Okta との Workforce Identity 連携を構成してユーザー ログインを行う

コンソール

Workforce Identity プールを作成するには、次の操作を行います。

1. Google Cloud コンソールで、[Workforce Identity プール] ページに移動します。

   [Workforce Identity プール] に移動

2. [プールを作成] をクリックして、次の操作を行います。

   1. [名前] にプールの名前を入力します。[プール ID] は、入力した名前から自動的に取得されます。

   2. 省略可: ID を更新するには、[編集] をクリックします。

   3. 省略可: [説明] にプールの説明を入力します。

   4. [セッション継続時間] はデフォルトで設定されています。カスタムのセッション継続時間を入力するには、[編集] をクリックします。セッション継続時間は、この Workforce プールの Google Cloud アクセス トークン、コンソール（連携）ログイン セッション、gcloud CLI ログイン セッションの有効期間を決定します。継続時間は 15 分（900 秒）より長く、12 時間（43,200 秒）より短くする必要があります。セッション継続時間が設定されていない場合、デフォルトで 1 時間（3,600 秒）に設定されます。

   5. プールを有効な状態で作成するには、[有効なプール] がオンになっていることを確認します。

   6. Workforce Identity プールを作成するには、[次へ] をクリックします。

gcloud

Workforce Identity プールを作成するには、次のコマンドを実行します。

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

次のように置き換えます。

• WORKFORCE_POOL_ID: Google Cloud の Workforce プールを表す ID。ID の形式については、API ドキュメントのクエリ パラメータ セクションをご覧ください。
• ORGANIZATION_ID: Google Cloud 組織の組織 ID。
• DESCRIPTION: Workforce Identity プールの説明。
• SESSION_DURATION: セッション継続時間。この Workforce プールの Google Cloud アクセス トークン、コンソール（連携）ログイン セッション、gcloud CLI ログイン セッションの有効期間を決定します。継続時間は 15 分（900 秒）より長く、12 時間（43,200 秒）より短くする必要があります。セッション継続時間が設定されていない場合、デフォルトで 1 時間（3,600 秒）に設定されます。

OIDC

OIDC プロトコルを使用する Okta アプリ統合を作成するには、次の手順を行います。

1. Okta 管理コンソールにログインします。
2. [Applications] > [Applications] に移動します。

3. アプリ統合の構成を開始するには、次の操作を行います。

   1. [Create App Integration] をクリックします。
   2. [Sign-in method] で [OIDC - OpenID Connect] を選択します。
   3. [Application type] で、アプリケーションの種類（[Web Application] など）を選択します。
   4. アプリを作成するには、[Next] をクリックします。
   5. [App integration name] にアプリの名前を入力します。
   6. [Grant type] セクションで、[Implicit (hybrid)] チェックボックスをオンにします。

   7. [Sign-in redirect URIs] セクションのテキスト フィールドに、リダイレクト URL を入力します。ログインに成功すると、この URL にリダイレクトされます。コンソール（連携）へのアクセスを構成する場合は、次の URL 形式を使用します。

      https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
      

      次のように置き換えます。

      • WORKFORCE_POOL_ID: このガイドで前に作成した Workforce プールの ID。
      • WORKFORCE_PROVIDER_ID: 任意の Workforce Identity プロバイダ ID（例: okta-oidc-provider）。ID の形式については、API ドキュメントのクエリ パラメータ セクションをご覧ください。

   8. [Skip group assignment for now] チェックボックスをオンにします。

   9. アプリ統合を保存するには、[Save] をクリックします。

4. ユーザーにアプリ統合を割り当てます。

5. 省略可: Okta ユーザー プロファイルのカスタム属性を追加するには、次の操作を行います。

   1. [Data Type] で [string] を選択します。
   2. [Display name] に「Department」と入力します。
   3. [Variable name] に「department」と入力します。
   4. マッピングを保存するには、[Save] をクリックします。

   カスタム属性の追加に関する詳細は、Okta ユーザー プロフィールにカスタム属性を追加するをご覧ください。

6. 省略可: OIDC トークンで送信される属性のマッピングを作成するには、[Directory] で [Profile Editor] をクリックし、次の操作を行います。

   1. このガイドで前に作成した OIDC アプリケーションを見つけます。
   2. [Mappings] をクリックします。
   3. [Okta User to App] タブを選択します。
   4. [Okta User User Profile] タブで、使用可能なコンボボックスに「department」を入力します。Okta の予測入力によって「user.department」となります。
   5. マッピングを保存するには、[Save Mappings] をクリックします。詳しくは、属性のマッピングの追加をご覧ください。

   マッピングの詳細については、プロファイル エディタで Okta 属性をアプリ属性にマッピングするをご確認ください。

7. 省略可: グループ クレームを構成するには、次の操作を行います。

   1. Org Authorization Server を使用する場合は、次の操作を行います。
      1. [Applications] > [Applications] に移動します。
      2. このセクションで前に作成した OpenID Connect クライアント アプリケーションを選択します。
      3. [Sign On] タブに移動します。
      4. [OpenID Connect ID Token] セクションで、[Edit] をクリックします。
      5. [Groups claim type] セクションで、次のいずれかのオプションを選択できます。
         • [Expression] を選択します。
         • [Matches regex] を選択して「.*」と入力します。
      6. グループ クレームを保存するには、[Save] をクリックします。
      7. このガイドの後半で Workforce Identity プール プロバイダを作成する場合は、追加スコープとして groups を追加し、ウェブ シングル サインオン用に Okta からグループ クレームをリクエストします。この手順は、コンソール（連携）または gcloud CLI ブラウザベースのログインフローを使用する場合にのみ必要です。
   2. Custom Authorization Server を使用する場合は、次の操作を行います。
      1. 管理コンソールで、[Security] メニューから [API] を選択します。
      2. 構成するカスタム認可サーバーを選択します。
      3. [Claims] タブに移動し、[Add Claim] をクリックします。
      4. クレームの名前を入力します。この例では、groups という名前を付けます。
      5. クレームの [Include in token type] で、[ID Token] を選択して [Always] を選択します。
      6. [Value type] で [Groups] を選択します。
      7. [Filter] プルダウン ボックスで [Matches regex] を選択し、値として .* を入力します。
      8. [Create] をクリックします。

グループ クレームの詳細については、グループ クレームを追加するをご覧ください。

SAML

SAML プロトコルを使用する Okta アプリ統合を作成するには、次の手順を行います。

1. Okta 管理コンソールにログインします。
2. [Applications] > [Applications] に移動します。
3. [Create App Integration] をクリックします。
4. [Sign-in method] で [SAML 2.0] を選択し、[次へ] をクリックします。
5. アプリの名前を入力して [Next] をクリックし、[Configure SAML] オプションに進みます。

6. [Single Sign On URL] に、リダイレクト URL を入力します。これは、ユーザーがログインに成功した後にリダイレクトされる URL です。コンソールへのアクセスを構成する場合は、次の URL 形式を使用します。

   https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

7. オーディエンス URI（SP Entity ID）を入力します。ID の形式は次のとおりです。

   https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

   次のように置き換えます。

   • WORKFORCE_POOL_ID: このガイドで前に作成した Workforce プールの ID
   • WORKFORCE_PROVIDER_ID: 任意の Workforce Identity プロバイダ ID（例: okta-saml-provider）

   ID の形式については、API ドキュメントのクエリ パラメータ セクションをご覧ください。

8. （省略可）属性ステートメントを使用して、SAML アサーションで送信するカスタム属性を指定します。設定後、これらの属性を Google Cloud で使用してアクセス管理ポリシーを作成できます。また、attribute_condition でも使用できます。たとえば、このガイドでは、部門を次のようにマッピングします。

   名前	値
   department	user.department

   （省略可）グループ クレーム（このガイドの後半で使用）を追加するには、SAML アサーションでユーザーのグループ メンバーを渡す方法をご覧ください。

9. Okta アプリ統合の作成を完了します。

コンソール

Google Cloud コンソールを使用して SAML プロバイダを構成する手順は次のとおりです。

1. Google Cloud コンソールで、[Workforce Identity プール] ページに移動します。

   [Workforce Identity プール] に移動

2. [Workforce Identity プール] テーブルで、プロバイダを作成するプールを選択します。

3. [プロバイダ] テーブルで [プロバイダを追加] をクリックします。

4. [プロトコルを選択] で、[SAML] を選択します。

5. [プール プロバイダの作成] で、次の操作を行います。

   1. [名前] にプロバイダの名前を入力します。

   2. 省略可: [説明] にプロバイダの説明を入力します。

   3. [IdP メタデータ ファイル（XML）] で、このガイドの前半で生成したメタデータ XML ファイルを選択します。

   4. [有効なプロバイダ] が有効になっていることを確認します。

   5. [続行] をクリックします。

6. [プロバイダの構成] で、次の操作を行います。

   1. [属性のマッピング] で、google.subject の CEL 式を入力します。

   2. 省略可: 他のマッピングを入力するには、[マッピングを追加] をクリックして他のマッピングを入力します。次に例を示します。

      google.subject=assertion.subject,
      google.groups=assertion.attributes['https://example.com/aliases'],
      attribute.costcenter=assertion.attributes.costcenter[0]

      この例では、IdP 属性 assertion.subject、assertion.attributes['https://example.com/aliases']、assertion.attributes.costcenter[0] を Google Cloud 属性 google.subject、google.groups、google.costcenter にそれぞれマッピングしています。

   3. 省略可: 属性条件を追加するには、[条件を追加] をクリックし、属性条件を表す CEL 式を入力します。たとえば、ipaddr 属性を特定の IP 範囲に制限するには、条件 assertion.attributes.ipaddr.startsWith('98.11.12.') を設定します。この例の条件により、98.11.12. で始まる IP アドレスを持つユーザーだけが、この Workforce プロバイダを使用してログインできます。

   4. [続行] をクリックします。

7. プロバイダを作成するには、[送信] をクリックします。

gcloud

SAML プロトコルを使用して、Okta アプリ統合用の Workforce Identity プール プロバイダを作成するには、次の操作を行います。

1. Okta アプリに SAML メタデータを保存するには、次の操作を行います。

   1. Okta アプリに移動します。
   2. [Sign On] タブをクリックします。
   3. [SAML Signing Certificates] セクションで、有効な証明書の [Actions] > [View IdP metadata] をクリックします。
   4. 新しいページが開いたら、その中の XML メタデータをコピーします。
   5. メタデータをローカル XML ファイルとして保存します。

2. Okta アプリ用の Workforce プロバイダを作成するには、次のコマンドを実行します。

   gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
       --workforce-pool="WORKFORCE_POOL_ID" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --idp-metadata-path="XML_METADATA_PATH" \
       --location="global"
   

   次のように置き換えます。

   • WORKFORCE_PROVIDER_ID: このガイドの前半で作成した Workforce プロバイダ ID。
   • WORKFORCE_POOL_ID: このガイドの前半で作成した Workforce プール ID。

   • ATTRIBUTE_MAPPING: 属性マッピング。次に例を示します。

     google.subject=assertion.subject,
     google.groups=assertion.attributes['https://example.com/aliases'],
     attribute.costcenter=assertion.attributes.costcenter[0]

     この例では、IdP 属性 assertion.subject、assertion.attributes['https://example.com/aliases']、assertion.attributes.costcenter[0] を Google Cloud 属性 google.subject、google.groups、google.costcenter にそれぞれマッピングしています。

   • ATTRIBUTE_CONDITION: オプションの属性条件。たとえば、ipaddr 属性を特定の IP 範囲に制限するには、条件 assertion.attributes.ipaddr.startsWith('98.11.12.') を設定します。この例の条件により、98.11.12. で始まる IP アドレスを持つユーザーだけが、この Workforce プロバイダを使用してログインできます。

   • XML_METADATA_PATH: このガイドの前半で作成した Okta アプリの XML 形式のメタデータ ファイルへのパス。

   接頭辞 gcp- は予約されているため、プールやプロバイダ ID では使用できません。

   省略可: IdP から暗号化された SAML アサーションを受け入れる

   SAML 2.0 IdP が Workforce Identity 連携で受け入れられる暗号化された SAML アサーションを生成できるようにするには、次のようにします。

   • Workforce Identity 連携で、次の操作を行います。
   • Workforce Identity プールのプロバイダ用に非対称鍵ペアを作成します。
   • 公開鍵を含む証明書ファイルをダウンロードします。
   • 公開鍵を使用して、発行する SAML アサーションが暗号化されるように SAML IdP を構成します。
   • IdP で次の操作を行います。
   • アサーション暗号化（トークン暗号化）を有効にします。
   • Workforce Identity 連携で作成した公開鍵をアップロードします。
   • IdP が暗号化された SAML アサーションを生成することを確認します。
   SAML 暗号化プロバイダの鍵が構成されている場合でも、Workforce Identity 連携は平文のアサーションを処理できます。

   Workforce Identity 連携の SAML アサーション暗号鍵を作成する

   このセクションでは、Workforce Identity 連携で暗号化された SAML アサーションを受け入れる非対称鍵ペアの作成について説明します。

   Google Cloud は秘密鍵を使用して、IdP が発行する SAML アサーションを復号します。SAML 暗号化で使用する非対称鍵ペアを作成するには、次のコマンドを実行します。詳細については、サポートされている SAML 暗号化アルゴリズムをご覧ください。

   gcloud iam workforce-pools providers keys create KEY_ID \
       --workforce-pool WORKFORCE_POOL_ID \
       --provider PROVIDER_ID \
       --location global \
       --use encryption \
       --spec KEY_SPECIFICATION

   次のように置き換えます。

   • KEY_ID: 任意の鍵名
   • WORKFORCE_POOL_ID: プール ID
   • PROVIDER_ID: プロバイダ ID
   • KEY_SPECIFICATION: 鍵仕様（rsa-2048、rsa-3072、rsa-4096 のいずれか）。

   鍵ペアを作成したら、次のコマンドを実行して、公開鍵を証明書ファイルにダウンロードします。秘密鍵にアクセスできるのは Workforce Identity 連携だけです。

   gcloud iam workforce-pools providers keys describe KEY_ID \
       --workforce-pool WORKFORCE_POOL_ID \
       --provider PROVIDER_ID \
       --location global \
       --format "value(keyData.key)" \
       > CERTIFICATE_PATH

   次のように置き換えます。

   • KEY_ID: 鍵名
   • WORKFORCE_POOL_ID: プール ID
   • PROVIDER_ID: プロバイダ ID
   • CERTIFICATE_PATH: 証明書を書き込むパス（例: saml-certificate.cer や saml-certificate.pem）

   暗号化された SAML アサーションを発行するように SAML 2.0 準拠の IdP を構成する

   SAML アサーションを暗号化するように Okta を構成する手順は次のとおりです。

   • Okta ダッシュボードに移動してログインします。
   • [Applications] > [Applications] に移動します。
   • アプリをクリックします。
   • [General] タブの [SAML Settings] セクションで、[Edit] をクリックします。
   • [Next] をクリックして [SAML Settings] を表示します。
   • [Show advanced settings] をクリックします。
   • [SAML Settings] で、次の操作を行います。
   • [Response]（推奨）または [Assertion Signature] で、[Signed] を選択します。
   • [Signature Algorithm] と [Digest Algorithm] で任意のオプションを選択します。
   • 次の値を設定します。
   • Assertion Encryption: 暗号化されます。
   • Encryption Algorithm: 選択したアルゴリズム。
   • Encryption Certificate: このガイドの前半で生成した証明書ファイルをアップロードします。
   • 構成を保存するには、[Next]、[Finish] の順にクリックします。

   SAML アサーションを暗号化するように IdP を構成したら、IdP によって生成されるアサーションが実際に暗号化されていることを確認することをおすすめします。SAML アサーションの暗号化が構成されている場合でも、Workforce Identity 連携は平文のアサーションを処理できます。

   Workforce Identity 連携の暗号鍵を削除する

   SAML 暗号鍵を削除するには、次のコマンドを実行します。

     gcloud iam workforce-pools providers keys delete KEY_ID \
         --workforce-pool WORKFORCE_POOL_ID \
         --provider PROVIDER_ID \
         --location global

   次のように置き換えます。

   • KEY_ID: 鍵名
   • WORKFORCE_POOL_ID: プール ID
   • PROVIDER_ID: プロバイダ ID

   サポートされている SAML 暗号化アルゴリズム

   Workforce Identity 連携は、次の主要なトランスポート アルゴリズムをサポートしています。

   • http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p
   • http://www.w3.org/2009/xmlenc11#rsa-oaep"
   • http://www.w3.org/2001/04/xmlenc#rsa-1_5"

   Workforce Identity 連携は、次のブロック暗号化アルゴリズムをサポートしています。

   • http://www.w3.org/2001/04/xmlenc#aes128-cbc
   • http://www.w3.org/2001/04/xmlenc#aes192-cbc
   • http://www.w3.org/2001/04/xmlenc#aes256-cbc
   • http://www.w3.org/2009/xmlenc11#aes128-gcm
   • http://www.w3.org/2009/xmlenc11#aes256-gcm

単一の ID の場合

プロジェクト TEST_PROJECT_ID の単一の ID にストレージ管理者（roles/storage.admin）ロールを付与するには、次のコマンドを実行します。

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/SUBJECT_VALUE"

次のように置き換えます。

• TEST_PROJECT_ID: プロジェクトの ID
• WORKFORCE_POOL_ID: Workforce Identity プールの ID
• SUBJECT_VALUE: ユーザー ID

マッピングされた部門属性の使用

プロジェクト TEST_PROJECT_ID の特定の部門内のすべての ID にストレージ管理者（roles/storage.admin）のロールを付与するには、次のコマンドを実行します。

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.department/DEPARTMENT_VALUE"

次のように置き換えます。

• TEST_PROJECT_ID: プロジェクトの ID
• WORKFORCE_POOL_ID: Workforce プール ID
• DEPARTMENT_VALUE: マッピングされた attribute.department 値

マッピングされたグループの使用

プロジェクト TEST_PROJECT_ID の特定のグループ内のすべての ID にストレージ管理者（roles/storage.admin）ロールを付与するには、次のコマンドを実行します。

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

次のように置き換えます。

• TEST_PROJECT_ID: プロジェクトの ID
• WORKFORCE_POOL_ID: Workforce プール ID
• GROUP_ID: マッピングされた google.groups クレーム内のグループ。

コンソール（連携）ログイン

Google Cloud Workforce Identity 連携コンソール（連携）にログインするには、次の操作を行います。

1. コンソール（連携）のログインページに移動します。

   コンソール（連携）に移動

2. プロバイダ名を入力します。形式は次のとおりです。

   locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

1. 入力を求められたら、Okta アプリ統合にユーザー認証情報を入力します。

IdP を起点とするログインを開始する場合は、ネストされた Default RelayState パラメータの SAML 設定で URL https://console.cloud.google/ を使用します。

gcloud CLI ブラウザベースのログイン

ブラウザベースのログインフローを使用して gcloud CLI にログインする方法は次のとおりです。

構成ファイルを作成する

ログイン構成ファイルを作成するには、次のコマンドを実行します。必要に応じて、--activate フラグを使用することで、このファイルを gcloud CLI のデフォルトとして有効にできます。

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/PROVIDER_ID \
    --output-file=LOGIN_CONFIG_FILE

次のように置き換えます。

• WORKFORCE_POOL_ID: Workforce プール ID
• PROVIDER_ID: プロバイダ ID
• LOGIN_CONFIG_FILE: 指定した構成ファイルのパス（例: login.json）

このファイルには、gcloud CLI でブラウザベースの認証フローを有効にし、このガイドの前半で作成したプロバイダにオーディエンスを設定するために使用するエンドポイントが含まれています。ファイルに機密情報は含まれていません。

出力は次のようになります。

{
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/PROVIDER_ID",
  "auth_url": "https://auth.cloud.google/authorize",
  "token_url": "https://sts.googleapis.com/v1/oauthtoken",
  "token_info_url": "https://sts.googleapis.com/v1/introspect",
}

ブラウザベースの認証を使用してログインする

ブラウザベースのログイン認証を使用して認証するには、次のいずれかの方法を使用します。

• 構成ファイルの作成時に --activate フラグを使用した場合、または gcloud config set auth/LOGIN_CONFIG_FILE で構成ファイルを有効にした場合、gcloud CLI は構成ファイルを自動的に使用します。

  gcloud auth login

• 構成ファイルの場所を指定してログインするには、次のコマンドを実行します。

  gcloud auth login --login-config=LOGIN_CONFIG_FILE

• 環境変数を使用して構成ファイルの場所を指定するには、CLOUDSDK_AUTH_LOGIN_CONFIG_FILE を構成パスに設定します。

ブラウザベースのログインを無効にする

ログイン構成ファイルの使用を停止するには、次の手順を行います。

• 構成ファイルの作成時に --activate フラグを使用した場合、または gcloud config set auth/LOGIN_CONFIG_FILE で構成ファイルを有効にした場合は、次のコマンドを実行して設定を解除する必要があります。

  gcloud config unset auth/login_config_file

• CLOUDSDK_AUTH_LOGIN_CONFIG_FILE 環境変数が設定されている場合は、クリアします。

gcloud CLI ヘッドレス ログイン

ヘッドレス フローを使用して gcloud CLI にログインする方法は次のとおりです。

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/PROVIDER_ID",
  "subject_token_type": "urn:ietf:params:oauth:token-type:id_token",
  "token_url": "https://sts.googleapis.com/v1/token",
  "workforce_pool_user_project": "WORKFORCE_POOL_USER_PROJECT",
  "credential_source": {
    "file": "PATH_TO_OIDC_CREDENTIALS_FILE"
  }
}

トークン交換を使用して gcloud にログインするには、次のコマンドを実行します。

gcloud auth login --cred-file="config.json"

次に、gcloud は、Okta の認証情報を一時的な Google Cloud アクセス トークンと透過的に交換して、Google Cloud に対する他の gcloud 呼び出しを許可します。

次のような出力が表示されます。

Authenticated with external account user credentials for:
[principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/USER_ID].

認証されたアカウントと現在アクティブなアカウントを一覧表示するには、次のコマンドを実行します。

gcloud auth list

コンソール（連携）

コンソール（連携）を使用して Cloud Storage バケットを一覧表示するには、次のようにします。

• Cloud Storage ページに移動します。
• TEST_PROJECT_ID の既存バケットの一覧が表示できることを確認します。

gcloud CLI

アクセス権を持っているプロジェクトの Cloud Storage バケットとオブジェクトを一覧表示するには、次のコマンドを実行します。

gcloud alpha storage ls --project="TEST_PROJECT_ID"

プリンシパルには、指定したプロジェクトに対する serviceusage.services.use 権限が必要です。