Mengaktifkan IAP untuk Cloud Run

Tetap teratur dengan koleksi Simpan dan kategorikan konten berdasarkan preferensi Anda.

Konsol

Klien OAuth yang dikelola Google tidak tersedia saat mengaktifkan IAP menggunakan Google Cloud konsol.

Jika belum mengonfigurasi layar izin OAuth project, Anda akan diminta untuk melakukannya. Untuk mengonfigurasi layar izin OAuth, lihat Menyiapkan layar izin OAuth.

Menyiapkan akses IAP

1. Buka halaman Identity-Aware Proxy.
2. Pilih project yang ingin Anda amankan dengan IAP.
3. Di bagian APPLICATIONS, pilih kotak centang di samping layanan backend load balancer yang ingin Anda tambahkan anggota.
4. Di panel samping kanan, klik Tambahkan Utama.

5. Di dialog Add Principal, masukkan akun grup atau individu yang harus memiliki peran IAP-secured Web App User untuk project tersebut. Jenis akun berikut dapat menjadi anggota:

   • Akun Google: user@gmail.com - Ini juga dapat berupa akun Google Workspace, seperti user@google.com atau beberapa domain Workspace lainnya.
   • Google Grup: admin@googlegroups.com
   • Akun layanan: server@example.iam.gserviceaccount.com
   • Domain Google Workspace: example.com

6. Pilih Cloud IAP > IAP-Secured Web App User dari menu drop-down Roles.

7. Klik Simpan.

Mengaktifkan IAP

1. Di halaman IAP, pada bagian APPLICATIONS, temukan layanan backend load balancer yang aksesnya ingin Anda batasi. Untuk mengaktifkan IAP untuk resource, klik tombol IAP. Untuk mengaktifkan IAP:
   • Setidaknya satu protokol dalam konfigurasi frontend load balancer harus berupa HTTPS. Pelajari cara menyiapkan load balancer.
   • Anda memerlukan izin compute.backendServices.update, clientauthconfig.clients.create, dan clientauthconfig.clients.getWithSecret. Izin ini diberikan oleh peran, seperti peran Project Editor. Untuk mempelajari lebih lanjut, lihat Mengelola akses ke resource yang diamankan IAP.
2. Di jendela Aktifkan IAP yang muncul, klik Aktifkan untuk mengonfirmasi bahwa Anda ingin IAP mengamankan resource Anda. Setelah Anda mengaktifkan IAP, kredensial login diperlukan untuk semua koneksi ke load balancer Anda. Hanya akun dengan peran IAP-Secured Web App User di project yang akan diberi akses.

3. Ikuti petunjuk di Kontrol akses dengan IAM untuk memberikan otorisasi kepada IAP untuk mengirim traffic ke layanan Cloud Run backend.

   • Prinsipal: service-[PROJECT-NUMBER]@gcp-sa-iap.iam.gserviceaccount.com
   • Peran: Cloud Run Invoker

   Akun layanan IAP dibuat saat IAP diaktifkan. Jika akun layanan IAP tidak ada dalam daftar akun utama, Anda dapat membuatnya dengan menjalankan perintah gcloud berikut:

   gcloud beta services identity create
       --service=iap.googleapis.com
       --project=PROJECT_ID
   

gcloud

1. Jika Anda belum melakukannya sebelumnya dalam project, buat agen layanan IAP dengan menjalankan perintah berikut. Jika sebelumnya Anda telah membuat agen layanan, menjalankan perintah tidak akan menduplikasinya.

   gcloud beta services identity create --service=iap.googleapis.com --project=[PROJECT_ID]

2. Berikan izin invoker ke akun layanan, yang dibuat di langkah sebelumnya, dengan menjalankan perintah berikut.

   gcloud run services add-iam-policy-binding [SERVICE-NAME] \
   --member='serviceAccount:service-[PROJECT-NUMBER]@gcp-sa-iap.iam.gserviceaccount.com'  \
   --role='roles/run.invoker'
   

3. Aktifkan IAP dengan menjalankan perintah cakupan global atau regional, bergantung pada apakah layanan backend load balancer Anda bersifat global atau regional. Gunakan client ID dan secret OAuth dari langkah sebelumnya.

   Cakupan global

   gcloud compute backend-services update BACKEND_SERVICE_NAME --global --iap=enabled
   

   Cakupan regional

   gcloud compute backend-services update BACKEND_SERVICE_NAME --region REGION_NAME --iap=enabled
   

   Ganti kode berikut:
   • BACKEND_SERVICE_NAME: nama layanan backend.
   • REGION_NAME: region tempat Anda ingin mengaktifkan IAP.

Setelah mengaktifkan IAP, Anda dapat menggunakan Google Cloud CLI untuk memanipulasi kebijakan akses IAP menggunakan peran Identity and Access Management roles/iap.httpsResourceAccessor. Lihat Mengelola akses ke resource yang diamankan IAP untuk mengetahui informasi selengkapnya.

terraform

1. Jika Anda belum melakukannya sebelumnya, buat agen layanan IAP dalam project dengan menjalankan perintah berikut. Jika sebelumnya Anda telah membuat agen layanan, menjalankan perintah tidak akan menduplikasinya.

   resource "google_project_service" "project" {
     project = "your-project-id"
     service = "iap.googleapis.com"
   }
   

2. Berikan izin pemanggil ke agen layanan yang dibuat pada langkah sebelumnya dengan menjalankan perintah berikut.

   resource "google_cloud_run_service_iam_binding" "binding" {
     location = google_cloud_run_v2_service.default.location
     service  = google_cloud_run_v2_service.default.name
     role = "roles/invoker"
     members = [
       "serviceAccount:service-[PROJECT-NUMBER]@gcp-sa-iap.gserviceaccount.com",
     ]
   }
   

3. Aktifkan IAP dengan menjalankan perintah global atau regional, bergantung pada load balancer Anda. Gunakan client ID dan secret OAuth dari langkah sebelumnya.

   • Cakupan global

     resource "google_compute_backend_service" "default" {
       name                  = "tf-test-backend-service-external"
       protocol              = "HTTPS"
       load_balancing_scheme = "EXTERNAL_MANAGED"
       iap {
         enabled              = true
         oauth2_client_id     = "abc"
         oauth2_client_secret = "xyz"
       }
     }
     

   • Cakupan regional

     resource "google_compute_region_backend_service" "default" {
       name                  = "tf-test-backend-service-external"
       protocol              = "HTTPS"
       load_balancing_scheme = "EXTERNAL_MANAGED"
       iap {
         enabled              = true
         oauth2_client_id     = "abc"
         oauth2_client_secret = "xyz"
       }
     }