使用 Identity-Aware Proxy 設定情境感知存取權

主控台

如要使用 Google Cloud 控制台新增條件繫結，請執行下列操作：

1. 前往 IAP 管理員頁面。

   前往 IAP 管理員頁面

2. 找出您要更新 IAM 權限的資源，然後選取資源旁的核取方塊。

3. 在右側的「資訊面板」中，按一下「新增主體」。

4. 在「New principal」(新增主體) 方塊中，輸入您要指派角色的主體。

5. 在「Select a role」(請選擇角色) 下拉式清單中，選取「IAP-secured Web App User」(受 IAP 保護的網路應用程式使用者) 角色，並指定主體必須符合哪些存取層級條件，才能存取資源。

   • 如要指定現有存取層級，請從 [Access levels] (存取層級) 下拉式清單中選取。您必須選取「IAP-secured Web App User」角色，並擁有機構層級權限，才能查看現有存取層級。您必須獲得下列其中一個角色：
     • Access Context Manager 管理員
     • Access Context Manager 編輯者
     • Access Context Manager 讀取者
   • 如要建立及管理存取層級，請使用 Access Context Manager。

6. 如果您要為主體新增更多角色，請按一下「新增其他角色」。

7. 新增完角色之後，點選 [Save] (儲存)。

   現在，您已將條件繫結新增至資源。

如要移除條件繫結，請執行下列操作：

1. 前往 IAP 管理員頁面。

   前往 IAP 管理員頁面

2. 找出您要從中移除主要對象 IAM 角色的資源，然後選取資源旁的核取方塊。

3. 在右側「Info panel」(資訊面板) 的「Role / Principal」下方，點選您要從主體身上移除的角色。

4. 按一下主體旁的「移除」。

5. 在隨即顯示的「Remove role from principal」對話方塊中，按一下「Remove」。如要針對已選取的資源移除主體的所有非沿用角色，請選取核取方塊，然後按一下「移除」。

gcloud

目前您只能使用 gcloud 工具設定專案層級條件繫結。

如要設定條件繫結，請按照下列流程編輯專案的 policy.yaml 檔案：

1. 使用下列 gcloud 指令開啟應用程式的 IAM 政策：

   gcloud iap web get-iam-policy --project=PROJECT_ID > policy.yaml

2. 編輯 policy.yaml 檔案，指定下列內容：

   • 您要套用 IAM 條件的使用者與群組。
   • 您要授予資源存取權的 iap.httpsResourceAccessor 角色。

   • IAM 條件。

     以下程式碼片段示範僅指定一個屬性的 IAM 條件。如果符合 ACCESS_LEVEL_NAME 存取層級要求，且資源網址路徑以 / 開頭，這個條件會授予使用者與群組存取權。

   bindings:
   ...
     - members:
       - group:EXAMPLE_GROUP@GOOGLE.COM
       - user:EXAMPLE_USER@GOOGLE.COM
       role: roles/iap.httpsResourceAccessor
       condition:
                 expression: "accessPolicies/ORGANIZATION_NUMBER/accessLevels/ACCESS_LEVEL_NAME" in
                             request.auth.access_levels && request.path.startsWith("/")
                 title: CONDITION_TITLE
   ...

3. 使用 set-iam-policy 指令將政策繫結至應用程式。

   gcloud iap web set-iam-policy --project=PROJECT_ID policy.yaml

現在，您的 IAM 政策已經包含條件繫結。

API

如要編輯應用程式的 policy.json 檔案，請依您應用程式的類型來執行下列程序。如要進一步瞭解如何使用 IAM API 管理存取政策，請參閱「管理受 IAP 保護資源的存取權」一文。

在執行下文的應用程式特定 API 步驟之前，請先匯出下列變數：

 export PROJECT_NUM=PROJECT_NUMBER
 export IAP_BASE_URL=https://iap.googleapis.com/v1/projects/${PROJECT_NUM}/iap_web
 # Replace POLICY_FILE.JSON with the name of JSON file to use for setIamPolicy
 export JSON_NEW_POLICY=POLICY_FILE.JSON
 

App Engine

1. 匯出下列 App Engine 變數：

   # The APP_ID is usually the project ID
   export GAE_APP_ID=APP_ID
   export GAE_BASE_URL=${IAP_BASE_URL}/appengine-${GAE_APP_ID}

2. 使用 getIamPolicy 方法取得 App Engine 應用程式的 IAM 政策。結尾的空資料位元會將 curl 要求轉換為 POST，而不是 GET。

   curl -i -H "Authentication: Bearer $(gcloud auth print-access-token)" \
   ${GAE_BASE_URL}/:getIamPolicy -d ''

3. 將 IAM 條件繫結新增至 IAM 政策 JSON 檔案。以下是已編輯的 policy.json 檔案範例。此檔案會將 iap.httpsResourceAccessor 角色繫結至兩個使用者，進而授予受 IAP 保護資源的存取權。系統已新增 IAM 條件，因此只會在使用者符合 ACCESS_LEVEL_NAME 存取層級要求且資源網址路徑以 / 開頭時，才會授予資源的存取權。每個繫結只能有一個條件。
   
   範例 policy.json 檔案

   {
   "policy": {
   "bindings": [
   {
     "role": "roles/iap.httpsResourceAccessor",
     "members": [
         "group:EXAMPLE_GROUP@GOOGLE.COM",
         "user:EXAMPLE_USER@GOOGLE.COM"
     ],
     "condition": {
       "expression": ""accessPolicies/ORGANIZATION_NUMBER/accessLevels/ACCESS_LEVEL_NAME" in request.auth.access_levels && request.path.startsWith("/")",
       "title": "CONDITION_NAME"
     }
   }
   ]
   }
   }

4. 使用 setIamPolicy 方法設定新的 policy.json 檔案。

   curl -i -H "Authentication: Bearer $(gcloud auth print-access-token)" \
   ${GAE_BASE_URL}:setIamPolicy -d @${JSON_NEW_POLICY}

App Engine 服務與版本

您也可以更新 App Engine 服務、所有版本或特定版本服務的 IAM 政策。如要針對特定版本服務執行此操作：

1. 匯出下列其他變數。

   export GAE_SERVICE=SERVICE_NAME
   export GAE_VERSION=VERSION_NAME

2. 更新匯出的 GAE_BASE_URL 變數。

   export GAE_BASE_URL=${IAP_BASE_URL}/appengine-${GAE_APP_ID}/services/${GAE_SERVICE}/versions/${GAE_VERSION}

3. 使用本文先前提供的 getIamPolicy 和 setIamPolicy 指令，取得並設定版本的 IAM 政策。

GKE 與 Compute Engine

1. 匯出後端服務的專案 ID。

   export BACKEND_SERVICE_NAME=BACKEND_SERVICE_NAME

2. 使用 getIamPolicy 方法取得 Compute Engine 應用程式的 IAM 政策。結尾的空資料位元會將 curl 要求轉換為 POST，而不是 GET。

   curl -i -H "Authentication: Bearer $(gcloud auth print-access-token)" \
    ${IAP_BASE_URL}/compute/services/${BACKEND_SERVICE_NAME}:getIamPolicy \
    -d ''

3. 將 IAM 條件繫結新增至 IAM 政策 JSON 檔案。以下是已編輯的 policy.json 檔案範例。此檔案會將 iap.httpsResourceAccessor 角色繫結至兩個使用者，進而授予受 IAP 保護資源的存取權。系統已新增 IAM 條件，因此只會在使用者符合 ACCESS_LEVEL_NAME 存取層級要求且資源網址路徑以 / 開頭時，才會授予資源的存取權。每個繫結只能有一個條件。

   
   範例 policy.json 檔案

   {
   "policy": {
   "bindings": [
   {
   "role": "roles/iap.httpsResourceAccessor",
   "members": [
     "group":EXAMPLE_GROUP@GOOGLE.COM,
     "user:EXAMPLE_USER@GOOGLE.COM"
   ],
   "condition": {
     "expression": ""accessPolicies/ORGANIZATION_NUMBER/accessLevels/ACCESS_LEVEL_NAME" in request.auth.access_levels && request.path.startsWith("/")",
     "title": "CONDITION_NAME"
   }
   }
   ]
   }
   }

4. 使用 setIamPolicy 方法設定新的 policy.json 檔案。

   curl -i -H "Content-Type:application/json" \
        -H "Authentication: Bearer $(gcloud auth print-access-token)" \
        ${IAP_BASE_URL}/compute/services/${BACKEND_SERVICE_NAME}:setIamPolicy \
        -d @${JSON_NEW_POLICY}