Mit der Workforce Identity-Föderation OAuth Application Integration können Sie benutzerdefinierte und OAuth-basierte Anwendungen von Drittanbietern mit Google Cloudverbinden. Föderierte Nutzer können sich mit den Anmeldedaten ihres externen Identitätsanbieters (IdP) in integrierten Anwendungen anmelden und aufGoogle Cloud -Ressourcen zugreifen, ohne neue Identitäten erstellen oder Nutzerkonten synchronisieren zu müssen.
Wenn Sie eine OAuth 2.0-Anwendung einbinden möchten, müssen Sie zuerst einen Mitarbeiteridentitätspool und einen Anbieter erstellen und die Anwendung dann in derselben Organisation registrieren.
OAuth-Anwendungregistrierung
Wenn Sie eine Anwendung für den Zugriff auf Google Cloudkonfigurieren möchten, registrieren Sie sie bei Google Cloud , indem Sie OAuth-Client-Anmeldedaten erstellen. Die Anmeldedaten enthalten einen Clientschlüssel. Die Anwendung verwendet das Zugriffstoken, um auf die Produkte und Daten von Google Cloud zuzugreifen.
Sicherheitsrisiken und Maßnahmen zur Risikominimierung für OAuth-Clients und ‑Anmeldedaten
Sie müssen den Zugriff auf die IAM APIs sowie die Client-ID und den Clientschlüssel sichern. Wenn die Client-ID und der Clientschlüssel preisgegeben werden, kann dies zu Sicherheitsproblemen führen. Dazu gehören:
Identitätsdiebstahl: Ein böswilliger Nutzer mit Ihrer Client-ID und Ihrem Secret kann eine Anwendung erstellen, die sich als Ihre legitime Anwendung ausgibt. Sie können dann Folgendes tun:
- Unbefugten Zugriff auf die Nutzerdaten und Berechtigungen erhalten, auf die Ihre Anwendung Anspruch hat.
- Aktionen im Namen des Nutzers ausführen, z. B. Inhalte posten, API-Aufrufe ausführen oder Nutzereinstellungen ändern.
- Phishing-Angriffe durchführen, bei denen der böswillige Nutzer eine gefälschte Anmeldeseite erstellt, die dem OAuth-Anbieter ähnelt. Die Seite kann Nutzer dann dazu verleiten, ihre Anmeldedaten einzugeben. Diese werden dann an den schädlichen Nutzer weitergegeben, der dann auf die Konten zugreifen kann.
Rufschädigung: Eine Sicherheitslücke kann den Ruf Ihrer Anwendung und Ihres Unternehmens schädigen, was zu einem Vertrauensverlust bei den Nutzern führt.
Um diese und andere Risiken im Falle einer Sicherheitsverletzung zu minimieren, sollten Sie die Art der Sicherheitsverletzung bewerten und Folgendes tun:
Achten Sie darauf, dass nur vertrauenswürdige Nutzer IAM-Zugriff auf die OAuth-Client- und Anmeldedaten-API haben.
Rotieren Sie den Clientschlüssel sofort, indem Sie die Clientanmeldedaten so rotieren: