier de configuration de connexion :

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID \
    --output-file=LOGIN_CONFIG_PATH

gcloud iam workforce-pools create-login-config `
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID `
    --output-file=LOGIN_CONFIG_PATH

Remplacez les éléments suivants :

• WORKFORCE_POOL_ID : ID du pool de fédération des identités des employés.
• WORKFORCE_PROVIDER_ID : ID du fournisseur de fédération des identités des employés
• LOGIN_CONFIG_PATH : chemin d'accès au fichier de configuration de connexion. Exemple :login-config.json

Le fichier de configuration de connexion contient les points de terminaison utilisés par gcloud CLI pour activer le flux d'authentification via le navigateur et définir l'audience sur le fournisseur d'identité configuré dans le fournisseur de pools d'identités des employés. Votre fichier ne contient aucune information confidentielle.

Le contenu du fichier de configuration de connexion ressemble à ce qui suit :

{
  "universe_domain": "googleapis.com",
  "universe_cloud_web_domain": "cloud.google",
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID",
  "auth_url": "https://auth.cloud.google/authorize",
  "token_url": "https://sts.googleapis.com/v1/oauthtoken",
  "token_info_url": "https://sts.googleapis.com/v1/introspect"
}

Se connecter à l'aide d'une authentification basée sur le navigateur

Pointez vers le fichier de configuration de connexion avec une variable d'environnement, une propriété dans la configuration active de gcloud CLI, ou utilisez-le directement avec la commande gcloud auth login :

gcloud config unset auth/login_config_file

La commande gcloud auth login stocke les identifiants d'accès dans votre répertoire personnel. Le principal authentifié devient le principal actif dans votre configuration gcloud CLI active. Sauf indication contraire, la gcloud CLI utilise ces identifiants stockés pour accéder à Google Cloud.

Connexion à gcloud CLI sans interface graphique

Pour vous connecter à Microsoft Entra ID avec gcloud CLI, procédez comme suit :

Console (fédéré)

Pour vérifier que vous avez accès à l'aide de la console (fédérée), procédez comme suit :

• Accédez à la page Cloud Storage.

  Accéder à Cloud Storage

• Vérifiez que vous pouvez voir la liste des buckets existants pour le TEST_PROJECT_ID.

CLI gcloud

Pour tester votre accès à l'aide de la gcloud CLI, vous pouvez lister les buckets et les objets Cloud Storage du projet auquel vous avez accès. Pour ce faire, exécutez la commande suivante. Le compte principal doit disposer de l'autorisation serviceusage.services.use sur le projet spécifié.

gcloud storage ls --project="TEST_PROJECT_ID"