직원 ID 풀 공급업체 관리

코드 흐름

웹 로그인에 승인 코드 플로우를 사용하는 OIDC 공급업체를 만들려면 다음 명령어를 실행합니다.

gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
    --client-secret-value="OIDC_CLIENT_SECRET" \
    --web-sso-response-type="code" \
    --web-sso-assertion-claims-behavior="merge-user-info-over-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --detailed-audit-logging \
    --location=global

다음을 바꿉니다.

• WORKFORCE_PROVIDER_ID: 고유한 직원 ID 풀 공급업체 ID입니다. gcp- 프리픽스는 예약되어 있으며 직원 ID 풀 또는 직원 ID 풀 공급업체 ID에 사용할 수 없습니다.
• WORKFORCE_POOL_ID: IdP를 연결할 직원 ID 풀 ID입니다.
• DISPLAY_NAME: 선택사항이며 공급업체의 사용자 친화적인 표시 이름(예: idp-eu-employees)
• DESCRIPTION: 선택적인 직원 공급업체 설명입니다(예: IdP for Partner Example Organization employees).
• ISSUER_URI: 유효한 URI 형식의 OIDC 발급기관 URI, https(으)로 시작(예: https://example.com/oidc) 참고: 보안상의 이유로 ISSUER_URI은(는) HTTPS 스키마를 사용해야 합니다.
• OIDC_CLIENT_ID: OIDC IdP에 등록된 OIDC 클라이언트 ID. ID가 IdP에서 발급한 JWT의 aud 클레임과 일치해야 합니다.
• OIDC_CLIENT_SECRET: OIDC 클라이언트 보안 비밀번호
• WEB_SSO_ADDITIONAL_SCOPES: 콘솔(제휴) 또는 gcloud CLI 브라우저 기반 로그인을 위해 OIDC IdP로 전송할 선택적 추가 범위
• ATTRIBUTE_MAPPING: 속성 매핑입니다. 다음은 속성 매핑의 예시입니다.

  google.subject=assertion.sub,
  google.groups=assertion.group1,
  attribute.costcenter=assertion.costcenter

  이 예시에서는 OIDC 어설션의 IdP 속성 subject, group1, costcenter를 각각 google.subject, google.groups, attribute.costcenter 속성에 매핑합니다.
• ATTRIBUTE_CONDITION: 속성 조건(예: assertion.role == 'gcp-users') 이 예시의 조건은 gcp-users 역할 사용자만 이 공급업체를 사용하여 로그인할 수 있도록 합니다.
• JWK_JSON_PATH: 로컬로 업로드된 OIDC JWK의 선택적 경로입니다. 이 매개변수를 제공하지 않으면 Google Cloud 에서 대신 IdP의 /.well-known/openid-configuration 경로를 사용하여 공개 키가 포함된 JWK를 소싱합니다. 로컬로 업로드된 OIDC JWK에 대한 자세한 내용은 OIDC JWK 관리를 참조하세요.

• 직원 ID 제휴 상세 감사 로깅은 IdP에서 수신된 정보를 Logging에 로깅합니다. 상세 감사 로깅은 직원 ID 풀 제공업체 구성 문제를 해결하는 데 도움이 될 수 있습니다. 상세 감사 로깅을 사용하여 속성 매핑 오류를 해결하는 방법은 일반 속성 매핑 오류를 참조하세요. Logging 가격 책정에 대한 자세한 내용은 Google Cloud Observability 가격 책정을 참조하세요.

  직원 ID 풀 제공업체의 상세 감사 로깅을 사용 중지하려면 gcloud iam workforce-pools providers create를 실행할 때 --detailed-audit-logging 플래그를 생략합니다. 상세 감사 로깅을 사용 중지하려면 제공업체를 업데이트해도 됩니다.

암시적 흐름

웹 로그인에 암시적 흐름을 사용하는 OIDC 직원 ID 풀 공급업체를 만들려면 다음 명령어를 실행합니다.

gcloud iam workforce-pools providers create-oidc WORKFORCE_PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --issuer-uri="ISSUER_URI" \
    --client-id="OIDC_CLIENT_ID" \
    --web-sso-response-type="id-token" \
    --web-sso-assertion-claims-behavior="only-id-token-claims" \
    --web-sso-additional-scopes="WEB_SSO_ADDITIONAL_SCOPES" \
    --attribute-mapping="ATTRIBUTE_MAPPING" \
    --attribute-condition="ATTRIBUTE_CONDITION" \
    --jwk-json-path="JWK_JSON_PATH" \
    --detailed-audit-logging \
    --location=global

다음을 바꿉니다.

• WORKFORCE_PROVIDER_ID: 고유한 직원 ID 풀 공급업체 ID입니다. gcp- 프리픽스는 예약되어 있으며 직원 ID 풀 또는 직원 ID 풀 공급업체 ID에 사용할 수 없습니다.
• WORKFORCE_POOL_ID: IdP를 연결할 직원 ID 풀 ID입니다.
• DISPLAY_NAME: 선택사항이며 공급업체의 사용자 친화적인 표시 이름(예: idp-eu-employees)
• DESCRIPTION: 선택적인 직원 공급업체 설명입니다(예: IdP for Partner Example Organization employees).
• ISSUER_URI: 유효한 URI 형식의 OIDC 발급기관 URI, https(으)로 시작(예: https://example.com/oidc) 참고: 보안상의 이유로 ISSUER_URI은(는) HTTPS 스키마를 사용해야 합니다.
• OIDC_CLIENT_ID: OIDC IdP에 등록된 OIDC 클라이언트 ID. ID가 IdP에서 발급한 JWT의 aud 클레임과 일치해야 합니다.
• WEB_SSO_ADDITIONAL_SCOPES: 콘솔(제휴) 또는 gcloud CLI 브라우저 기반 로그인을 위해 OIDC IdP로 전송할 선택적 추가 범위
• ATTRIBUTE_MAPPING: 속성 매핑입니다. 다음은 속성 매핑의 예시입니다.

  google.subject=assertion.sub,
  google.groups=assertion.group1,
  attribute.costcenter=assertion.costcenter

  이 예시에서는 OIDC 어설션의 IdP 속성 subject, group1, costcenter를 각각 google.subject, google.groups, attribute.costcenter 속성에 매핑합니다.
• ATTRIBUTE_CONDITION: 속성 조건(예: assertion.role == 'gcp-users') 이 예시의 조건은 gcp-users 역할 사용자만 이 공급업체를 사용하여 로그인할 수 있도록 합니다.
• JWK_JSON_PATH: 로컬로 업로드된 OIDC JWK의 선택적 경로입니다. 이 매개변수를 제공하지 않으면 Google Cloud 에서 대신 IdP의 /.well-known/openid-configuration 경로를 사용하여 공개 키가 포함된 JWK를 소싱합니다. 로컬로 업로드된 OIDC JWK에 대한 자세한 내용은 OIDC JWK 관리를 참조하세요.

• 직원 ID 제휴 상세 감사 로깅은 IdP에서 수신된 정보를 Logging에 로깅합니다. 상세 감사 로깅은 직원 ID 풀 제공업체 구성 문제를 해결하는 데 도움이 될 수 있습니다. 상세 감사 로깅을 사용하여 속성 매핑 오류를 해결하는 방법은 일반 속성 매핑 오류를 참조하세요. Logging 가격 책정에 대한 자세한 내용은 Google Cloud Observability 가격 책정을 참조하세요.

  직원 ID 풀 제공업체의 상세 감사 로깅을 사용 중지하려면 gcloud iam workforce-pools providers create를 실행할 때 --detailed-audit-logging 플래그를 생략합니다. 상세 감사 로깅을 사용 중지하려면 제공업체를 업데이트해도 됩니다.

코드 흐름

1. Google Cloud 콘솔에서 직원 ID 풀 페이지로 이동합니다.

   직원 ID 풀로 이동

2. 직원 ID 풀 표에서 공급업체를 만들 풀을 선택합니다.

3. 공급업체 표에서 공급업체 추가를 클릭합니다.

4. 프로토콜 선택에서 OpenID Connect(OIDC)를 선택합니다.

5. 풀 제공업체 만들기에서 다음을 수행합니다.

   1. 이름에 제공업체 이름을 입력합니다.
   2. 발급기관(URL)에 발급기관 URI를 입력합니다. OIDC 발급기관 URI는 유효한 URI 형식이어야 하며 https(으)로 시작해야 합니다. 예를 들면 https://example.com/oidc입니다.
   3. OIDC IdP에 등록된 OIDC 클라이언트 ID인 클라이언트 ID를 입력합니다. ID는 IdP에서 발급한 JWT의 aud 클레임과 일치해야 합니다.
   4. 사용 설정 상태의 공급업체를 만들려면 사용 설정된 제공업체를 사용 설정합니다.
   5. 계속을 클릭합니다.

6. 흐름 유형에서 다음을 수행합니다. 흐름 유형은 웹 기반 싱글 사인온(SSO) 흐름에만 사용됩니다.

   1. 흐름 유형에서 코드를 선택합니다.
   2. 클라이언트 보안 비밀번호에 IdP에서 받은 클라이언트 보안 비밀번호를 입력합니다.

   3. 어설션 클레임 동작에서 다음 중 하나를 선택합니다.

      • 사용자 정보 및 ID 토큰
      • ID 토큰만

   4. 계속을 클릭합니다.

7. 공급업체 구성에서 속성 매핑 및 속성 조건을 구성할 수 있습니다. 속성 매핑을 만들려면 다음을 수행합니다. IdP 필드 이름이나 문자열을 반환하는 CEL 형식의 표현식을 입력합니다.

   1. 필수: OIDC 1에 IdP에서 확인된 소유자를 입력합니다. 예를 들면 assertion.sub입니다.

   2. 선택사항: 속성 매핑을 더 추가하려면 다음을 수행합니다.

      1. 매핑 추가를 클릭합니다.
      2. Google n에서 n은 숫자입니다. Google Cloud지원 키 중 하나를 입력합니다.
      3. 해당하는 OIDC n 필드에 매핑할 IdP별 필드 이름을 CEL 형식으로 입력합니다.

   3. 속성 조건을 만들려면 다음을 수행합니다.

      1. 조건 추가를 클릭합니다.
      2. 속성 조건에 조건을 CEL 형식으로 입력합니다(예: assertion.role == 'gcp-users'). 이 예시의 조건은 gcp-users 역할 사용자만 이 공급업체를 사용하여 로그인할 수 있도록 합니다.

   4. 상세 감사 로깅을 사용 설정하려면 상세 로깅에서 상세 속성 값 로깅 사용 설정 전환 버튼을 클릭합니다.

      직원 ID 제휴 상세 감사 로깅은 IdP에서 수신된 정보를 Logging에 로깅합니다. 상세 감사 로깅은 직원 ID 풀 제공업체 구성 문제를 해결하는 데 도움이 될 수 있습니다. 상세 감사 로깅을 사용하여 속성 매핑 오류를 해결하는 방법은 일반 속성 매핑 오류를 참조하세요. Logging 가격 책정에 대한 자세한 내용은 Google Cloud Observability 가격 책정을 참조하세요.

      직원 ID 풀 제공업체의 상세 감사 로깅을 사용 중지하려면 gcloud iam workforce-pools providers create를 실행할 때 --detailed-audit-logging 플래그를 생략합니다. 상세 감사 로깅을 사용 중지하려면 제공업체를 업데이트해도 됩니다.

8. 제공업체를 만들려면 제출을 클릭합니다.

암시적 흐름

1. Google Cloud 콘솔에서 직원 ID 풀 페이지로 이동합니다.

   직원 ID 풀로 이동

2. 직원 ID 풀 표에서 공급업체를 만들 풀을 선택합니다.

3. 공급업체 표에서 공급업체 추가를 클릭합니다.

4. 프로토콜 선택에서 OpenID Connect(OIDC)를 선택합니다.

5. 풀 제공업체 만들기에서 다음을 수행합니다.

   1. 이름에 제공업체 이름을 입력합니다.
   2. 발급기관(URL)에 발급기관 URI를 입력합니다. OIDC 발급기관 URI는 유효한 URI 형식이어야 하며 https(으)로 시작해야 합니다. 예를 들면 https://example.com/oidc입니다.
   3. OIDC IdP에 등록된 OIDC 클라이언트 ID인 클라이언트 ID를 입력합니다. ID는 IdP에서 발급한 JWT의 aud 클레임과 일치해야 합니다.
   4. 사용 설정 상태의 공급업체를 만들려면 사용 설정된 제공업체를 사용 설정합니다.
   5. 계속을 클릭합니다.

6. 흐름 유형에서 다음을 수행합니다. 흐름 유형은 웹 기반 싱글 사인온(SSO) 흐름에만 사용됩니다.

   1. 흐름 유형에서 ID 토큰을 선택합니다.
   2. 계속을 클릭합니다.

7. 공급업체 구성에서 속성 매핑 및 속성 조건을 구성할 수 있습니다. 속성 매핑을 만들려면 다음을 수행합니다. IdP 필드 이름이나 문자열을 반환하는 CEL 형식의 표현식을 입력합니다.

   1. 필수: OIDC 1에 IdP에서 확인된 소유자를 입력합니다. 예를 들면 assertion.sub입니다.

   2. 선택사항: 속성 매핑을 더 추가하려면 다음을 수행합니다.

      1. 매핑 추가를 클릭합니다.
      2. Google n에서 n은 숫자입니다. Google Cloud지원 키 중 하나를 입력합니다.
      3. 해당하는 OIDC n 필드에 매핑할 IdP별 필드 이름을 CEL 형식으로 입력합니다.

   3. 속성 조건을 만들려면 다음을 수행합니다.

      1. 조건 추가를 클릭합니다.

      2. 속성 조건에 조건을 CEL 형식으로 입력합니다(예: assertion.role == 'gcp-users'). 이 예시의 조건은 gcp-users 역할 사용자만 이 공급업체를 사용하여 로그인할 수 있도록 합니다.

   4. 상세 감사 로깅을 사용 설정하려면 상세 로깅에서 상세 속성 값 로깅 사용 설정 전환 버튼을 클릭합니다.

      직원 ID 제휴 상세 감사 로깅은 IdP에서 수신된 정보를 Logging에 로깅합니다. 상세 감사 로깅은 직원 ID 풀 제공업체 구성 문제를 해결하는 데 도움이 될 수 있습니다. 상세 감사 로깅을 사용하여 속성 매핑 오류를 해결하는 방법은 일반 속성 매핑 오류를 참조하세요. Logging 가격 책정에 대한 자세한 내용은 Google Cloud Observability 가격 책정을 참조하세요.

      직원 ID 풀 제공업체의 상세 감사 로깅을 사용 중지하려면 gcloud iam workforce-pools providers create를 실행할 때 --detailed-audit-logging 플래그를 생략합니다. 상세 감사 로깅을 사용 중지하려면 제공업체를 업데이트해도 됩니다.

8. 제공업체를 만들려면 제출을 클릭합니다.