הגדרת SCIM ב-Okta

במאמר הזה מוסבר איך להגדיר דייר SCIM במאגר זהויות של כוח עבודה. מידע נוסף על SCIM זמין במאמר הקצאת הרשאות SCIM לאיחוד שירותי אימות הזהות של כוח עבודה.

כל מאגר זהויות של כוח עבודה תומך רק בדייר SCIM אחד. כדי להגדיר דייר SCIM חדש במאגר שכבר יש בו דייר, צריך קודם למחוק את הדייר הקיים באופן סופי.

הדגל --claim-mapping לדייר SCIM יכול להכיל רק ביטויים ספציפיים של Common Expression Language ‏ (CEL). כדי לראות אילו ביטויים נתמכים, אפשר לעיין במאמר מיפוי של מאפייני טוקן ו-SCIM.

1. הגדרת דייר וטוקן SCIM ב- Google Cloud
2. הגדרת SCIM ב-Okta
3. עדכון הספק כדי להפעיל SCIM
4. אימות הסנכרון של SCIM

הגדרת דייר וטוקן SCIM ב- Google Cloud

כדי להגדיר דייר SCIM ב- Google Cloud:

1. יוצרים דייר SCIM.

       gcloud iam workforce-pools providers scim-tenants create SCIM_TENANT_ID \
           --workforce-pool="WORKFORCE_POOL_ID" \
           --provider="PROVIDER_ID" \
           --display-name="SCIM_TENANT_DISPLAY_NAME" \
           --description="SCIM_TENANT_DESCRIPTION" \
           --claim-mapping="CLAIM_MAPPING" \
           --location="global"
       

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫SCIM_TENANT_ID: מזהה של דייר SCIM.
   • ‫WORKFORCE_POOL_ID: המזהה של מאגר כוח העבודה שיצרתם קודם במסמך הזה.
   • ‫PROVIDER_ID: המזהה של ספק הזהויות של כוח העבודה שיצרתם קודם במסמך הזה.
   • ‫SCIM_TENANT_DISPLAY_NAME: השם המוצג של דייר SCIM.
   • ‫SCIM_TENANT_DESCRIPTION: תיאור של דייר SCIM.
   • ‫CLAIM_MAPPING: רשימה מופרדת בפסיקים של מיפויי מאפיינים. רשימה מורחבת של מאפייני מיפוי זמינה במאמר מיפוי של מאפייני טוקן ו-SCIM. מומלץ להשתמש במיפוי הבא ב-Gemini Enterprise:

     google.subject=user.emails[0].value.lowerAscii(),google.group=group.displayName

     המאפיין google.subject שאתם ממפים בדייר SCIM חייב להתייחס באופן ייחודי לאותן זהויות שממופות במאפיין google.subject בספק הזהויות של כוח העבודה, באמצעות הדגל --attribute-mapping. אחרי שיוצרים את דייר SCIM, אי אפשר לעדכן את מיפוי הטענות. כדי להחליף אותו, אפשר למחוק את דייר SCIM באופן סופי וליצור מיד דייר חדש. מידע נוסף על שיקולים לשימוש ב-SCIM זמין במאמר בנושא תמיכה ב-SCIM.

2. בסיום הפקודה, מבצעים את הפעולות הבאות:

   1. בשדה baseUri בפלט, שומרים את ה-URI כולו, שמופיע בפורמט https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID. צריך לספק את ה-URI הזה ל-IdP.
   2. בנוסף, מה-URI, שומרים רק את SCIM_TENANT_UID. תצטרכו את ה-UID הזה כדי להגדיר מדיניות הרשאה ב-IAM בדייר SCIM בהמשך המסמך הזה.

3. יצירת טוקן SCIM:

       gcloud iam workforce-pools providers scim-tenants tokens create SCIM_TOKEN_ID \
           --display-name DISPLAY_NAME \
           --scim-tenant SCIM_TENANT_ID \
           --workforce-pool WORKFORCE_POOL_ID \
           --provider PROVIDER_ID \
           --location global
       

   מחליפים את מה שכתוב בשדות הבאים:

   • SCIM_TOKEN_ID: מזהה לאסימון SCIM
   • ‫DISPLAY_NAME: השם המוצג של אסימון SCIM
   • ‫WORKFORCE_POOL_ID: המזהה של מאגר כוח העבודה
   • ‫SCIM_TENANT_ID: מזהה דייר SCIM
   • ‫PROVIDER_ID: המזהה של ספק מאגר הזהויות של כוח העבודה

4. אחרי שהפקודה gcloud iam workforce-pools providers scim-tenants tokens create מסתיימת, מבצעים את הפעולות הבאות:

   1. בפלט, שומרים את הערך של SCIM_TOKEN בשדה securityToken. צריך לספק את אסימון האבטחה הזה ל-IdP. אסימון האבטחה מוצג רק בפלט הזה, ואם הוא הולך לאיבוד, צריך ליצור אסימון SCIM חדש.

   2. כדי לבדוק אם SCIM_TOKEN נדחה על ידי מדיניות הארגון, מריצים את הפקודה הבאה:

      curl -v -H "Authorization: Bearer SCIM_TOKEN"  https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID/Users

      אם הפקודה נכשלת עם שגיאה שקשורה להרשאות, מריצים את הפקודה gcloud organizations add-iam-policy-binding, שמתוארת בשלב מאוחר יותר. אם הפקודה מצליחה, אפשר לדלג על השלב הזה.

5. מגדירים מדיניות הרשאות IAM בדייר ובאסימון SCIM. אם הפקודה curl בשלב הקודם נכשלה בגלל שגיאה שקשורה להרשאות, צריך להריץ את הפקודה הבאה:

       gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
           --member=serviceAccount:SERVICE_AGENT_EMAIL \
           --role roles/iam.scimSyncer
       

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫ORGANIZATION_ID: מזהה הארגון.
   • ‫SERVICE_AGENT_EMAIL: כתובת האימייל של סוכן השירות. כתובת האימייל היא בפורמט הבא: o-ORGANIZATION_ID-SCIM_TENANT_UID@gcp-sa-iamscim.iam.gserviceaccount.com. ‫SCIM_TENANT_UID מוחזר כשיוצרים את דייר SCIM.

כשמקצים קבוצות בספק הזהויות, צריך לוודא שהשם המוצג של כל קבוצה, כפי שמצוין בשדה displayName, הוא ייחודי בדייר SCIM. מידע נוסף על קבוצות ו-SCIM ב-Microsoft Entra ID זמין במאמר Groups.

הגדרת SCIM ב-Okta

כדי להגדיר את SCIM ב-Okta, באפליקציית Okta הקיימת, מבצעים את הפעולות הבאות:

1. נכנסים למסוף Admin של Okta.
2. עוברים אל Applications > Applications.

3. בוחרים אפליקציה קיימת או יוצרים אפליקציה חדשה:

   • כדי לבחור אפליקציה קיימת:

     1. לוחצים על שם האפליקציה שיצרתם באמצעות התבנית של איחוד שירותי אימות הזהות של כוח עבודה ב-Google Cloud.

     2. בכרטיסייה General (כללי), מבצעים את הפעולות הבאות:

        1. בחלונית הגדרות האפליקציה, לוחצים על עריכה.
        2. בשדה Tenant (דייר), מזינים את מזהה הדייר שהתקבל מ-gcloud CLI.
        3. לוחצים על סיום.

   • כדי ליצור אפליקציה חדשה:

     1. לוחצים על Browse App Catalog (עיון בקטלוג האפליקציות).
     2. בשדה חיפוש, מזינים איחוד שירותי אימות הזהות של כוח עבודה ב-Google Cloud, ואז בוחרים את השילוב איחוד שירותי אימות הזהויות של כוח עבודה ב-Google Cloud מתוצאות החיפוש.

     3. לוחצים על Add Integration (הוספת שילוב).

        1. בשדה Application, מזינים שם לאפליקציה.
        2. בשדה Tenant (דייר), מזינים את מזהה הדייר שהתקבל מ-gcloud CLI.
        3. לוחצים על סיום.

4. בכרטיסייה Provisioning (הקצאת הרשאות), מבצעים את הפעולות הבאות:

   1. בחלונית שילוב, לוחצים על עריכה.

      1. בשדה API Token (טוקן API), מזינים את טוקן ה-SCIM שהתקבל מ- Google Cloud.
      2. כדי לאשר את התוקף של אסימון ה-API, לוחצים על בדיקת פרטי הכניסה.
      3. לוחצים על ייבוא קבוצות.
      4. לוחצים על Save.

   2. בחלונית To App, לוחצים על Edit.

      1. בוחרים באפשרויות יצירת משתמשים, עדכון מאפייני משתמש והשבתת משתמשים.
      2. לוחצים על Save.

עדכון הספק כדי להפעיל SCIM

כדי להפעיל SCIM לספק:

      gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
          --workforce-pool=WORKFORCE_POOL_ID \
          --location=LOCATION \
          --scim-usage=enabled-for-groups
    

      gcloud iam workforce-pools providers update-saml PROVIDER_ID \
          --workforce-pool=WORKFORCE_POOL_ID \
          --location=LOCATION \
          --scim-usage=enabled-for-groups
    

כדי לאמת את הסנכרון של SCIM, אפשר לעיין במאמר אימות הסנכרון של SCIM.

מיפוי של אסימונים ומאפייני SCIM

אתם צריכים למפות את המאפיינים באופן עקבי, גם בספק של מאגר הזהויות של כוח העבודה וגם בדייר SCIM שהוגדר לספק. לספק הזהויות של כוח העבודה משתמשים בדגל --attribute-mapping, ולדייר SCIM משתמשים בדגל --claim-mapping. מאפיין IdP שממופה ל-google.subject עבור משתמשים צריך להתייחס באופן ייחודי לאותה זהות, בין אם הוא מוגדר במיפוי של טוקן או SCIM. מידע נוסף על מיפוי מאפיינים כשמשתמשים ב-SCIM זמין בקטע תמיכה ב-SCIM. בטבלה הבאה מוסבר איך למפות מאפיינים בהצהרות על אסימונים ומאפייני SCIM:

אימות הסנכרון של SCIM

אחרי שמגדירים את SCIM, אפשר להשתמש ב-curl כדי לוודא שהמשתמשים והקבוצות מסתנכרנים בצורה תקינה עם Google Cloud. כדי להשתמש בפקודות האלה צריך טוקן SCIM תקין ומזהה דייר SCIM.

אימות סנכרון המשתמשים

כדי לוודא שהמשתמש סונכרן בצורה תקינה, מחפשים את userName של המשתמש באמצעות המסנן הבא:

curl -H "Authorization: Bearer SCIM_TOKEN" \
  "https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID/Users?filter=userName%20eq%20%22USER_NAME%22"

דוגמה לתגובה:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:ListResponse"],
  "totalResults": 1,
  "Resources": [
    {
      "id": "USER_ID",
      "userName": "USER_NAME",
      ...
    }
  ]
}

אימות של סנכרון קבוצות

כדי לוודא שקבוצה סונכרנה בצורה תקינה, מחפשים את displayName של הקבוצה באמצעות המסנן הבא:

curl -H "Authorization: Bearer SCIM_TOKEN" \
  "https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID/Groups?filter=displayName%20eq%20%22GROUP_NAME%22"

דוגמה לתגובה:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:ListResponse"],
  "totalResults": 1,
  "Resources": [
    {
      "id": "GROUP_ID",
      "displayName": "GROUP_NAME",
      ...
    }
  ]
}

אימות החברות בקבוצה

כדי לבדוק אם משתמש מסוים הוא חבר בקבוצה, משתמשים במסנן שמציין גם את מזהה הקבוצה וגם את מזהה המשתמש.

curl -H "Authorization: Bearer SCIM_TOKEN" \
  "https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID/Groups?filter=id%20eq%20%22GROUP_ID%22%20and%20members%20eq%20%22USER_ID%22"

דוגמה לתגובה אם המשתמש הוא חבר מועדון:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:ListResponse"],
  "totalResults": 1,
  "Resources": [
    {
      "id": "GROUP_ID",
      "displayName": "GROUP_NAME",
      ...
    }
  ]
}

דוגמה לתשובה אם המשתמש לא מנוי:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:ListResponse"],
  "totalResults": 0,
  "Resources": []
}

הערה: כדי לקבל את הערכים GROUP_ID ו-USER_ID, קודם צריך למצוא את הקבוצה והמשתמש באמצעות המסננים displayName ו-userName. המזהים מוחזרים בשדה id של התשובה. מחליפים את SCIM_TOKEN,‏ SCIM_TENANT_UID,‏ USER_NAME,‏ GROUP_NAME,‏ GROUP_ID ו-USER_ID בערכים בפועל.

מחיקה בכוח של דייר SCIM

כדי למחוק דייר SCIM בכוח:

1. אם --scim-usage=enabled-for-groups מוגדר אצל הספק שלכם, משביתים אותו בהגדרת הספק:

             gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
                 --workforce-pool=WORKFORCE_POOL_ID \
                 --location=LOCATION \
                 --scim-usage=SCIM_USAGE_UNSPECIFIED
           

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫PROVIDER_ID: המזהה של ספק מאגר הזהויות של כוח העבודה
   • ‫WORKFORCE_POOL_ID: המזהה של מאגר כוח העבודה
   • ‫LOCATION: המיקום של מאגר כוח העבודה

2. מחיקת הדייר ב-SCIM:

     gcloud iam workforce-pools providers scim-tenants delete SCIM_TENANT_ID \
         --workforce-pool=WORKFORCE_POOL_ID \
         --provider=PROVIDER_ID \
         --hard-delete \
         --location=global
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫SCIM_TENANT_ID: המזהה של דייר SCIM שרוצים למחוק
   • ‫WORKFORCE_POOL_ID: המזהה של מאגר כוח העבודה
   • ‫PROVIDER_ID: המזהה של ספק מאגר הזהויות של כוח העבודה
   מידע נוסף על SCIM, כולל מחיקת דיירים של SCIM, זמין במאמר תמיכה ב-SCIM.

המאמרים הבאים

• מחיקת המשתמשים באיחוד שירותי אימות הזהות של כוח עבודה והנתונים שלהם
• מידע על מוצרי Google Cloud Google Cloud שתומכים באיחוד שירותי אימות הזהות של כוח העבודה
• הגדרת גישה של משתמשים למסוף (מאוחד)