Erneute IAP-Authentifizierung

Mit der erneuten IAP-Authentifizierung können Inhaber von Diensten und Anwendungen oderGoogle Cloud -Administratoren festlegen, dass sich authentifizierte Endnutzer nach einer bestimmten Zeit neu authentifizieren müssen, wenn sie auf einen durch IAP geschützten Dienst oder eine durch IAP geschützte Anwendung zugreifen. Sie begrenzt den Zeitraum, in dem ein Nutzer auf den IAP-geschützten Dienst oder die Anwendung zugreifen kann, bevor er aufgefordert wird, sich noch einmal zu authentifizieren.

Die erneute IAP-Authentifizierung soll die Richtlinien zur erneuten Authentifizierung für IAP-geschützte Dienste und Anwendungen erzwingen. Das kann für wichtige Dienste und Anwendungen sinnvoll sein, die vertrauliche Informationen verarbeiten. Sie können beispielsweise festlegen, dass Nutzer, die auf eine wichtige HR-Anwendung zugreifen, sich stündlich mit einem zweiten Faktor neu authentifizieren müssen.

Unterstützte Methoden zur erneuten Authentifizierung

Sie können folgende Methoden verwenden, um die Einstellungen für die erneute Authentifizierung zu verwalten:

• Anmeldung: IAP erzwingt die erneute Authentifizierung der geschützten Anwendung und Nutzer müssen sich noch einmal anmelden.
• Sicherer Schlüssel: Endnutzer müssen sich mit ihrer konfigurierten Zwei-Faktor-Authentifizierung auf Grundlage eines Sicherheitsschlüssels noch einmal authentifizieren.
• Registrierte zweite Faktoren: Endnutzer müssen sich mit einer der registrierten Methoden zur Zwei-Faktor-Authentifizierung noch einmal authentifizieren.

Weitere Informationen finden Sie unter IapSettings.

Richtlinie für die erneute Authentifizierung einrichten

reauthSettings sind ein Teil von IapSettings und können daher für jeden Ressourcentyp in der Ressourcenhierarchie festgelegt werden. Sie können reauthSettings für einen Dienst oder eine Anwendung auf Organisations-, Ordner-, Projekt- oder Dienstebene festlegen, um Einschränkungen anzuwenden. Sie können beispielsweise die Sitzungslänge für alle Anwendungen in einer Organisation oder für eine bestimmte Anwendung auf maximal eine Stunde begrenzen.

Es gibt zwei Richtlinientypen, mit denen Sie die erneute Authentifizierung festlegen können:

• Minimum: Wenn der Richtlinientyp für eine Ressource, z. B. eine Organisation, auf MINIMUM festgelegt ist, werden die Einstellungen für die erneute Authentifizierung bei der Auswertung der Ressource auf niedrigerer Ebene, z. B. eines Ordners, zusammengeführt. Wenn die Ressource auf niedrigerer Ebene keine Einstellungen für die erneute Authentifizierung hat, sind die Einstellungen für die Zusammenführung die nicht leeren Einstellungen der Ressource auf höherer Ebene. Andernfalls wird die kürzere Sitzungsdauer und die Reauthentifizierungsmethode mit der höheren Priorität zwischen den beiden Ressourcen verwendet. Der Richtlinientyp ist immer MINIMUM. Die zusammengeführten Einstellungen für die erneute Authentifizierung werden mit den Einstellungen für die erneute Authentifizierung der nächsten untergeordneten Ressource, z. B. eines Projekts, zusammengeführt.

  Die Prioritätsreihenfolge der drei unterstützten Methoden (von der höchsten zur niedrigsten) ist Secure key, Enrolled second factors und Login.

• Standard: Wenn der Richtlinientyp für eine Ressource wie eine Organisation auf DEFAULT festgelegt ist, wird bei der Auswertung der Einstellung für die erneute Authentifizierung für die Ressource auf niedrigerer Ebene, z. B. einen Ordner, die Einstellung für die Ressource auf niedrigerer Ebene verwendet, sofern sie konfiguriert ist. Andernfalls wird die Einstellung für die erneute Authentifizierung für die Ressource auf höherer Ebene angewendet.

Bei beiden Richtlinientypen wird der Bewertungsprozess wiederholt, um die reauthSettings für den Zieldienst oder die Zielanwendung zu ermitteln. In den folgenden Beispielen sehen Sie die Einstellungen vor und nach der Auswertung. Bei der Auswertung werden der Ordner und die Organisation reauthSettings zusammengeführt, wodurch sich der Richtlinientyp des Ordners in MINIMUM ändert. Die zusammengeführten Einstellungen werden dann verwendet, um sie mit dem Dienst oder der Anwendung reauthSettings zusammenzuführen.

Organisation IapSettings:

accessSettings:
  reauthSettings:
    method: "ENROLLED_SECOND_FACTORS"
    maxAge: "3600s"
    policyType: "MINIMUM"

Ordner IapSettings:

accessSettings:
  reauthSettings:
    method: "LOGIN"
    maxAge: "1200s"
    policyType: "DEFAULT"

Dienst oder Anwendung IapSettings:

accessSettings:
  reauthSettings:
    method: "SECURE_KEY"
    maxAge: "7200s"
    policyType: "DEFAULT"

Einstellungen nach dem Zusammenführen:

Organisation IapSettings:

accessSettings:
  reauthSettings:
    method: "ENROLLED_SECOND_FACTORS"
    maxAge: "3600s"
    policyType: "MINIMUM"

Ordner IapSettings:

accessSettings:
  reauthSettings:
    method: "ENROLLED_SECOND_FACTORS"
    maxAge: "1200s"
    policyType: "MINIMUM"

Dienst oder Anwendung IapSettings:

accessSettings:
  reauthSettings:
    method: "SECURE_KEY"
    maxAge: "1200s"
    policyType: "MINIMUM"

Wenn im Beispiel der Richtlinientyp jeder Ressource auf DEFAULT festgelegt ist, wird die reauthSettings des Dienstes oder der Anwendung verwendet.

MaxAge

Verwenden Sie den Parameter "MaxAge", um anzugeben, wie oft ein Endnutzer sich neu authentifizieren muss. Dieser wird in Sekunden angegeben. Zum Festlegen einer Richtlinie für eine erneute Authentifizierung von einer Stunde setzen Sie beispielsweise den Sekundenwert auf 3.600, wie im folgenden Beispiel gezeigt:

accessSettings:
  reauthSettings:
    method: "LOGIN"
    maxAge: "3600s"
    policyType: "MINIMUM"

Der Mindestwert für maxAge beträgt 5 Minuten.

So legen Sie eine Richtlinie für die erneute Authentifizierung fest:

gcloud iap settings set SETTING_FILE [--organization=ORGANIZATION --folder=FOLDER --project=/PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE --version=VERSION

gcloud iap settings set SETTING_FILE --organization=ORGANIZATION

gcloud iap settings set SETTING_FILE --folder=FOLDER

gcloud iap settings set SETTING_FILE --project=PROJECT --resource-type=iap_web

gcloud iap settings set SETTING_FILE --project=PROJECT --resource-type=app-engine --service=SERVICE

accessSettings:
  reauthSettings:
    method: "LOGIN"
    maxAge: "3600s"
    policyType: "MINIMUM"

cat << EOF > iap_settings.json
{
  "access_settings": {
      "reauth_settings": {
            "method": "LOGIN",
            "maxAge": "300s",
            "policy_type": "DEFAULT"
        }
    }
}
EOF

gcloud iap settings get [--organization=ORGANIZATION --folder=FOLDER --project=/PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE --version=VERSION]

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Accept: application/json" \
-H "Content-Type: application/json" \
-d @iap_settings.json \
"https://iap.googleapis.com/v1/RESOURCE_NAME:iapSettings?updateMask=iapSettings.accessSettings.reauthSettings"

Informationen zu den Anmeldedaten für die erneute Authentifizierung

Nach einer erfolgreichen erneuten Authentifizierung erstellt IAP ein Cookie im Browser des Endnutzers. Damit Nutzer nicht zu häufig eine erneute Authentifizierung bei Verwendung ähnlicher Anwendungen durchführen müssen, wird das Cookie für die private Top-Level-Domain festgelegt und ist für die gesamte Domain auf privater Ebene gültig.

Beispiel: foo.example.com ist eine durch IAP gesicherte Ressource und hat eine IAP-Richtlinie zur erneuten Authentifizierung. Nach einer erfolgreichen erneuten Authentifizierung legt IAP ein Cookie für example.com als private Top-Level-Domain fest. Apps von derselben privaten Top-Level-Domain wie bar.example.com verwenden dieselben Anmeldedaten zur erneuten Authentifizierung und der Nutzer wird nicht aufgefordert, sich noch einmal zu authentifizieren, solange die Anmeldedaten gültig sind.

Bei URLs wie myapp.appspot.com ist appspot.com eine öffentliche Domain. Daher ist die private Top-Level-Domain myapp.appspot.com.

Bekannte Einschränkungen

• Die erneute Authentifizierung wird nur für Browserabläufe unterstützt. Der programmatische Nutzerkontozugriff wird nicht unterstützt. Beispielsweise gibt es für mobile und Desktop-Anwendungen keine Möglichkeit, Nutzer neu zu authentifizieren, da Ressourcen, die eine erneute Authentifizierung erfordern, nicht zugänglich sind.
• Dienstkonten und IAP-TCP sind von den Anforderungen zur erneuten Authentifizierung ausgenommen.
• Die erneute Authentifizierung funktioniert mit dem Identity and Access Management-Mitgliedstyp allUsers nicht.
• Externe Identitäten über Identity Platform werden für die erneuten Authentifizierung nicht unterstützt, da auf Ressourcen, die eine erneute Authentifizierung erfordern, nicht zugegriffen werden kann.
• Identitäten der Mitarbeiteridentitätsföderation werden für die IAP-Reauthentifizierung nicht unterstützt.