Como ativar o IAP para o Cloud Run

Console

O cliente OAuth gerenciado pelo Google não está disponível ao ativar o IAP usando o console do Google Cloud.

Se você não tiver configurado a tela de permissão OAuth do seu projeto, solicitado a fazer isso. Para configurar a tela de permissão OAuth, consulte o artigo Como configurar a tela de permissão OAuth.

Como configurar o acesso do IAP

1. Acesse a página Identity-Aware Proxy.
2. Selecione o projeto que você quer proteger com o IAP.
3. Em APLICATIVOS, marque a caixa de seleção ao lado do serviço de back-end do balanceador de carga a que você quer adicionar membros.
4. No painel lateral à direita, clique em Adicionar membro.

5. Na caixa de diálogo Adicionar participantes, insira as contas de grupos ou indivíduos que precisam ter o papel Usuário do app da Web protegido pelo IAP no projeto. Os seguintes tipos de contas podem ser membros:

   • Conta do Google: user@gmail.com. Também pode ser uma conta do Google Workspace, como user@google.com ou algum outro domínio do Workspace.
   • grupo do Google: admins@googlegroups.com
   • Conta de serviço: server@example.iam.gserviceaccount.com
   • Domínio do Google Workspace: example.com

6. Selecione Cloud IAP > Usuário do app da Web protegido pelo IAP na lista suspensa Papéis.

7. Clique em Salvar.

Ativando o IAP

1. Na página do IAP, em APLICATIVOS, encontre o serviço de back-end do balanceador de carga em que você quer restringir o acesso. Para ativar o IAP para um recurso, clique na chave IAP. Para ativar o IAP:
   • Pelo menos um protocolo na configuração de front-end do balanceador de carga precisa ser HTTPS. Saiba mais sobre como configurar um balanceador de carga.
   • Você precisa das permissões compute.backendServices.update, clientauthconfig.clients.create e clientauthconfig.clients.getWithSecret. Elas são concedidas por papéis como o de editor do projeto. Para saber mais, consulte Como gerenciar o acesso a recursos protegidos pelo IAP.
2. Na janela Ativar IAP que é exibida, clique em Ativar para confirmar que você quer que o IAP proteja o recurso. Após a ativação, serão necessárias credenciais de login para todas as conexões com seu balanceador de carga. O acesso só será concedido às contas com o papel Usuário do app da Web protegido pelo IAP no projeto.

3. Siga as instruções em Controle de acesso com o IAM para autorizar o IAP a enviar tráfego para o serviço de back-end do Cloud Run.

   • Principal: service-[PROJECT-NUMBER]@gcp-sa-iap.iam.gserviceaccount.com
   • Papel: Chamador do Cloud Run

gcloud

1. Se ainda não tiver feito isso, crie uma conta de serviço executando o comando a seguir. Se você já tiver criado uma conta de serviço, executar o comando não criará contas de serviço duplicadas.

   gcloud beta services identity create --service=iap.googleapis.com --project=[PROJECT_ID]

2. Conceda a permissão do invocador à conta de serviço, criada na etapa anterior, executando o comando a seguir.

   gcloud run services add-iam-policy-binding [SERVICE-NAME] \
   --member='serviceAccount:service-[PROJECT-NUMBER]@gcp-sa-iap.iam.gserviceaccount.com'  \
   --role='roles/run.invoker'
   

3. Ative o IAP executando o comando com escopo global ou regional, dependendo se o serviço de back-end do balanceador de carga é global ou regional. Use o ID e a chave secreta do cliente OAuth da etapa anterior.

   Escopo global

   gcloud compute backend-services update BACKEND_SERVICE_NAME --global --iap=enabled
   

   Escopo regional

   gcloud compute backend-services update BACKEND_SERVICE_NAME --region REGION_NAME --iap=enabled
   

   Substitua:
   • BACKEND_SERVICE_NAME: o nome do serviço de back-end.
   • REGION_NAME: a região em que você quer ativar o IAP.

Depois de ativar o IAP, use a Google Cloud CLI para manipular uma política de acesso do IAP usando o papel roles/iap.httpsResourceAccessor do Identity and Access Management. Consulte Como gerenciar papéis e permissões para mais informações.