Kontextsensitiven Zugriff mit Identity-Aware Proxy einrichten

Console

So fügen Sie eine bedingte Bindung mithilfe der Google Cloud Console hinzu:

1. Rufen Sie die IAP-Administratorseite auf.

   Zur IAP-Administratorseite

2. Klicken Sie auf das Kästchen neben den Ressourcen, für die Sie IAM-Berechtigungen aktualisieren möchten.

3. Klicken Sie auf der rechten Seite im Infobereich auf Hauptkonto hinzufügen.

4. Geben Sie im Feld Neues Hauptkonto die Hauptkonten ein, denen Sie eine Rolle zuweisen möchten.

5. Wählen Sie in der Drop-down-Liste Rolle auswählen die Rolle Nutzer von IAP-gesicherten Web-Apps aus und geben Sie die Bedingungen für Zugriffsebenen an, die die Hauptbevollmächtigten erfüllen müssen, um auf die Ressource zugreifen zu können.

   • Wenn Sie vorhandene Zugriffsebenen festlegen möchten, wählen Sie diese in der Drop-down-Liste Zugriffsebenen aus. Sie müssen die Rolle Nutzer von IAP-gesicherten Web-Apps auswählen und Berechtigungen auf Organisationsebene haben, um vorhandene Zugriffsebenen aufrufen zu können. Ihnen muss eine der folgenden Rollen zugewiesen werden:
     • Access Context Manager-Administrator
     • Access Context Manager-Bearbeiter
     • Access Context Manager-Leser
   • Zum Erstellen und Verwalten von Zugriffsebenen verwenden Sie Access Context Manager.

6. Wenn Sie den Hauptkonten weitere Rollen hinzufügen möchten, klicken Sie auf Weitere Rolle hinzufügen.

7. Wenn Sie mit dem Hinzufügen von Rollen fertig sind, klicken Sie auf Speichern.

   Sie haben der Ressource jetzt eine bedingte Bindung hinzugefügt.

So entfernen Sie eine bedingte Bindung:

1. Rufen Sie die IAP-Administratorseite auf.

   Zur IAP-Administratorseite

2. Klicken Sie auf das Kästchen neben der Ressource, von der Sie die IAM-Rolle eines Hauptkontos entfernen möchten.

3. Klicken Sie auf der rechten Seite im Infofeld unter Rolle / Hauptkonto auf die Rolle, die Sie dem Hauptkonto entziehen möchten.

4. Klicken Sie neben dem Hauptkonto auf Entfernen.

5. Klicken Sie im Dialogfeld Rolle des Hauptkontos entfernen auf Entfernen. Wenn Sie dem Hauptkonto alle nicht übernommenen Rollen für die ausgewählte Ressource entziehen möchten, klicken Sie erst auf das Kästchen und dann auf Entfernen.

gcloud

Derzeit können Sie das gcloud-Tool nur zum Festlegen von bedingten Bindungen auf Projektebene verwenden.

Zum Festlegen bedingter Bindungen bearbeiten Sie die Datei policy.yaml Ihres Projekts in folgender Weise:

1. Öffnen Sie mit dem folgenden gcloud-Befehl die IAM-Richtlinie für die Anwendung:

   gcloud iap web get-iam-policy --project=PROJECT_ID > policy.yaml

2. Bearbeiten Sie die Datei policy.yaml, um Folgendes anzugeben:

   • Die Nutzer und Gruppen, auf die Sie die IAM-Bedingung anwenden möchten.
   • Die Rolle iap.httpsResourceAccessor, die ihnen Zugriff auf die Ressourcen gewährt.

   • Die IAM-Bedingung.

     Das folgende Snippet zeigt eine IAM-Bedingung mit nur einem festgelegten Attribut. Diese Bedingung gewährt dem Nutzer und der Gruppe Zugriff, wenn die Zugriffsebenenanforderungen für ACCESS_LEVEL_NAME erfüllt sind und der Ressourcen-URL-Pfad mit / beginnt.

   bindings:
   ...
     - members:
       - group:EXAMPLE_GROUP@GOOGLE.COM
       - user:EXAMPLE_USER@GOOGLE.COM
       role: roles/iap.httpsResourceAccessor
       condition:
                 expression: "accessPolicies/ORGANIZATION_NUMBER/accessLevels/ACCESS_LEVEL_NAME" in
                             request.auth.access_levels && request.path.startsWith("/")
                 title: CONDITION_TITLE
   ...

3. Binden Sie die Richtlinie mithilfe des Befehls set-iam-policy an die Anwendung.

   gcloud iap web set-iam-policy --project=PROJECT_ID policy.yaml

Die Cloud IAM-Richtlinie enthält jetzt eine bedingte Bindung.

API

Zum Bearbeiten der Datei policy.json Ihrer Anwendung gehen Sie wie unten für Ihren Anwendungstyp dargestellt vor. Weitere Informationen zum Verwenden der IAM API für das Verwalten von Zugriffsrichtlinien finden Sie unter Zugriff auf Ressourcen verwalten, die mit IAP gesichert sind.

Bevor Sie die folgenden anwendungsspezifischen API-Schritte ausführen, exportieren Sie die folgenden Variablen:

 export PROJECT_NUM=PROJECT_NUMBER
 export IAP_BASE_URL=https://iap.googleapis.com/v1/projects/${PROJECT_NUM}/iap_web
 # Replace POLICY_FILE.JSON with the name of JSON file to use for setIamPolicy
 export JSON_NEW_POLICY=POLICY_FILE.JSON
 

App Engine

1. Exportieren Sie die folgenden App Engine-Variablen:

   # The APP_ID is usually the project ID
   export GAE_APP_ID=APP_ID
   export GAE_BASE_URL=${IAP_BASE_URL}/appengine-${GAE_APP_ID}

2. Rufen Sie die IAM-Richtlinie für die App Engine-Anwendung mit der Methode getIamPolicy ab. Das leere Datenbit am Ende wandelt die curl-Anfrage in POST anstelle von GET um.

   curl -i -H "Authentication: Bearer $(gcloud auth print-access-token)" \
   ${GAE_BASE_URL}/:getIamPolicy -d ''

3. Fügen Sie der JSON-Datei der IAM-Richtlinie die bedingte IAM-Bindung hinzu. Im Folgenden finden Sie ein Beispiel für eine bearbeitete Datei policy.json, mit der die Rolle iap.httpsResourceAccessor an zwei Nutzer gebunden und diesen Zugriff auf die mit IAP gesicherten Ressourcen gewährt wird. Es wurde eine IAM-Bedingung hinzugefügt, damit sie nur dann Zugriff auf die Ressourcen haben, wenn die Zugriffsebenenanforderung für ACCESS_LEVEL_NAME erfüllt ist und der URL-Pfad der Ressource mit / beginnt. Es kann nur eine Bedingung pro Bindung geben.
   
   Beispieldatei policy.json

   {
   "policy": {
   "bindings": [
   {
     "role": "roles/iap.httpsResourceAccessor",
     "members": [
         "group:EXAMPLE_GROUP@GOOGLE.COM",
         "user:EXAMPLE_USER@GOOGLE.COM"
     ],
     "condition": {
       "expression": ""accessPolicies/ORGANIZATION_NUMBER/accessLevels/ACCESS_LEVEL_NAME" in request.auth.access_levels && request.path.startsWith("/")",
       "title": "CONDITION_NAME"
     }
   }
   ]
   }
   }

4. Legen Sie die neue Datei policy.json mit der Methode setIamPolicy fest.

   curl -i -H "Authentication: Bearer $(gcloud auth print-access-token)" \
   ${GAE_BASE_URL}:setIamPolicy -d @${JSON_NEW_POLICY}

App Engine-Dienste und -Versionen

Sie können auch die IAM-Richtlinie eines App Engine-Dienstes, aller Versionen oder einer bestimmten Version eines Dienstes aktualisieren. Führen Sie die folgenden Schritte für eine bestimmte Version eines Dienstes aus:

1. Exportieren Sie die folgenden zusätzlichen Variablen.

   export GAE_SERVICE=SERVICE_NAME
   export GAE_VERSION=VERSION_NAME

2. Aktualisieren Sie die exportierte Variable GAE_BASE_URL.

   export GAE_BASE_URL=${IAP_BASE_URL}/appengine-${GAE_APP_ID}/services/${GAE_SERVICE}/versions/${GAE_VERSION}

3. Rufen Sie die IAM-Richtlinie für die Version ab und richten Sie sie mithilfe der oben dargestellten Befehle getIamPolicy und setIamPolicy ein.

GKE und Compute Engine

1. Exportieren Sie die Projekt-ID Ihres Back-End-Dienstes.

   export BACKEND_SERVICE_NAME=BACKEND_SERVICE_NAME

2. Rufen Sie die IAM-Richtlinie für die Compute Engine-Anwendung mit der Methode getIamPolicy ab. Das leere Datenbit am Ende wandelt die curl-Anfrage in POST anstelle von GET um.

   curl -i -H "Authentication: Bearer $(gcloud auth print-access-token)" \
    ${IAP_BASE_URL}/compute/services/${BACKEND_SERVICE_NAME}:getIamPolicy \
    -d ''

3. Fügen Sie der JSON-Datei der IAM-Richtlinie die bedingte IAM-Bindung hinzu. Im Folgenden finden Sie ein Beispiel für eine bearbeitete Datei policy.json, mit der die Rolle iap.httpsResourceAccessor an zwei Nutzer gebunden und diesen Zugriff auf die mit IAP gesicherten Ressourcen gewährt wird. Es wurde eine IAM-Bedingung hinzugefügt, damit sie nur dann Zugriff auf die Ressourcen haben, wenn die Zugriffsebenenanforderung für ACCESS_LEVEL_NAME erfüllt ist und der URL-Pfad der Ressource mit / beginnt. Es kann nur eine Bedingung pro Bindung geben.

   
   Beispieldatei policy.json

   {
   "policy": {
   "bindings": [
   {
   "role": "roles/iap.httpsResourceAccessor",
   "members": [
     "group":EXAMPLE_GROUP@GOOGLE.COM,
     "user:EXAMPLE_USER@GOOGLE.COM"
   ],
   "condition": {
     "expression": ""accessPolicies/ORGANIZATION_NUMBER/accessLevels/ACCESS_LEVEL_NAME" in request.auth.access_levels && request.path.startsWith("/")",
     "title": "CONDITION_NAME"
   }
   }
   ]
   }
   }

4. Legen Sie die neue Datei policy.json mit der Methode setIamPolicy fest.

   curl -i -H "Content-Type:application/json" \
        -H "Authentication: Bearer $(gcloud auth print-access-token)" \
        ${IAP_BASE_URL}/compute/services/${BACKEND_SERVICE_NAME}:setIamPolicy \
        -d @${JSON_NEW_POLICY}