Node.js项目中GCP Identity Platform与本地Active Directory同步及使用咨询

一、同步本地Active Directory到GCP #

要把AD用户同步到GCP生态，**Cloud Directory Sync (CDS)**是官方推荐的稳定方案：

• 先在GCP控制台启用Cloud Identity服务，确保项目关联Cloud Identity租户。
• 在本地服务器或GCE实例部署CDS工具，配置AD连接参数（域名、LDAP地址、只读权限的绑定账号密码）。
• 配置属性映射：将AD核心字段（如userPrincipalName、displayName、department）映射到GCP Cloud Identity的对应属性，按需添加自定义字段映射规则。
• 启动同步任务，设置定时自动同步（如每日增量同步），确保AD的用户变更能实时同步到GCP。

二、在Identity Platform中使用同步数据 #

同步完成后，Cloud Identity用户会自动关联到Identity Platform，Node.js项目中可这样操作：

1. 配置身份源：在GCP控制台的Identity Platform页面，添加Cloud Identity作为身份提供商，启用用户名/密码登录（对应AD凭证）。
2. 集成官方SDK：安装依赖包：

   npm install firebase-admin
   

3. 验证用户并获取同步数据：用户登录后，通过SDK解析令牌并获取包含AD同步属性的用户信息：

   const admin = require('firebase-admin');
   admin.initializeApp();
   
   async function getSyncedUserInfo(idToken) {
     const decodedToken = await admin.auth().verifyIdToken(idToken);
     const userRecord = await admin.auth().getUser(decodedToken.uid);
     // 访问从AD同步的属性，如部门、手机号
     console.log('用户部门:', userRecord.customClaims.department);
     console.log('用户手机号:', userRecord.phoneNumber);
     return userRecord;
   }
   

   注：自定义AD字段可在CDS映射时设为自定义声明，通过customClaims获取。

三、最优实践建议 #

• 避免自定义同步脚本：CDS支持增量同步、错误重试等功能，比自行开发LDAP同步脚本更稳定。
• 最小权限配置：CDS的AD绑定账号仅分配只读权限；GCP侧CDS服务账号仅授予Cloud Identity同步权限。
• 测试环境验证：先在测试环境搭建AD模拟实例，验证同步逻辑和认证流程，确认字段同步正常后再上线生产。
• 日志与监控：开启Cloud Logging记录CDS同步日志和Identity Platform认证日志，便于排查同步失败、登录异常问题。
• 安全增强：为同步用户启用多因素认证（MFA），在Identity Platform配置登录策略，限制异常IP访问。

内容的提问来源于stack exchange，提问作者José Emilio Badía Valdés