使用 Identity-Aware Proxy 设置情境感知访问权限

控制台

如需使用 Google Cloud 控制台添加条件绑定，请执行以下操作：

1. 转到 IAP 管理页面。

   转到 IAP 管理页面

2. 选中要更新 IAM 权限的资源旁的复选框。

3. 在右侧的信息面板上，点击添加主账号。

4. 在新建主账号框中，输入要为其分配角色的主账号。

5. 在选择角色下拉列表中，选择 IAP-secured Web App User 角色，并指定主账号需要满足什么访问权限级别条件才可以访问资源。

   • 要指定现有访问权限级别，请从访问权限级别下拉列表中进行选择。要查看现有访问权限级别，您需要选择 IAP-secured Web App User 角色，并且具备组织级权限。您必须拥有以下角色之一：
     • Access Context Manager Admin
     • Access Context Manager 编辑者
     • Access Context Manager 查看者
   • 要创建和管理访问权限级别，请使用 Access Context Manager。

6. 要为主账号添加更多角色，请点击添加其他角色。

7. 添加完角色后，点击保存。

   现在，您已经为资源添加了一个条件绑定。

要移除条件绑定，请执行以下操作：

1. 转到 IAP 管理页面。

   转到 IAP 管理页面

2. 选中要从中移除主账号 IAM 角色的资源旁的复选框。

3. 在右侧信息面板的角色/主账号下方，点击要为该主账号移除的角色。

4. 点击主账号旁边的移除。

5. 在显示的移除此主账号的角色对话框中，点击移除。要在选定资源上移除该主账号的所有非继承角色，请选中相应复选框，然后点击移除。

gcloud

目前，您只能使用 gcloud 工具设置项目级条件绑定。

如需设置条件绑定，请按照以下流程修改项目的 policy.yaml 文件：

1. 使用以下 gcloud 命令打开应用的 IAM 政策：

   gcloud iap web get-iam-policy --project=PROJECT_ID > policy.yaml

2. 修改 policy.yaml 文件以指定以下内容：

   • 要应用 IAM 条件的用户和组。
   • iap.httpsResourceAccessor 角色会授予他们访问资源的权限。

   • IAM 条件。

     以下代码段展示了仅指定了一个属性的 IAM 条件。如果用户和群组符合 ACCESS_LEVEL_NAME 访问权限级别要求，并且资源网址路径以 / 开头，此条件即会向其授予相应访问权限。

   bindings:
   ...
     - members:
       - group:EXAMPLE_GROUP@GOOGLE.COM
       - user:EXAMPLE_USER@GOOGLE.COM
       role: roles/iap.httpsResourceAccessor
       condition:
                 expression: "accessPolicies/ORGANIZATION_NUMBER/accessLevels/ACCESS_LEVEL_NAME" in
                             request.auth.access_levels && request.path.startsWith("/")
                 title: CONDITION_TITLE
   ...

3. 使用 set-iam-policy 命令将政策绑定到应用。

   gcloud iap web set-iam-policy --project=PROJECT_ID policy.yaml

您的 IAM 政策现已包含条件绑定。

API

如需修改应用的 policy.json 文件，请根据应用类型按照以下相应流程操作。如需详细了解如何使用 IAM API 管理访问权限政策，请参阅管理对受 IAP 保护的资源的访问权限。

在执行以下应用专用的 API 步骤之前，请先导出以下变量：

 export PROJECT_NUM=PROJECT_NUMBER
 export IAP_BASE_URL=https://iap.googleapis.com/v1/projects/${PROJECT_NUM}/iap_web
 # Replace POLICY_FILE.JSON with the name of JSON file to use for setIamPolicy
 export JSON_NEW_POLICY=POLICY_FILE.JSON
 

App Engine

1. 导出以下 App Engine 变量：

   # The APP_ID is usually the project ID
   export GAE_APP_ID=APP_ID
   export GAE_BASE_URL=${IAP_BASE_URL}/appengine-${GAE_APP_ID}

2. 使用 getIamPolicy 方法获取 App Engine 应用的 IAM 政策。最后的空数据位将 curl 请求转换为 POST，而不是 GET。

   curl -i -H "Authentication: Bearer $(gcloud auth print-access-token)" \
   ${GAE_BASE_URL}/:getIamPolicy -d ''

3. 将 IAM 条件绑定添加到 IAM 政策 JSON 文件。以下是经过修改的 policy.json 文件的示例，该文件会将 iap.httpsResourceAccessor 角色绑定到两个用户，并为他们授予对受 IAP 保护的资源的访问权限。只有在符合 ACCESS_LEVEL_NAME 访问权限级别要求，并且资源网址路径以 / 开头时，添加 IAM 条件才会向这些用户授予对资源的访问权限。每个绑定只能有一个条件。
   
   policy.json 文件示例

   {
   "policy": {
   "bindings": [
   {
     "role": "roles/iap.httpsResourceAccessor",
     "members": [
         "group:EXAMPLE_GROUP@GOOGLE.COM",
         "user:EXAMPLE_USER@GOOGLE.COM"
     ],
     "condition": {
       "expression": ""accessPolicies/ORGANIZATION_NUMBER/accessLevels/ACCESS_LEVEL_NAME" in request.auth.access_levels && request.path.startsWith("/")",
       "title": "CONDITION_NAME"
     }
   }
   ]
   }
   }

4. 使用 setIamPolicy 方法设置新的 policy.json 文件。

   curl -i -H "Authentication: Bearer $(gcloud auth print-access-token)" \
   ${GAE_BASE_URL}:setIamPolicy -d @${JSON_NEW_POLICY}

App Engine 服务和版本

您还可以更新 App Engine 服务、所有版本或特定服务版本的 IAM 政策。要更新特定服务版本的 Cloud IAM 政策，请执行以下操作：

1. 导出以下附加变量。

   export GAE_SERVICE=SERVICE_NAME
   export GAE_VERSION=VERSION_NAME

2. 更新导出的 GAE_BASE_URL 变量。

   export GAE_BASE_URL=${IAP_BASE_URL}/appengine-${GAE_APP_ID}/services/${GAE_SERVICE}/versions/${GAE_VERSION}

3. 使用上面显示的 getIamPolicy和 setIamPolicy 命令获取并设置版本的 IAM 政策。

GKE 和 Compute Engine

1. 导出后端服务的项目 ID。

   export BACKEND_SERVICE_NAME=BACKEND_SERVICE_NAME

2. 使用 getIamPolicy 方法获取 Compute Engine 应用的 IAM 政策。最后的空数据位将 curl 请求转换为 POST，而不是 GET。

   curl -i -H "Authentication: Bearer $(gcloud auth print-access-token)" \
    ${IAP_BASE_URL}/compute/services/${BACKEND_SERVICE_NAME}:getIamPolicy \
    -d ''

3. 将 IAM 条件绑定添加到 IAM 政策 JSON 文件。以下是经过修改的 policy.json 文件的示例，该文件会将 iap.httpsResourceAccessor 角色绑定到两个用户，并为他们授予对受 IAP 保护的资源的访问权限。只有在符合 ACCESS_LEVEL_NAME 访问权限级别要求，并且资源网址路径以 / 开头时，添加 IAM 条件才会向这些用户授予对资源的访问权限。每个绑定只能有一个条件。

   
   policy.json 文件示例

   {
   "policy": {
   "bindings": [
   {
   "role": "roles/iap.httpsResourceAccessor",
   "members": [
     "group":EXAMPLE_GROUP@GOOGLE.COM,
     "user:EXAMPLE_USER@GOOGLE.COM"
   ],
   "condition": {
     "expression": ""accessPolicies/ORGANIZATION_NUMBER/accessLevels/ACCESS_LEVEL_NAME" in request.auth.access_levels && request.path.startsWith("/")",
     "title": "CONDITION_NAME"
   }
   }
   ]
   }
   }

4. 使用 setIamPolicy 方法设置新的 policy.json 文件。

   curl -i -H "Content-Type:application/json" \
        -H "Authentication: Bearer $(gcloud auth print-access-token)" \
        ${IAP_BASE_URL}/compute/services/${BACKEND_SERVICE_NAME}:setIamPolicy \
        -d @${JSON_NEW_POLICY}