Configura la federación de identidades de personal con Okta y permite el acceso de usuarios

Console

Para crear el grupo de identidades de personal, haz lo siguiente:

1. En la consola de Google Cloud, ve a la página Grupos de identidades de personal:

   Ir a Grupos de identidades de personal

2. Haz clic en Crear grupo y haz lo siguiente:

   1. En el campo Nombre, ingresa el nombre visible del grupo. El ID del grupo se deriva automáticamente del nombre a medida que escribes y se muestra en el campo Nombre. Para actualizar el ID del grupo, haz clic en Editar junto a él.

   2. Opcional: En Descripción, ingresa una descripción del grupo.

   3. La duración de la sesión se establece de forma predeterminada. Para ingresar una duración de la sesión personalizada, haz clic en Editar. La duración de la sesión, que determina el tiempo de acceso a los tokens de acceso de Google Cloud, las sesiones de acceso de la consola (federada) y las sesiones de acceso de la gcloud CLI de este grupo de personal son válidas. La duración debe ser superior a 15 minutos (900 s) y menor a 12 horas (43200 s). Si la duración de la sesión no se establece, el valor predeterminado es de una hora (3,600 s).

   4. Para crear el grupo en el estado habilitado, asegúrate de que la opción Grupo habilitado esté activada.

   5. Para crear el grupo de identidades de personal, haz clic en Siguiente.

gcloud

Para crear el grupo de identidades de personal, ejecuta el siguiente comando:

gcloud iam workforce-pools create WORKFORCE_POOL_ID \
    --organization=ORGANIZATION_ID \
    --display-name="DISPLAY_NAME" \
    --description="DESCRIPTION" \
    --session-duration=SESSION_DURATION \
    --location=global

Reemplaza lo siguiente:

• WORKFORCE_POOL_ID: un ID que elijas para representar el grupo de personal de Google Cloud. Para obtener información sobre el formato del ID, consulta la sección Parámetros de consulta en la documentación de la API.
• ORGANIZATION_ID: el ID numérico de la organización de Google Cloud.
• DISPLAY_NAME: Opcional Un nombre visible para tu grupo de identidad del personal.
• DESCRIPTION: Opcional Una descripción del grupo de identidad del personal.
• SESSION_DURATION: Opcional La duración de la sesión, que determina el tiempo de acceso a los tokens de acceso de Google Cloud, las sesiones de acceso de la consola (federada) y las sesiones de acceso de la gcloud CLI de este grupo de personal son válidas. La duración debe ser superior a 15 minutos (900 s) y menor a 12 horas (43200 s). Si la duración de la sesión no se establece, el valor predeterminado es de una hora (3,600 s).

OIDC

Para crear una integración de app de Okta que use el protocolo OIDC, sigue estos pasos:

1. Accede a la Consola del administrador de Okta.
2. Ve a Aplicaciones > Aplicaciones.

3. Para comenzar a configurar la integración de app, haz lo siguiente:

   1. Haz clic en Crear integración de aplicaciones.
   2. En Método de acceso, selecciona OIDC - OpenID Connect.
   3. En Tipo de aplicación, selecciona un tipo de aplicación, por ejemplo, Aplicación web.
   4. Para crear la app, haz clic en Siguiente.
   5. En Nombre de la integración de la app, ingresa un nombre para tu app.
   6. En la sección Tipo de otorgamiento, selecciona la casilla de verificación Implícito (híbrido).

   7. En la sección URI de redireccionamiento de acceso, en el campo de texto, ingresa una URL de redireccionamiento. Se redirecciona a tus usuarios a esta URL después de que acceden de forma correcta. Si configuras el acceso a la consola (federada), usa el siguiente formato de URL:

      https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
      

      Reemplaza lo siguiente:

      • WORKFORCE_POOL_ID: el ID del grupo de personal que creaste antes en esta guía.
      • WORKFORCE_PROVIDER_ID: un ID de proveedor de Workforce Identity que elijas; por ejemplo: okta-oidc-provider Para obtener información sobre el formato del ID, consulta la sección Parámetros de consulta en la documentación de la API.

   8. Selecciona la casilla de verificación Omitir la asignación del grupo por ahora.

   9. Para guardar la integración de app, haz clic en Guardar.

4. Asigna una integración de app a un usuario.

5. Opcional: Para agregar atributos personalizados a un perfil de usuario de Okta, haz lo siguiente:

   1. En Tipo de datos, selecciona string.
   2. En Nombre visible, ingresa Department.
   3. En Nombre de la variable, ingresa department.
   4. Para guardar la asignación, haz clic en Guardar.

   Para obtener más información sobre cómo agregar atributos personalizados, consulta Cómo agregar atributos personalizados a un perfil de usuario de Okta.

6. Opcional: Si deseas crear asignaciones para los atributos que se envían en el token de OIDC, en Directorio, haz clic en Editor de perfiles y haz lo siguiente:

   1. Busca la aplicación OIDC que creaste antes en esta guía.
   2. Haz clic en Asignaciones.
   3. Selecciona la pestaña Usuario de Okta a la app.
   4. En la pestaña Perfil de usuario de Okta, en un cuadro combinado disponible, ingresa department. Okta se completa automáticamente en user.department.
   5. Para guardar las asignaciones, haz clic en Guardar asignaciones. Para obtener más detalles, consulta Agrega asignación de atributos.

   Para obtener más información sobre las asignaciones, consulta Cómo asignar atributos de Okta a los atributos de la app en el Editor de perfiles.

7. Para configurar una reclamación de grupo, haz lo siguiente (opcional):

   1. Si usas un servidor de autorización de la organización, haz lo siguiente:
      1. Go to Aplicaciones > Aplicaciones
      2. Selecciona la aplicación cliente de OpenID Connect que creaste antes en esta sección.
      3. Ve a la pestaña Acceder.
      4. En la sección Token de ID de OpenID Connect, haz clic en Editar.
      5. En la sección Tipo de reclamación de grupos, puedes seleccionar cualquiera de las siguientes opciones:
         • Selecciona Expresión.
         • Selecciona Coincide con la regex y, luego, ingresa .*.
      6. Para guardar la reclamación de los grupos, haz clic en Guardar.
      7. Cuando crees el proveedor de grupos de la identidad del personal más adelante en esta guía, agrega groups como alcance adicional para solicitar la reclamación de grupos de Okta para el inicio de sesión único en la web. Este paso solo es necesario si usas la consola (federada) o el flujo de acceso basado en el navegador de la gcloud CLI.
   2. Si usas un servidor de autorización personalizado, sigue estos pasos:
      1. En la Consola del administrador, en el menú Seguridad, selecciona API.
      2. Selecciona el servidor de autorización personalizado que deseas configurar.
      3. Ve a la pestaña Reclamos y haz clic en Agregar reclamo.
      4. Ingresa un nombre para la reclamación. Para este ejemplo, asígnale el nombre groups.
      5. En tu reclamación, en Incluir en tipo de token, selecciona Token de ID y, luego, Siempre.
      6. Selecciona Grupos como Tipo de valor.
      7. En el cuadro desplegable Filtro, selecciona Coincide con la regex y, luego, ingresa la siguiente expresión como el valor: .*.
      8. Haz clic en Crear.

Para obtener más detalles sobre las reclamaciones de grupos, consulta Agrega una reclamación de grupos.

SAML

Para crear una integración de app de Okta que use el protocolo SAML, sigue estos pasos:

1. Accede a la Consola del administrador de Okta.
2. Ve a Aplicaciones > Aplicaciones.
3. Haz clic en Crear integración de aplicaciones.
4. En Método de acceso, selecciona SAML 2.0 y haz clic en Siguiente.
5. Ingresa un nombre para tu aplicación y haz clic en Siguiente a fin de continuar con las opciones de Configurar SAML.

6. En URL de inicio de sesión único, ingresa una URL de redireccionamiento. Esta es la URL a la que se redirecciona a los usuarios después de acceder correctamente. Si configuras el acceso a la consola, usa el siguiente formato de URL.

   https://auth.cloud.google/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID
   

7. Ingresa el URI de público (SP Entity ID). El ID tiene el siguiente formato:

   https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

   Reemplaza lo siguiente:

   • WORKFORCE_POOL_ID: el ID del grupo de personal que creaste antes en esta guía.
   • WORKFORCE_PROVIDER_ID: un ID de proveedor de Workforce Identity que elijas; por ejemplo: okta-saml-provider

   Para obtener información sobre el formato del ID, consulta la sección Parámetros de consulta en la documentación de la API.

8. Opcional: Usa declaraciones de atributos para especificar cualquier atributo personalizado que quieras enviar en la aserción de SAML. Después de la configuración, estos atributos se pueden usar en Google Cloud para crear políticas de administración de acceso o en attribute_condition. Por ejemplo, en esta guía, debes asignar el departamento de la siguiente manera:

   Nombre	Valor
   department	user.department

   Opcional: Para agregar la reclamación de los grupos, que se usa más adelante en esta guía, consulta Cómo pasar la membresía del grupo de un usuario en una aserción de SAML.

9. Termina de crear la integración de la app de Okta.

Console

Para configurar el proveedor de SAML con la consola de Google Cloud, haz lo siguiente:

1. En la consola de Google Cloud, ve a la página Grupos de identidades de personal:

   Ir a Grupos de identidades de personal

2. En la tabla grupos de identidad del personal, selecciona el grupo para el que deseas crear el proveedor.

3. En la tabla Proveedores, haz clic en Agregar proveedor.

4. En Selecciona un protocolo, selecciona SAML.

5. En Crea un proveedor de grupos, haz lo siguiente:

   1. En Nombre del proveedor, ingresa un nombre para el proveedor.

   2. Opcional: En Descripción, ingresa una descripción para el proveedor.

   3. En Archivo de metadatos de IdP (XML), selecciona el archivo XML de metadatos que generaste antes en esta guía.

   4. Asegúrate de que la opción Proveedor habilitado esté habilitada.

   5. Haz clic en Continuar.

6. En Configurar proveedor, haz lo siguiente:

   1. En Asignación de atributos, ingresa una expresión CEL para google.subject.

   2. Opcional: Para ingresar otras asignaciones, haz clic en Agregar asignación y, luego, ingresa otras asignaciones:

      google.subject=assertion.subject,
      google.groups=assertion.attributes['https://example.com/aliases'],
      attribute.costcenter=assertion.attributes.costcenter[0]

      En este ejemplo, se asignan los atributos de IdP assertion.subject, assertion.attributes['https://example.com/aliases'] y assertion.attributes.costcenter[0] a los atributos de Google Cloud google.subject, google.groups y google.costcenter, respectivamente.

   3. Opcional: Para agregar una condición de atributo, haz clic en Agregar condición y, luego, ingresa una expresión de CEL que represente una condición de atributo. Por ejemplo, para limitar el atributo ipaddr a un rango de IP determinado, puedes establecer la condición assertion.attributes.ipaddr.startsWith('98.11.12.'). Esta condición de ejemplo garantiza que solo los usuarios con una dirección IP que comienza con 98.11.12. puedan acceder mediante este proveedor de personal.

   4. Haz clic en Continuar.

7. Para crear el proveedor, haz clic en Enviar.

gcloud

Para crear un proveedor de grupos de Workforce Identity para la integración de tu app de Okta mediante el protocolo SAML, haz lo siguiente:

1. A fin de guardar los metadatos de SAML para tu app de Okta, haz lo siguiente:

   1. Ve a la app de Okta.
   2. Haz clic en la pestaña Acceder.
   3. En la sección Certificados de firma de SAML, haz clic en Acciones > Ver metadatos de IdP para el certificado activo.
   4. En la página nueva que se abre, copia los metadatos XML.
   5. Guarda los metadatos como un archivo XML local.

2. A fin de crear un proveedor de personal para tu aplicación de Okta, ejecuta el siguiente comando:

   gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
       --workforce-pool="WORKFORCE_POOL_ID" \
       --attribute-mapping="ATTRIBUTE_MAPPING" \
       --attribute-condition="ATTRIBUTE_CONDITION" \
       --idp-metadata-path="XML_METADATA_PATH" \
       --location="global"
   

   Reemplaza lo siguiente:

   • WORKFORCE_PROVIDER_ID: el ID del proveedor de personal que creaste antes en esta guía.
   • WORKFORCE_POOL_ID: el ID del grupo de personal que creaste antes en esta guía.

   • ATTRIBUTE_MAPPING: una asignación de atributo; por ejemplo:

     google.subject=assertion.subject,
     google.groups=assertion.attributes['https://example.com/aliases'],
     attribute.costcenter=assertion.attributes.costcenter[0]

     En este ejemplo, se asignan los atributos de IdP assertion.subject, assertion.attributes['https://example.com/aliases'] y assertion.attributes.costcenter[0] a los atributos de Google Cloud google.subject, google.groups y google.costcenter, respectivamente.

   • ATTRIBUTE_CONDITION: Es una condición de atributo opcional. Por ejemplo, para limitar el atributo ipaddr a un rango de IP determinado, puedes establecer la condición assertion.attributes.ipaddr.startsWith('98.11.12.'). Esta condición de ejemplo garantiza que solo los usuarios con una dirección IP que comienza con 98.11.12. puedan acceder mediante este proveedor de personal.

   • XML_METADATA_PATH: Es la ruta de acceso al archivo de metadatos con formato XML para la app de Okta que creaste antes en esta guía.

   El prefijo gcp- está reservado y no se puede usar en un ID de grupo ni de proveedor.

   Opcional: Acepta las aserciones de SAML encriptadas de tu IdP

   Para permitir que tu IdP de SAML 2.0 produzca aserciones de SAML encriptadas que la federación de identidades de personal pueda aceptar, haz lo siguiente:

   • En la federación de identidades de personal, haz lo siguiente:
   • Crea un par de claves asimétricas para tu proveedor de grupos de identidades de personal.
   • Descargar un archivo de certificado que contenga la clave pública
   • Configura tu IdP de SAML para usar la clave pública a fin de encriptar las aserciones de SAML que emite.
   • En el IdP, haz lo siguiente:
   • Habilita la encriptación de aserciones, también conocida como encriptación de tokens.
   • Sube la clave pública que creaste en la federación de identidades de personal.
   • Confirma que tu IdP produzca aserciones de SAML encriptadas.
   Ten en cuenta que, incluso con las claves de proveedor de encriptación de SAML configuradas, la federación de identidades de personal aún puede procesar una aserción de texto simple.

   Crea claves de encriptación de aserciones de SAML de la federación de identidades de personal

   En esta sección, se explica cómo crear un par de claves asimétricas que permite que la federación de identidades de personal acepte aserciones de SAML encriptadas.

   Google Cloud usa la clave privada para desencriptar las aserciones de SAML que emite tu IdP. Para crear un par de claves asimétricas que se usarán con la encriptación SAML, ejecuta el siguiente comando. Para obtener más información, consulta Algoritmos de encriptación de SAML compatibles.

   gcloud iam workforce-pools providers keys create KEY_ID \
       --workforce-pool WORKFORCE_POOL_ID \
       --provider PROVIDER_ID \
       --location global \
       --use encryption \
       --spec KEY_SPECIFICATION

   Reemplaza lo siguiente:

   • KEY_ID: un nombre de clave que elijas
   • WORKFORCE_POOL_ID: el ID del grupo
   • PROVIDER_ID: el ID del proveedor
   • KEY_SPECIFICATION: la especificación de clave, que puede ser rsa-2048, rsa-3072 y rsa-4096.

   Después de crear el par de claves, ejecuta el siguiente comando para descargar la clave pública en un archivo de certificado. Solo la federación de identidades de personal tiene acceso a la clave privada.

   gcloud iam workforce-pools providers keys describe KEY_ID \
       --workforce-pool WORKFORCE_POOL_ID \
       --provider PROVIDER_ID \
       --location global \
       --format "value(keyData.key)" \
       > CERTIFICATE_PATH

   Reemplaza lo siguiente:

   • KEY_ID: el nombre de la clave
   • WORKFORCE_POOL_ID: el ID del grupo
   • PROVIDER_ID: el ID del proveedor
   • CERTIFICATE_PATH: la ruta en la que se escribe el certificado, por ejemplo, saml-certificate.cer o saml-certificate.pem

   Configura tu IdP compatible con SAML 2.0 para emitir aserciones de SAML encriptadas

   Si deseas configurar Okta para encriptar las aserciones de SAML, haz lo siguiente:

   • Ve al panel de Okta y accede
   • Ve a Aplicaciones>Aplicaciones.
   • Haz clic en tu app.
   • En la pestaña General, en la sección Configuración de SAML, haz clic en Editar.
   • Haz clic en Siguiente para ver la Configuración de SAML.
   • Haz clic en Mostrar configuración avanzada.
   • En Configuración de SAML, haz lo siguiente:
   • En Respuesta (opción preferida) o Firma de confirmación, selecciona Signed.
   • En Algoritmo de firma y Algoritmo de resumen, selecciona cualquier opción.
   • Configura los siguientes valores:
   • Encriptación de aserción: Encriptada.
   • Algoritmo de encriptación: Cualquier algoritmo que elijas.
   • Certificado de encriptación: Sube el archivo de certificado que generaste antes en esta guía.
   • Para guardar la configuración, haz clic en Siguiente y, luego, en Finalizar.

   Después de configurar tu IdP para encriptar las aserciones de SAML, te recomendamos que te asegures de que las aserciones que genera en realidad estén encriptadas. Incluso con la encriptación de aserciones de SAML configurada, la federación de identidades de personal puede procesar aserciones de texto simple.

   Borra claves de encriptación de la federación de identidades de personal

   Para borrar claves de encriptación de SAML, ejecuta el siguiente comando:

     gcloud iam workforce-pools providers keys delete KEY_ID \
         --workforce-pool WORKFORCE_POOL_ID \
         --provider PROVIDER_ID \
         --location global

   Reemplaza lo siguiente:

   • KEY_ID: el nombre de la clave
   • WORKFORCE_POOL_ID: el ID del grupo
   • PROVIDER_ID: el ID del proveedor

   Algoritmos de encriptación SAML compatibles

   La federación de identidades de personal admite los siguientes algoritmos de transporte de claves:

   • http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p
   • http://www.w3.org/2009/xmlenc11#rsa-oaep"
   • http://www.w3.org/2001/04/xmlenc#rsa-1_5"

   La federación de identidades de personal admite los siguientes algoritmos de encriptación de bloques:

   • http://www.w3.org/2001/04/xmlenc#aes128-cbc
   • http://www.w3.org/2001/04/xmlenc#aes192-cbc
   • http://www.w3.org/2001/04/xmlenc#aes256-cbc
   • http://www.w3.org/2009/xmlenc11#aes128-gcm
   • http://www.w3.org/2009/xmlenc11#aes256-gcm

Para la identidad única

Para otorgar el rol Administrador de almacenamiento (roles/storage.admin) a una sola identidad para el proyecto TEST_PROJECT_ID, ejecuta el siguiente comando:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/SUBJECT_VALUE"

Reemplaza lo siguiente:

• TEST_PROJECT_ID: El ID del proyecto
• WORKFORCE_POOL_ID: el ID del grupo de la identidad de personal
• SUBJECT_VALUE: La identidad del usuario

Usa el atributo de departamento asignado

A fin de otorgar el rol Storage Admin (roles/storage.admin) a todas las identidades dentro de un departamento específico para el proyecto TEST_PROJECT_ID, ejecuta el siguiente comando:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.department/DEPARTMENT_VALUE"

Reemplaza lo siguiente:

• TEST_PROJECT_ID: El ID del proyecto
• WORKFORCE_POOL_ID: el ID del grupo de personal
• DEPARTMENT_VALUE: el valor attribute.department asignado

Usa grupos asignados

A fin de otorgar el rol de Administrador de almacenamiento (roles/storage.admin) a todas las identidades dentro de un grupo específico para el proyecto TEST_PROJECT_ID, ejecuta el siguiente comando:

gcloud projects add-iam-policy-binding TEST_PROJECT_ID \
    --role="roles/storage.admin" \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

Reemplaza lo siguiente:

• TEST_PROJECT_ID: El ID del proyecto
• WORKFORCE_POOL_ID: el ID del grupo de personal
• GROUP_ID: un grupo en la reclamación google.groups asignada.

Acceso a la consola (federada)

Para acceder a la consola de la federación de identidades de personal de Google Cloud, también conocida como consola (federada), haz lo siguiente:

1. Ve a la página de acceso de la consola (federada).

   Ir a la consola (federada)

2. Ingresa el nombre del proveedor, que tiene el siguiente formato:

   locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

1. Ingresa las credenciales de usuario en la integración de la app de Okta, si se te solicita.

Si inicias un acceso iniciado por IdP, usa la siguiente URL en Configuración de SAML para el parámetro RelayState predeterminado anidado: https://console.cloud.google/.

Acceso con el navegador de la gcloud CLI

Para acceder a la gcloud CLI con un flujo de acceso basado en el navegador, haz lo siguiente:

Crea un archivo de configuración

Para crear el archivo de configuración de acceso, ejecuta el siguiente comando. De manera opcional, puedes activar el archivo como predeterminado para la CLI de gcloud mediante la marca --activate.

gcloud iam workforce-pools create-login-config \
    locations/global/workforcePools/WORKFORCE_POOL_ID/providers/PROVIDER_ID \
    --output-file=LOGIN_CONFIG_FILE

Reemplaza lo siguiente:

• WORKFORCE_POOL_ID: el ID del grupo de personal
• PROVIDER_ID: el ID del proveedor
• LOGIN_CONFIG_FILE: una ruta de acceso al archivo de configuración que especifiques, por ejemplo, login.json.

El archivo contiene los extremos que usa la gcloud CLI para habilitar el flujo de autenticación basado en el navegador y establecer el público en el proveedor que creaste antes en esta guía. El archivo no contiene información confidencial.

El resultado es similar al siguiente:

{
  "type": "external_account_authorized_user_login_config",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/PROVIDER_ID",
  "auth_url": "https://auth.cloud.google/authorize",
  "token_url": "https://sts.googleapis.com/v1/oauthtoken",
  "token_info_url": "https://sts.googleapis.com/v1/introspect",
}

Accede con autenticación basada en el navegador

Para autenticar con la autenticación de acceso basada en el navegador, puedes usar uno de los siguientes métodos:

• Si usaste la marca --activate cuando creaste el archivo de configuración o si activaste el archivo de configuración con gcloud config set auth/LOGIN_CONFIG_FILE, gcloud CLI usa el archivo de configuración de forma automática:

  gcloud auth login

• Para acceder mediante la especificación de la ubicación del archivo de configuración, ejecuta el siguiente comando:

  gcloud auth login --login-config=LOGIN_CONFIG_FILE

• Para usar una variable de entorno a fin de especificar la ubicación del archivo de configuración, establece CLOUDSDK_AUTH_LOGIN_CONFIG_FILE en la ruta de configuración.

Inhabilita el acceso basado en el navegador

Para dejar de usar el archivo de configuración de acceso, haz lo siguiente:

• Si usaste la marca --activate cuando creaste el archivo de configuración o si activaste el archivo de configuración con gcloud config set auth/LOGIN_CONFIG_FILE, debes ejecutar el siguiente comando para anularlo:

  gcloud config unset auth/login_config_file

• Borra la variable de entorno CLOUDSDK_AUTH_LOGIN_CONFIG_FILE, si está configurada.

Acceso sin interfaz gráfica de la gcloud CLI

Para acceder a la gcloud CLI con un flujo sin interfaz gráfica, haz lo siguiente:

{
  "type": "external_account",
  "audience": "//iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/PROVIDER_ID",
  "subject_token_type": "urn:ietf:params:oauth:token-type:id_token",
  "token_url": "https://sts.googleapis.com/v1/token",
  "workforce_pool_user_project": "WORKFORCE_POOL_USER_PROJECT",
  "credential_source": {
    "file": "PATH_TO_OIDC_CREDENTIALS_FILE"
  }
}

Para acceder a gcloud mediante el intercambio de tokens, ejecuta el siguiente comando:

gcloud auth login --cred-file="config.json"

Luego, gcloud intercambia de manera transparente tus credenciales de Okta por tokens de acceso temporales de Google Cloud, lo que te permite realizar otras llamadas de gcloud a Google Cloud.

Verás un resultado similar al siguiente:

Authenticated with external account user credentials for:
[principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/USER_ID].

Para enumerar las cuentas con credenciales y la cuenta activa actual, ejecuta el siguiente comando:

gcloud auth list

Consola (federada)

Para mostrar una lista de los buckets de Cloud Storage mediante la consola (federada), haz lo siguiente:

• Ve a la página de Cloud Storage
• Verifica que puedas ver la lista de depósitos existentes para TEST_PROJECT_ID

gcloud CLI

Para enumerar los buckets y los objetos de Cloud Storage para el proyecto al que tienes acceso, ejecuta el siguiente comando:

gcloud storage ls --project="TEST_PROJECT_ID"

La principal debe tener el permiso serviceusage.services.use en el proyecto especificado.