IAP 맞춤설정

이 문서에서는 IAP(Identity-Aware Proxy) 설정을 맞춤설정하는 방법을 설명합니다. 이러한 설정으로 다음과 같은 동작을 제어할 수 있습니다.

• GKE Enterprise와 Istio on Google Kubernetes Engine의 호환성
• CORS 실행 전 요청 처리
• 사용자 인증 방식
• 액세스가 거부되면 사용자에게 표시되는 오류 페이지

설정 관리

Google Cloud 콘솔, IAP API, Google Cloud CLI를 사용하여 부하 분산기 및 App Engine 앱에서 IAP 설정을 보고 업데이트할 수 있습니다.

폴더, 프로젝트, 조직을 포함한 모든 리소스의 IAP 설정을 업데이트하려면 Google Cloud CLI 또는 API를 사용합니다.

IAP에서 설정을 관리하려면 다음 안내를 따르세요.

gcloud iap settings get --project=PROJECT-ID

gcloud iap settings get --folder=FOLDER-ID

gcloud iap settings get --organization=ORGANIZATION-ID

gcloud iap settings get --project=PROJECT-ID \
  --resource-type=RESOURCE-TYPE-NAME

gcloud iap settings set SETTING_FILE --project=PROJECT-ID \
  --resource-type=RESOURCE-TYPE-NAME

https://iap.googleapis.com/v1/projects/PROJECT-ID/iap_web/appengine-APP-ID/services/SERVICE-ID/versions/VERSION-ID:iapSettings

https://iap.googleapis.com/v1/projects/PROJECT-ID:iapSettings

https://iap.googleapis.com/v1/folders/FOLDER-ID:iapSettings

https://iap.googleapis.com/v1/organizations/ORGANIZATION-ID:iapSettings

설정의 액세스 제어 이해

IAP 설정을 보고 수정하려면 특정 권한이 필요합니다. 아래 표에는 각 리소스 유형의 설정을 읽고 수정하는 데 필요한 권한이 나와 있습니다. 다양한 리소스 유형에 대한 설명은 리소스 및 권한을 참조하세요.

IAP 설정 관리자(roles/iap.settingsAdmin) 역할은 프로젝트 편집자(roles/editor)와 마찬가지로 이러한 모든 권한을 부여합니다. 프로젝트 뷰어(roles/viewer)는 모든 getSettings 권한을 부여합니다.

IAM 역할 부여에 대한 자세한 내용은 액세스 권한 부여, 변경, 취소를 참조하세요.

IAP 설정 맞춤설정

IAP는 다음과 같은 맞춤설정을 제공합니다.

프로젝트 수준 또는 낮은 IAP 리소스 수준에서 설정을 적용할 수 있습니다.

웹 기반 IAP 리소스의 설정은 구성할 수 있지만 TCP 전달을 위한 IAP로 액세스하는 리소스는 구성할 수 없습니다.

예를 들어 access_settings.cors_settings.allow_http_options를 사용하여 다음과 같이 맞춤설정을 구성할 수 있습니다.

access_settings:
  cors_settings:
    allow_http_options: "false"

{
  "access_settings": {
    "cors_settings": {
      "allow_http_options": "false"
    }
  }
}

다음 섹션에서는 각 설정에 대해 자세히 설명합니다.

HTTP OPTIONS 요청 허용(CORS 실행 전 요청)

웹의 동일 출처 정책은 브라우저가 웹사이트 간에 AJAX 요청을 보내지 못하도록 차단합니다. 기본적으로 한 출처에서 제공되는 페이지의 자바스크립트는 AJAX를 사용하여 다른 출처에서 호스팅된 IAP로 보안된 앱에 요청을 보낼 수 없습니다.

경우에 따라 브라우저는 자동으로 요청을 시도하지만 Access-Control-Allow-Origin 헤더를 포함하지 않은 경우 응답 콘텐츠를 삭제합니다. 이러한 유형의 요청을 허용하려면 이 헤더를 앱의 응답에 포함하세요.

다른 경우, 브라우저는 교차 출처 요청을 보내기 전에 HTTP OPTIONS 요청 유형인 CORS 실행 전 요청을 보냅니다. 앱이 적절한 실행 전 응답(필수 Access-Control-* 응답 헤더 포함)으로 응답하지 않으면 브라우저는 오류로 요청을 차단합니다. 또한 실행 전 요청은 인증 사용자 인증 정보(예: IAP 세션 쿠키)와 함께 전송되지 않으므로 IAP는 오류와 함께 응답합니다.

이러한 요청을 허용하려면 다음 안내를 따르세요.

1. OPTIONS 요청에 응답하는 코드를 앱에 추가합니다.

2. IAP가 OPTIONS 요청을 애플리케이션으로 전달하도록 access_settings.cors_settings.allow_http_options 설정을 true로 변경합니다.

Google Workspace 도메인을 사용하여 인증

특정 Google Workspace 도메인의 구성원만 앱을 사용하는 경우 IAP를 구성하여 인증 흐름을 최적화할 수 있습니다. 이렇게 하면 다음과 같은 몇 가지 장점이 있습니다.

• 사용자가 여러 계정(예: 직장 계정 및 개인 계정)으로 로그인한 경우 시스템은 계정 선택 UI를 표시하는 대신 직장 계정을 자동으로 선택합니다.

• 사용자가 Google 계정에 로그인하지 않은 경우 로그인 UI는 자동으로 이메일 주소의 도메인 부분을 채웁니다(예: 사용자는 alice@example.com 대신 alice만 입력하면 됨).

• Google Workspace 도메인이 타사 싱글 사인온(SSO) 제공업체를 사용하도록 구성된 경우, 시스템에서 Google이 아닌 커스텀 로그인 페이지가 표시됩니다.

이 동작을 사용 설정하려면 access_settings.oauth_settings.login_hint 값을 Google Workspace 도메인 이름(예: example.com)으로 설정합니다. 도메인 소유권이 확인되어야 함: 소유한 임의의 인터넷 DNS 도메인을 사용할 수 없습니다. (Google Workspace 기본 또는 보조 도메인으로 추가된 도메인이 확인되어 여기에서 사용할 수 있습니다.)

도메인 외부에서 사용자를 인증해야 하는 경우 프로그래매틱 인증을 사용하면 됩니다.

자세한 내용은 OpenID Connect 문서를 참조하세요.

커스텀 액세스 거부됨 오류 페이지 설정

이 필드에서 정책에 의해 액세스가 거부될 때마다 기본 IAP 오류 페이지 대신 커스텀 페이지로 리디렉션하는 URL을 설정할 수 있습니다.

이 기능을 사용하여 문제 해결 URL을 삽입할 수도 있습니다. 자세한 내용은 커스텀 액세스 거부 오류 페이지의 문제 해결 URL 사용 설정을 참조하세요.

GKE Enterprise 및 Istio RCToken 메시 ID 발급

GKE에서 Istio를 사용하는 경우 Istio 호환 RCToken을 생성하도록 IAP를 구성할 수 있습니다. 이 필드가 비어 있지 않은 문자열로 설정된 경우 IAP는 RCToken이 포함된 Ingress-Authorization HTTP 헤더를 추가합니다. aud 클레임은 필드 값으로 설정됩니다.

Identity Platform으로 인증

기본적으로 IAP는 Google의 기본 ID 시스템을 사용합니다. 이 필드가 설정되면 IAP는 Identity Platform을 대신 사용하여 사용자를 인증합니다.

리소스 계층 구조의 설정 상속 이해

IAP는 항상 특정 웹 서비스 버전의 요청을 평가합니다. 이 유형의 리소스는 리소스 계층 구조의 최하위 수준에 있으며, 다음과 같습니다.

- Organization
  - Folder
    - Project
      - All web services
        - Web service type
          - Web service
            - Web service version

웹 서비스 버전에 적용할 설정을 결정하기 위해 IAP는 기본 값 세트로 시작한 다음 계층 구조를 위에서 아래로 이동합니다. 설정은 찾은 대로 적용되므로 낮은 수준으로 설정한 값은 높은 수준으로 설정한 값보다 우선 적용됩니다. 예를 들어, 프로젝트 수준에서 access_settings.cors_settings.allow_http_options이 true로 설정되고 서비스 수준에서 false로 설정되면 유효 값은 false가 됩니다.

IAP 리소스 계층 구조에 대한 자세한 내용은 리소스 및 권한을 참조하세요.