IAP mit Workforce Identity-Föderation konfigurieren

Console

1. Öffnen Sie in der Google Cloud Console die Seite „IAP“.
   Zur Seite „IAP“
2. Wählen Sie ein Projekt aus. Das Projekt muss sich in derselben Organisation wie der zuvor erstellte Personalpool befinden. Das Projekt muss nicht das Projekt sein, in dem Sie die OAuth-Client-ID und das Secret erstellt haben.
3. Klicken Sie auf den Tab Anwendungen und suchen Sie dann die Anwendung, für die Sie den Zugriff mit IAP einschränken möchten.
4. Stellen Sie den Schieberegler in der Spalte „IAP“ auf Ein.

gcloud

Wenn Sie IAP mit der gcloud CLI aktivieren möchten, folgen Sie der Anleitung für den entsprechenden Dienst:

• IAP für Cloud Run:
  • Direkt mit Cloud Run aktivieren
  • Mit einem Load-Balancer aktivieren
• IAP für App Engine
• IAP für Compute Engine

API

1. Erstellen Sie eine settings.json-Datei.

   cat << EOF > settings.json
   {
   "iap":
     {
       "enabled":true,
    }
   }
   EOF
   

2. Aktivieren Sie IAP in App Engine.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Accept: application/json" \
   -H "Content-Type: application/json" \
   -d @settings.json \
   "https://appengine.googleapis.com/v1/apps/PROJECT_ID?updateMask=iap.enabled"
   

   Verwenden Sie die folgende URL, um IAP in Compute Engine zu aktivieren: https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/REGION/backendServices/BACKEND_SERVICE_NAME?updateMask=iap.enabled.

gcloud

1. Erstellen Sie anhand des folgenden Beispiels eine iap_settings.yaml-Datei.

   CLIENT_ID=clientId
   CLIENT_SECRET=clientSecret
   WORKFORCE_POOL_NAME=locations/global/workforcePools/test-pool
   cat <<EOF > iap_settings.yaml
   access_settings:
     identity_sources: ["WORKFORCE_IDENTITY_FEDERATION"]
     workforce_identity_settings:
       workforce_pools: ["$WORKFORCE_POOL_NAME"]
       oauth2:
         client_id: "$CLIENT_ID"
         client_secret: "$CLIENT_SECRET"
   EOF
   

2. Führen Sie den folgenden Befehl aus, um die IAP-Einstellungen für Ihre Ressource zu aktualisieren.

   gcloud iap settings set iap_settings.yaml --project=PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE
   

   Ersetzen Sie Folgendes:

   • PROJECT: Die Projekt-ID.

   • RESOURCE_TYPE: Der IAP-Ressourcentyp. Der Ressourcentyp muss cloud-run (Vorschau),app-engine, iap_web, compute, organization, oder folder sein.

     Verwenden Sie für den Ressourcentyp cloud-run das Flag --region, um die Region anzugeben, in der Ihr Cloud Run-Dienst bereitgestellt wird.

   • SERVICE: Der Dienstname. Dies ist sowohl für app-engine als auch für compute optional.

   Weitere Informationen zum Befehl finden Sie unter gcloud iap settings set.

API

1. Erstellen Sie anhand des folgenden Beispiels eine iap_settings.json-Einstellungsdatei.

   CLIENT_ID=clientId
   CLIENT_SECRET=clientSecret
   WORKFORCE_POOL_NAME=locations/global/workforcePools/test-pool
   cat <<EOF > iap_settings.json
   {
      "access_settings": {
        "identity_sources": ["WORKFORCE_IDENTITY_FEDERATION"],
        "workforce_identity_settings": {
          "workforce_pools": ["$WORKFORCE_POOL_NAME"],
          "oauth2": {
            "client_id": "$CLIENT_ID",
            "client_secret": "$CLIENT_SECRET",
          }
       }
     }
   }
   EOF
   

2. Rufen Sie mit der gcloud CLI den Namen der Ressource ab und kopieren Sie dann RESOURCE_NAME aus der Ausgabe, da Sie ihn im nächsten Schritt benötigen.

   gcloud iap settings get \
       --project=PROJECT \
       --resource-type=RESOURCE_TYPE \
       --service=SERVICE
   

   Ersetzen Sie Folgendes:

   • PROJECT: Die Projekt-ID.
   • RESOURCE_TYPE: Der IAP-Ressourcentyp. Der Ressourcentyp muss appengine, iap_web, compute, organization, folder oder cloud_run-$REGION (Vorschau) sein, wobei $REGION die Region ist, in der Ihr Cloud Run-Dienst bereitgestellt wird.
   • SERVICE: Der Dienstname. Dies ist sowohl für app-engine als auch für compute optional.

3. Ersetzen Sie RESOURCE_NAME im folgenden Befehl durch den RESOURCE_NAME aus dem vorherigen Schritt.

   curl -X PATCH \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d @iap_settings.json \
   "https://iap.googleapis.com/v1/RESOURCE_NAME:iapSettings?updateMask=iapSettings.accessSettings.identitySources,iapSettings.accessSettings.workforceIdentitySettings.workforcePools,iapSettings.accessSettings.workforceIdentitySettings.oauth2.clientId,iapSettings.accessSettings.workforceIdentitySettings.oauth2.clientSecret"
   

Console

1. Öffnen Sie in der Google Cloud Console die Seite „IAP“.
   Zur Seite „IAP“
2. Wählen Sie die Ressource aus, die Sie mit IAP sichern möchten.
3. Klicken Sie auf Hauptkonto hinzufügen und fügen Sie dann die Hauptkonto-IDs der Gruppen oder Einzelpersonen hinzu, denen Sie eine IAM-Rolle für die Ressource zuweisen möchten.
4. Wählen Sie unter Rollen zuweisen die Option Nutzer von IAP-gesicherten Web-Apps aus.
5. Klicken Sie auf Hinzufügen.

gcloud

Führen Sie den folgenden Befehl aus:

gcloud iap web add-iam-policy-binding \
    --member=PRINCIPAL_IDENTIFIER \
    --role='roles/iap.httpsResourceAccessor' \
    --project=PROJECT_ID \
    --resource-type=RESOURCE_TYPE \
    --service=SERVICE \
    --condition=CONDITION

Ersetzen Sie Folgendes :

• PRINCIPAL_IDENTIFIER: Die Hauptkonto-IDs.
• PROJECT_ID: Die Projekt-ID.
• RESOURCE_TYPE: Der IAP-Ressourcentyp, der sein kann app-engine oder backend-services.
• SERVICE: (Optional) Der Dienstname.
• CONDITION: (Optional) IAM-Bedingungen. Das folgende Beispiel zeigt eine Bedingung, die mit Zugriffsebenen konfiguriert wurde:

expression="accessPolicies/12345678/accessLevels/iap_test_access_level" in request.auth.access_levels,title=iap-test-access-level,description=only access in weekdays

API

Diese Methode wird nicht empfohlen, da sie die gesamte IAM-Richtlinie einer Ressource betrifft. Ein Fehler kann dazu führen, dass die Richtlinie aus einer Ressource entfernt wird.

1. Rufen Sie die vorhandenen IAM-Richtlinienbindungen ab.

   curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Accept: application/json" \
     -H "Content-Type: application/json" \
     -d {} \
   "https://iap.googleapis.com/v1/RESOURCE_NAME:getIamPolicy" -o iam_policy_bindings.json
   

   Ersetzen Sie RESOURCE_NAME durch den RESOURCE_NAME, den Sie in einem früheren Schritt abgerufen haben.

2. Entfernen Sie in der Datei iam_policy_bindings.json, die Sie im vorherigen Schritt abgerufen haben, die Zeilen für Version und ETag und fügen Sie die Bindung hinzu, die Sie für die Hauptkonto-ID hinzufügen möchten. Weitere Informationen finden Sie unter Zulassungsrichtlinien.

   {
     "bindings": [
       {
         // existing bindings
       },
       {
         "role": "roles/iap.httpsResourceAccessor",
         "members": [
         "principal://iam.googleapis.com/locations/global/workforcePools/iap-test-pool/subject/iap-test-subject"
         ],
         "condition": {
           "expression": "\"accessPolicies/12345678/accessLevels/iap_test_access_level\" in request.auth.access_levels",
           "title": "iap-test-access-level",
           "description": "only access in week days"
         }
       }
     ]
   }
   

3. Aktualisieren Sie die IAM-Richtlinienbindungen.

   curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Accept: application/json" \
     -H "Content-Type: application/json" \
     -d "{"policy":$(cat iam_policy_bindings.json)}" \
   "https://iap.googleapis.com/v1/RESOURCE_NAME:setIamPolicy"
   

   Ersetzen Sie RESOURCE_NAME durch den RESOURCE_NAME, den Sie in einem früheren Schritt abgerufen haben.

Weitere Informationen finden Sie unter GetIamPolicy und SetIamPolicy.