Configurer l'accès contextuel avec Identity-Aware Proxy

Console

Pour ajouter une liaison conditionnelle à l'aide de la console Google Cloud:

1. Accédez à la page d'administration d'IAP.

   Accéder à la page d'administration d'IAP

2. Cochez la case située à côté des ressources pour lesquelles vous souhaitez mettre à jour les autorisations IAM.

3. Dans le panneau d'informations situé à droite, cliquez sur Ajouter un compte principal.

4. Dans le champ Nouveau compte principal, saisissez les comptes principaux auxquels vous souhaitez attribuer un rôle.

5. Dans la liste déroulante Sélectionner un rôle, sélectionnez le rôle Utilisateur de l'application Web sécurisée par IAP et indiquez les conditions de niveau d'accès à la ressource pour les principaux.

   • Pour spécifier des niveaux d'accès existants, sélectionnez-les dans la liste déroulante Niveaux d'accès. Vous devez choisir le rôle Utilisateur de l'application Web sécurisée par IAP et disposer des autorisations au niveau de l'organisation pour afficher les niveaux d'accès existants. Vous devez disposer de l'un des rôles suivants :
     • Administrateur Access Context Manager
     • Éditeur Access Context Manager
     • Lecteur Access Context Manager
   • Pour créer et gérer des niveaux d'accès, servez-vous de la fonctionnalité Access Context Manager.

6. Si vous souhaitez ajouter d'autres rôles aux membres, cliquez sur Ajouter un autre rôle.

7. Une fois les rôles ajoutés, cliquez sur Enregistrer.

   Vous venez d'ajouter une liaison conditionnelle à votre ressource.

Pour supprimer une liaison conditionnelle, procédez comme suit :

1. Accédez à la page d'administration d'IAP.

   Accéder à la page d'administration d'IAP

2. Cochez la case située à côté de la ressource pour laquelle vous souhaitez supprimer le rôle IAM d'un compte principal.

3. Dans le panneau d'informations situé à droite, sous Rôle / Compte principal, cliquez sur le rôle que vous souhaitez supprimer du compte principal.

4. Cliquez sur Supprimer à côté du compte principal.

5. Dans la boîte de dialogue Supprimer le rôle pour le compte principal qui s'affiche, cliquez sur Supprimer. Pour supprimer tous les rôles non hérités du principal sur la ressource sélectionnée, cochez la case correspondante avant de cliquer sur Supprimer.

gcloud

Pour le moment, vous ne pouvez utiliser l'outil gcloud que pour définir des liaisons conditionnelles au niveau du projet.

Pour définir des liaisons conditionnelles, modifiez le fichier policy.yaml de votre projet en procédant comme suit :

1. Ouvrez la stratégie IAM de l'application à l'aide de la commande gcloud suivante :

   gcloud iap web get-iam-policy --project=PROJECT_ID > policy.yaml

2. Modifiez le fichier policy.yaml de façon à spécifier les éléments suivants :

   • Les utilisateurs et groupes auxquels vous souhaitez appliquer la condition IAM
   • Le rôle iap.httpsResourceAccessor pour leur accorder l'accès aux ressources

   • La condition IAM

     L'extrait suivant montre une condition IAM avec un seul attribut spécifié. Cette condition accorde l'accès à l'utilisateur et au groupe si les exigences du niveau d'accès ACCESS_LEVEL_NAME sont remplies et si le chemin de l'URL de la ressource commence par /.

   bindings:
   ...
     - members:
       - group:EXAMPLE_GROUP@GOOGLE.COM
       - user:EXAMPLE_USER@GOOGLE.COM
       role: roles/iap.httpsResourceAccessor
       condition:
                 expression: "accessPolicies/ORGANIZATION_NUMBER/accessLevels/ACCESS_LEVEL_NAME" in
                             request.auth.access_levels && request.path.startsWith("/")
                 title: CONDITION_TITLE
   ...

3. Liez la stratégie à l'application à l'aide de la commande set-iam-policy.

   gcloud iap web set-iam-policy --project=PROJECT_ID policy.yaml

Votre stratégie IAM inclut désormais une liaison conditionnelle.

API

Pour modifier le fichier policy.json de votre application, suivez la procédure ci-dessous pour votre type d'application. Consultez la section Gérer l'accès aux ressources sécurisées par IAP pour plus d'informations sur l'utilisation de l'API IAM pour gérer les stratégies d'accès.

Avant de suivre la procédure de l'API spécifique à chaque application ci-dessous, exportez les variables suivantes:

 export PROJECT_NUM=PROJECT_NUMBER
 export IAP_BASE_URL=https://iap.googleapis.com/v1/projects/${PROJECT_NUM}/iap_web
 # Replace POLICY_FILE.JSON with the name of JSON file to use for setIamPolicy
 export JSON_NEW_POLICY=POLICY_FILE.JSON
 

App Engine

1. Exportez les variables App Engine suivantes :

   # The APP_ID is usually the project ID
   export GAE_APP_ID=APP_ID
   export GAE_BASE_URL=${IAP_BASE_URL}/appengine-${GAE_APP_ID}

2. Obtenez la stratégie IAM pour l'application App Engine à l'aide de la méthode getIamPolicy. Le bit de données vide à la fin transforme la requête curl en POST au lieu de GET.

   curl -i -H "Authentication: Bearer $(gcloud auth print-access-token)" \
   ${GAE_BASE_URL}/:getIamPolicy -d ''

3. Ajoutez votre liaison conditionnelle IAM au fichier JSON de stratégie IAM. L'exemple suivant présente un fichier policy.json modifié qui lie le rôle iap.httpsResourceAccessor à deux utilisateurs, en leur accordant l'accès aux ressources sécurisées par IAP. Une condition IAM a été ajoutée pour leur permettre de n'accéder aux ressources que si les exigences du niveau d'accès ACCESS_LEVEL_NAME sont remplies et si le chemin de l'URL de la ressource commence par /. Il ne peut y avoir qu'une seule condition par liaison.
   
   Exemple de fichier policy.json

   {
   "policy": {
   "bindings": [
   {
     "role": "roles/iap.httpsResourceAccessor",
     "members": [
         "group:EXAMPLE_GROUP@GOOGLE.COM",
         "user:EXAMPLE_USER@GOOGLE.COM"
     ],
     "condition": {
       "expression": ""accessPolicies/ORGANIZATION_NUMBER/accessLevels/ACCESS_LEVEL_NAME" in request.auth.access_levels && request.path.startsWith("/")",
       "title": "CONDITION_NAME"
     }
   }
   ]
   }
   }

4. Définissez votre nouveau fichier policy.json à l'aide de la méthode setIamPolicy.

   curl -i -H "Authentication: Bearer $(gcloud auth print-access-token)" \
   ${GAE_BASE_URL}:setIamPolicy -d @${JSON_NEW_POLICY}

Services et versions App Engine

Vous pouvez également mettre à jour la stratégie IAM d'un service App Engine, de toutes les versions ou d'une version spécifique d'un service. Pour mettre à jour la stratégie Cloud IAM d'une version spécifique d'un service, procédez comme suit :

1. Exportez les variables supplémentaires suivantes :

   export GAE_SERVICE=SERVICE_NAME
   export GAE_VERSION=VERSION_NAME

2. Mettez à jour la variable GAE_BASE_URL exportée.

   export GAE_BASE_URL=${IAP_BASE_URL}/appengine-${GAE_APP_ID}/services/${GAE_SERVICE}/versions/${GAE_VERSION}

3. Obtenez et définissez la stratégie IAM de la version à l'aide des commandes getIamPolicy et setIamPolicy indiquées ci-dessus.

GKE et Compute Engine

1. Exportez l'ID du projet de votre service de backend.

   export BACKEND_SERVICE_NAME=BACKEND_SERVICE_NAME

2. Obtenez la stratégie IAM de l'application App Engine à l'aide de la méthode getIamPolicy. Le bit de données vide à la fin transforme la requête curl en POST au lieu de GET.

   curl -i -H "Authentication: Bearer $(gcloud auth print-access-token)" \
    ${IAP_BASE_URL}/compute/services/${BACKEND_SERVICE_NAME}:getIamPolicy \
    -d ''

3. Ajoutez votre liaison conditionnelle IAM au fichier JSON de stratégie IAM. L'exemple suivant présente un fichier policy.json modifié qui lie le rôle iap.httpsResourceAccessor à deux utilisateurs, en leur accordant l'accès aux ressources sécurisées par IAP. Une condition IAM a été ajoutée pour leur permettre de n'accéder aux ressources que si les exigences du niveau d'accès ACCESS_LEVEL_NAME sont remplies et si le chemin de l'URL de la ressource commence par /. Il ne peut y avoir qu'une seule condition par liaison.

   
   Exemple de fichier policy.json

   {
   "policy": {
   "bindings": [
   {
   "role": "roles/iap.httpsResourceAccessor",
   "members": [
     "group":EXAMPLE_GROUP@GOOGLE.COM,
     "user:EXAMPLE_USER@GOOGLE.COM"
   ],
   "condition": {
     "expression": ""accessPolicies/ORGANIZATION_NUMBER/accessLevels/ACCESS_LEVEL_NAME" in request.auth.access_levels && request.path.startsWith("/")",
     "title": "CONDITION_NAME"
   }
   }
   ]
   }
   }

4. Définissez votre nouveau fichier policy.json à l'aide de la méthode setIamPolicy.

   curl -i -H "Content-Type:application/json" \
        -H "Authentication: Bearer $(gcloud auth print-access-token)" \
        ${IAP_BASE_URL}/compute/services/${BACKEND_SERVICE_NAME}:setIamPolicy \
        -d @${JSON_NEW_POLICY}