Configurare l'accesso sensibile al contesto con Identity-Aware Proxy

Console

Per aggiungere un'associazione condizionale utilizzando la console Google Cloud:

1. Vai alla pagina di amministrazione di IAP.

   Vai alla pagina di amministrazione di IAP

2. Seleziona la casella di controllo accanto alle risorse per le quali vuoi aggiornare le autorizzazioni IAM.

3. Nel riquadro Informazioni a destra, fai clic su Aggiungi entità.

4. Nella casella Nuova entità, inserisci le entità a cui vuoi assegnare un ruolo.

5. Nell'elenco a discesa Seleziona un ruolo, seleziona il ruolo Utente applicazione web con protezione IAP e specifica le condizioni del livello di accesso che le entità dovranno soddisfare per accedere alla risorsa.

   • Per specificare i livelli di accesso esistenti, selezionali dall'elenco a discesa Livelli di accesso. Devi selezionare il ruolo Utente applicazione web con protezione IAP e disporre delle autorizzazioni a livello di organizzazione per visualizzare i livelli di accesso esistenti. Devi disporre del ruolo assegnato uno dei seguenti ruoli:
     • Amministratore Gestore contesto accesso
     • Editor Gestore contesto accesso
     • Lettore Gestore contesto accesso
   • Per creare e gestire i livelli di accesso, utilizza Gestore contesto accesso.

6. Se vuoi aggiungere altri ruoli agli entità, fai clic su Aggiungi un altro ruolo.

7. Al termine dell'aggiunta dei ruoli, fai clic su Salva.

   Ora hai aggiunto un'associazione condizionale alla risorsa.

Per rimuovere un'associazione condizionale:

1. Vai alla pagina di amministrazione di IAP.

   Vai alla pagina di amministrazione di IAP

2. Seleziona la casella di controllo accanto alla risorsa da cui vuoi rimuovere il ruolo IAM di un principale.

3. Nel riquadro Informazioni a destra, fai clic sul ruolo da rimuovere dall'entità in Ruolo / entità.

4. Fai clic su Rimuovi accanto all'entità.

5. Nella finestra di dialogo Rimuovi ruolo dall'entità visualizzata, fai clic su Rimuovi. Per rimuovere tutti i ruoli non ereditati dall'entità nella risorsa selezionata, seleziona la casella di controllo prima di fare clic su Rimuovi.

gcloud

Al momento, puoi utilizzare lo strumento gcloud solo per impostare le associazioni condizionali a livello di progetto.

Per impostare le associazioni condizionali, modifica il file policy.yaml del progetto seguendo la procedura riportata di seguito:

1. Apri il criterio IAM per l'app utilizzando il seguente comando gcloud:

   gcloud iap web get-iam-policy --project=PROJECT_ID > policy.yaml

2. Modifica il file policy.yaml per specificare quanto segue:

   • Gli utenti e i gruppi a cui vuoi applicare la condizione IAM.
   • Il ruolo iap.httpsResourceAccessor per concedere l'accesso alle risorse.

   • La condizione IAM.

     Lo snippet seguente mostra una condizione IAM con un solo attributo specificato. Questa condizione concede l'accesso all'utente e al gruppo se i requisiti del livello di accesso ACCESS_LEVEL_NAME sono soddisfatti e il percorso dell'URL della risorsa inizia con /.

   bindings:
   ...
     - members:
       - group:EXAMPLE_GROUP@GOOGLE.COM
       - user:EXAMPLE_USER@GOOGLE.COM
       role: roles/iap.httpsResourceAccessor
       condition:
                 expression: "accessPolicies/ORGANIZATION_NUMBER/accessLevels/ACCESS_LEVEL_NAME" in
                             request.auth.access_levels && request.path.startsWith("/")
                 title: CONDITION_TITLE
   ...

3. Associa il criterio all'applicazione utilizzando il comando set-iam-policy.

   gcloud iap web set-iam-policy --project=PROJECT_ID policy.yaml

La policy IAM ora include un'associazione condizionale.

API

Per modificare il file policy.json dell'app, segui la procedura riportata di seguito per il tipo di app. Per ulteriori informazioni sull'utilizzo dell'API IAM per gestire i criteri di accesso, consulta Gestire l'accesso alle risorse protette da IAP.

Prima di svolgere i passaggi dell'API specifici per l'applicazione riportati di seguito, esporta le seguenti variabili:

 export PROJECT_NUM=PROJECT_NUMBER
 export IAP_BASE_URL=https://iap.googleapis.com/v1/projects/${PROJECT_NUM}/iap_web
 # Replace POLICY_FILE.JSON with the name of JSON file to use for setIamPolicy
 export JSON_NEW_POLICY=POLICY_FILE.JSON
 

App Engine

1. Esporta le seguenti variabili App Engine:

   # The APP_ID is usually the project ID
   export GAE_APP_ID=APP_ID
   export GAE_BASE_URL=${IAP_BASE_URL}/appengine-${GAE_APP_ID}

2. Recupera il criterio IAM per l'app App Engine utilizzando il metodo getIamPolicy. Il bit di dati vuoto alla fine trasforma la richiesta curl in POST anziché GET.

   curl -i -H "Authentication: Bearer $(gcloud auth print-access-token)" \
   ${GAE_BASE_URL}/:getIamPolicy -d ''

3. Aggiungi la associazione condizionale IAM al file JSON del criterio IAM. Di seguito è riportato un esempio di file policy.json modificato che associa il ruolo iap.httpsResourceAccessor a due utenti, concedendo loro l'accesso alle risorse protette da IAP. È stata aggiunta una condizione IAM per concedere l'accesso alle risorse solo se è soddisfatto il requisito del livello di accesso ACCESS_LEVEL_NAME e il percorso dell'URL della risorsa inizia con /. Può essere presente una sola condizione per associazione.
   
   File policy.json di esempio

   {
   "policy": {
   "bindings": [
   {
     "role": "roles/iap.httpsResourceAccessor",
     "members": [
         "group:EXAMPLE_GROUP@GOOGLE.COM",
         "user:EXAMPLE_USER@GOOGLE.COM"
     ],
     "condition": {
       "expression": ""accessPolicies/ORGANIZATION_NUMBER/accessLevels/ACCESS_LEVEL_NAME" in request.auth.access_levels && request.path.startsWith("/")",
       "title": "CONDITION_NAME"
     }
   }
   ]
   }
   }

4. Imposta il nuovo file policy.json utilizzando il metodo setIamPolicy.

   curl -i -H "Authentication: Bearer $(gcloud auth print-access-token)" \
   ${GAE_BASE_URL}:setIamPolicy -d @${JSON_NEW_POLICY}

Versioni e servizi App Engine

Puoi anche aggiornare il criterio IAM di un servizio App Engine, di tutte le versioni o di una versione specifica di un servizio. Per farlo per una versione specifica di un servizio:

1. Esporta le seguenti variabili aggiuntive.

   export GAE_SERVICE=SERVICE_NAME
   export GAE_VERSION=VERSION_NAME

2. Aggiorna la variabile GAE_BASE_URL esportata.

   export GAE_BASE_URL=${IAP_BASE_URL}/appengine-${GAE_APP_ID}/services/${GAE_SERVICE}/versions/${GAE_VERSION}

3. Recupera e imposta il criterio IAM per la versione utilizzando i comandi getIamPolicy e setIamPolicy mostrati sopra.

GKE e Compute Engine

1. Esporta l'ID progetto del servizio di backend.

   export BACKEND_SERVICE_NAME=BACKEND_SERVICE_NAME

2. Recupera il criterio IAM per l'app Compute Engine utilizzando il metodo getIamPolicy. Il bit di dati vuoto alla fine trasforma la richiesta curl in POST anziché GET.

   curl -i -H "Authentication: Bearer $(gcloud auth print-access-token)" \
    ${IAP_BASE_URL}/compute/services/${BACKEND_SERVICE_NAME}:getIamPolicy \
    -d ''

3. Aggiungi la associazione condizionale IAM al file JSON del criterio IAM. Di seguito è riportato un esempio di file policy.json modificato che associa il ruolo iap.httpsResourceAccessor a due utenti, concedendo loro l'accesso alle risorse protette da IAP. È stata aggiunta una condizione IAM per concedere l'accesso alle risorse solo se è soddisfatto il requisito del livello di accesso ACCESS_LEVEL_NAME e il percorso dell'URL della risorsa inizia con /. Può essere presente una sola condizione per associazione.

   
   File policy.json di esempio

   {
   "policy": {
   "bindings": [
   {
   "role": "roles/iap.httpsResourceAccessor",
   "members": [
     "group":EXAMPLE_GROUP@GOOGLE.COM,
     "user:EXAMPLE_USER@GOOGLE.COM"
   ],
   "condition": {
     "expression": ""accessPolicies/ORGANIZATION_NUMBER/accessLevels/ACCESS_LEVEL_NAME" in request.auth.access_levels && request.path.startsWith("/")",
     "title": "CONDITION_NAME"
   }
   }
   ]
   }
   }

4. Imposta il nuovo file policy.json utilizzando il metodo setIamPolicy.

   curl -i -H "Content-Type:application/json" \
        -H "Authentication: Bearer $(gcloud auth print-access-token)" \
        ${IAP_BASE_URL}/compute/services/${BACKEND_SERVICE_NAME}:setIamPolicy \
        -d @${JSON_NEW_POLICY}