Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
In diesem Artikel wird gezeigt, wie Sie Identity-Aware Proxy (IAP) für die Verwendung externer Identitäten konfigurieren. Durch die Kombination von IAP mit Identity Platform können Sie Nutzer neben dem Google-Konto auch über eine Vielzahl von Identitätsanbietern wie (wie OAuth, SAML, OIDC usw.) authentifizieren.
Identity Platform aktivieren und konfigurieren
IAP verwendet zur Authentifizierung externer Identitäten Identity Platform.
In der Kurzanleitung für Identity Platform wird gezeigt, wie Sie Identity Platform aktivieren.
Wenn Sie mehrere Mandanten nutzen möchten, folgen Sie den Schritten unter Erste Schritte mit Mehrinstanzenfähigkeit.
Wenn Sie keine Ressourcen isolieren müssen, können Sie diesen Schritt überspringen und Ihre Anbieter insgesamt auf Projektebene konfigurieren. Mithilfe der Übersicht zu externen Identitäten können Sie feststellen, ob Sie die Mehrinstanzenfähigkeit aktivieren sollten.
Schließlich müssen Sie Anbieter aktivieren. In der Kurzanleitung wird gezeigt, wie die einfache Authentifizierung mit Nutzernamen und Passwort angewendet wird. Identity Platform unterstützt jedoch eine Vielzahl von Anbietertypen, darunter:
E-Mail-Adresse und Passwort
OAuth (z. B. Google, Facebook oder Twitter und weitere)
SAML
OIDC
Telefonnummer
Anonym
Weitere Informationen zur Konfiguration anderer Anbieter finden Sie in der Dokumentation zu Identity Platform. Beachten Sie, dass die Authentifizierung durch Telefonnummer und die anonyme Authentifizierung für die Mehrinstanzenfähigkeit nicht unterstützt wird.
Die Anmeldung ohne Passwort über einen E-Mail-Link wird bei In-App-Abos nicht unterstützt.
IAP für die Verwendung externer Identitäten aktivieren
Wenn Sie Identity Platform eingerichtet haben, können Sie IAP für die Authentifizierung konfigurieren.
Öffnen Sie in der Console die Seite „IAP“. Google Cloud
Zur Seite „IAP“
Wählen Sie das Projekt aus, mit dem Sie Identity Platform konfiguriert haben. Die Verwendung unterschiedlicher Projekte wird nicht unterstützt.
Wählen Sie den Tab Anwendungen aus.
Suchen Sie den Dienst, für den Sie den Zugriff mit IAP beschränken möchten.
Stellen Sie den Schieberegler in der IAP-Spalte auf An.
Klicken Sie in der Seitenleiste im Feld Externe Identitäten zur Autorisierung verwenden auf Start.
Bestätigen Sie Ihre Auswahl.
Gehen Sie in der Seitenleiste von Identity Platform so vor:
Wählen Sie aus, ob Sie eine eigene Anmeldeseite erstellen oder dieser IAP erstellen lassen möchten.
Sie müssen IAPs erst einmal die Anmeldeseite erstellen lassen, damit Sie gleich loslegen können. Sie müssen keine zusätzlichen Dienste bereitstellen oder neuen Code schreiben und geringfügige Anpassungen mit JSON vornehmen.
Weitere Informationen finden Sie unter Authentifizierungs-UI in Cloud Run hosten.
Falls Sie sich für die Erstellung einer eigenen Benutzeroberfläche entschieden haben, geben Sie eine Authentifizierungs-URL ein.
IAP leitet nicht authentifizierte Anfragen an diese URL weiter.
Das Einfügen Ihres API-Schlüssels in die URL ist optional. Wenn Sie keinen Schlüssel angeben, hängt die Google Cloud Console automatisch den Standardschlüssel an.
Wählen Sie aus, ob Projektanbieter oder Mandanten verwendet werden soll.
Aktivieren Sie die Kästchen der Anbieter oder Mandanten, die aktiviert werden sollen. Wählen Sie Anbieter konfigurieren aus, wenn Sie Ihre Anbieter oder Mandanten ändern müssen.
Klicken Sie auf Speichern.
Das wars! IAP ist nun so konfiguriert, dass Nutzer mit externen Identitäten authentifiziert werden.
Zurück zu Google-Identitäten wechseln
Sie können IAM nicht für die Autorisierung mit externen Identitäten verwenden. Wenn Sie IAM-Identitäten ändern möchten, um IAM zu verwenden, gehen Sie so vor:
Kehren Sie in der Console zur Seite „IAP“ zurück. Google Cloud
Zur Seite „IAP“
Wählen Sie die Ressource aus, die für die Verwendung von IAP konfiguriert ist.
Öffnen Sie das Informationsfenster "Identity Platform".
Wählen Sie IAM zum Verwalten dieser Ressource verwenden aus.
Wenn Sie zurück zu Google-Identitäten wechseln, werden Ihre Authentifizierungs-URL sowie das zugehörige Projekt und die zugehörigen Mandanten gelöscht.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-08-18 (UTC)."],[[["\u003cp\u003eThis guide outlines how to configure Identity-Aware Proxy (IAP) to authenticate users using external identity providers like OAuth, SAML, OIDC, and others, beyond just Google accounts, by integrating with Identity Platform.\u003c/p\u003e\n"],["\u003cp\u003eIdentity Platform must be enabled and configured in the same project as IAP, and multi-tenancy setup may be necessary for resource isolation, depending on specific requirements.\u003c/p\u003e\n"],["\u003cp\u003eOnce Identity Platform is set up, IAP can be enabled for external identity authentication through the Google Cloud console, allowing users to choose between using a default IAP sign-in page or building a custom one.\u003c/p\u003e\n"],["\u003cp\u003eUsers can choose to use project providers or tenants and select which providers or tenants to enable within the IAP configuration settings to tailor the authentication experience.\u003c/p\u003e\n"],["\u003cp\u003eSwitching back from external identities to Google identities for IAP authentication is possible, but note that doing so will clear the authentication URL and any project or tenants settings.\u003c/p\u003e\n"]]],[],null,["# Enabling external identities\n\nThis article shows you how to configure Identity-Aware Proxy\n(IAP) to use external identities. By combining\nIAP and Identity Platform, you can authenticate users with a\nwide range of identity providers (such as OAuth, SAML, OIDC, and more),\ninstead of just Google accounts.\n\nEnabling and configuring Identity Platform\n------------------------------------------\n\nIAP uses Identity Platform to authenticate external identities.\nSee the [Quickstart for Identity Platform](/identity-platform/docs/quickstart-cicp)\nto learn how to enable it.\n\nIf you want to utilize multiple tenants, you'll also need to follow the steps in\n[Getting started with multi-tenancy](/identity-platform/docs/multi-tenancy-quickstart).\nIf you don't need to isolate resources, you can skip this step and configure\nall your providers at the project level. Consult the\n[overview on external identities](/iap/docs/external-identities) if you're unsure if you\nshould turn on multi-tenancy.\n\nFinally, you'll need to enable providers. The\n[quickstart](/identity-platform/docs/quickstart-cicp) shows how to use simple\nusername and password authentication, but Identity Platform supports a wide\nrange of provider types, including:\n\n- Email and password\n- OAuth (such as Google, Facebook, Twitter, and more)\n- SAML\n- OIDC\n- Phone number\n- Anonymous\n\nSee the rest of the [Identity Platform documentation](/identity-platform/docs)\nto learn how to configure other providers. Note that phone number and anonymous\nauthentication are not supported for use with multi-tenancy.\nPasswordless sign-in using an email link is not supported with\nIAP.\n\nEnabling IAP to use external identities\n---------------------------------------\n\nOnce you've set up Identity Platform, you can configure IAP\nto use it for authentication.\n\n1. Open the IAP page in the Google Cloud console. \n\n [Open the IAP page](https://console.cloud.google.com/security/iap)\n\n2. Select the same project that you configured Identity Platform with. Using\n different projects is not supported.\n\n3. Select the **Applications** tab.\n\n4. Locate the service you want to restrict access to by using\n IAP.\n\n5. Toggle the switch in the IAP column to **On**.\n\n6. In the side panel, click **Start** in the box labeled\n **Use external identities for authorization**.\n\n7. Confirm your selection.\n\n8. In the Identity Platform side panel:\n\n 1. Choose whether to build your own sign-in page, or have\n IAP create one for you.\n\n Letting IAP create the sign-in page is the fastest\n way to get started. You don't need to deploy additional services or\n write any new code, and can specify minor customizations using JSON.\n See [Hosting an authentication UI on Cloud Run](/iap/docs/cloud-run-sign-in)\n to learn more.\n\n **Domain restricted sharing:**\n If the project is subject to the [domain restricted sharing constraint in\n an organization policy](/resource-manager/docs/organization-policy/restricting-domains),\n you will be unable to create public services by\n default. You can use [tags](/run/docs/configuring/tags)\n and a conditional policy to exempt specific services from this constraint.\n For more information, see the blog post about\n [creating public Cloud Run services](https://cloud.google.com/blog/topics/developers-practitioners/how-create-public-cloud-run-services-when-domain-restricted-sharing-enforced)\n when domain restricted sharing is enforced.\n\n Building your own page is more complex, but gives you full control of\n the authentication flow and experience. See\n [Creating an authentication UI with FirebaseUI](/iap/docs/using-firebaseui) and\n [Creating a custom authentication UI](/iap/docs/create-custom-auth-ui)\n for more information.\n 2. If you chose to build your own UI, enter an **Authentication URL**.\n IAP will redirect unauthenticated requests it\n receives to this URL.\n\n Including your API key in the URL is optional. If you don't provide a\n key, the Google Cloud console will append your default key\n automatically.\n 3. Select whether to use **project providers** or **tenants**.\n\n 4. Check the boxes of the providers or tenants to enable. Select\n **Configure providers** if you need to modify your providers or tenants.\n\n9. Click **Save**.\n\nCongratulations! IAP is configured to authenticate users\nwith external identities.\n\nSwitching back to Google identities\n-----------------------------------\n\nYou cannot use IAM for authorization when using external\nidentities. If you want to switch back to Google identities so you can\nleverage IAM, follow these steps:\n\n1. Return to the IAP page in the Google Cloud console. \n\n [Open the IAP page](https://console.cloud.google.com/security/iap)\n\n2. Select the resource configured to use IAP.\n\n3. Open the Identity Platform information panel.\n\n4. Select **Use IAM to manage this resource**.\n\nNote that switching back to Google identities will clear your authentication URL\nand associated project and tenants.\n\nWhat's next\n-----------\n\n- [Host a sign-in page on Cloud Run](/iap/docs/cloud-run-sign-in).\n- [Create a sign-in page with FirebaseUI](/iap/docs/using-firebaseui).\n- [Create a custom sign-in page](/iap/docs/create-custom-auth-ui).\n- Gain a deeper understanding of how [external identities work with IAP](/iap/docs/external-identities)."]]
