谷歌云IAM工作负载身份与Azure广告'应用程序注册'/'企业应用程序'联合

Question

我正在尝试设置Azure广告“企业应用程序”，以便从myapps访问谷歌云。微软com的身份和访问权限。

我设置了工作负载身份联合，如https://cloud.google.com/iam/docs/configuring-workload-identity-federation#azure所述，但是身份验证工作不正常，出现以下错误。

gcloud auth login --cred-file="/Users/pavan-mac/Downloads/clientLibraryConfig-aad-oidc.json"       

ERROR: gcloud crashed (TransportError): HTTPConnectionPool(host='169.254.169.254', port=80): Max retries exceeded with url: /metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fiam.googleapis.com%2Fprojects%<removed>%2Flocations%2Fglobal%2FworkloadIdentityPools%2Faad-integration%2Fproviders%2Faad-oidc (Caused by NewConnectionError('<urllib3.connection.HTTPConnection object at 0x7feb69c80a10>: Failed to establish a new connection: [Errno 60] Operation timed out'))

我的命令：

➜ ~ gcloud iam workload-identity-pools create "azure-ad-integration" \ --location="global" \ --description="azure-ad-integration" \ --display-name="azure-ad-integration" 
Created workload identity pool [azure-ad-integration]. 
➜ ~ gcloud iam workload-identity-pools providers create-oidc azure-ad-oidc-provider\ --location="global" \ --workload-identity-pool="azure-ad-integration"\ --issuer-uri="sts.windows.net/<removed-tenant-id>" \ --allowed-audiences="api://<removed-app-id-uri>" \ --attribute-mapping="google.subject=assertion.sub,google.groups=assertion.groups" 
Created workload identity pool provider [azure-ad-oidc-provider].
➜ ~ gcloud iam service-accounts add-iam-policy-binding <removed-svc-account> \ --role roles/iam.workloadIdentityUser \ --member "principalSet://iam.googleapis.com/projects/<removed-project-number>/locations/global/workloadIdentityPools/azure-ad-integration/*" 
Updated IAM policy for serviceAccount [<service-acocunt>@<project>.iam.gserviceaccount.com]. bindings: 
 - members: 
  - principalSet://iam.googleapis.com/projects/<removed-project-number>/locations/global/workloadIdentityPools/azure-ad-integration/* role: roles/iam.workloadIdentityUser etag: BwXTqFEUIVo=
➜ ~ gcloud iam workload-identity-pools create-cred-config projects/<removed-project-num>/locations/global/workloadIdentityPools/azure-ad-integration/providers/azure-ad-oidc-provider\ --service-account='<service-account>@<project>.gserviceaccount.com'\ --azure \ --app-id-uri 'api://<app-id-uri>'\ --output-file=FILEPATH.json
 Created credential configuration file [FILEPATH.json].
➜  ~ gcloud version
Google Cloud SDK 367.0.0
bq 2.0.72
core 2021.12.10
gsutil 5.5
➜  ~ 

2个问题：

1. 我怀疑问题在于属性映射。使用Azure AD OIDC提供程序时，指定属性的理想配置是什么

Answer 1

由于在Azure虚拟机外部使用CLI，因此无法访问Azure托管标识。这就是元数据服务器出错的原因169.254.169.254//metadata/identity/oauth2/token

工作负载标识联合的要求/选项之一是为运行Google Cloud CLI的资源创建或分配托管标识。

准备外部身份提供程序

若要让应用程序获取Azure AD应用程序的访问令牌，可以使用托管标识

在这个Google文档中，演示了一个技巧，它要求您自己从Azure实例元数据服务获取一个访问令牌，并将其粘贴到断言中。我没有尝试过这种技术，但这意味着每次令牌过期时，你都需要重复这个过程。

curl \
  "http://169.254.169.254/metadata/identity/oauth2/token?resource=APP_ID_URI&api-version=2018-02-01" \
  -H "Metadata: true" | jq -r .access_token

从Azure实例元数据服务（IMDS）获取访问令牌