為 Cloud Run 啟用 IAP

控制台

使用 Google Cloud 主控台啟用 IAP 時，Google 代管的 OAuth 用戶端就無法使用。

如果您尚未設定專案的 OAuth 同意畫面，系統會提示您進行設定。如要設定 OAuth 同意畫面，請參閱「設定 OAuth 同意畫面」。

設定 IAP 存取權

1. 前往「Identity-Aware Proxy」頁面。
2. 選取要使用 IAP 保護的專案。
3. 在「應用程式」下方，選取要新增成員的負載平衡器後端服務旁的核取方塊。
4. 在右側面板中，按一下「Add Principal」(新增管理員)。

5. 在「Add Principal」對話方塊中，輸入群組或個別使用者的帳戶，這些群組或個別使用者應擁有專案的「IAP-secured Web App User」角色。成員可為以下類型的帳戶：

   • Google 帳戶：user@gmail.com - 這也可以是 Google Workspace 帳戶，例如 user@google.com 或其他 Workspace 網域。
   • Google 群組：admins@googlegroups.com
   • 服務帳戶：server@example.iam.gserviceaccount.com
   • Google Workspace 網域：example.com

6. 從「Roles」(角色) 下拉式清單中選取「Cloud IAP」>「IAP-secured Web App User」(受 IAP 保護的網路應用程式使用者)。

7. 按一下 [儲存]。

正在啟用 IAP

1. 在「IAP 頁面」的「應用程式」下方，找出您要限制存取權的負載平衡器後端服務。如要為資源啟用 IAP，請按一下「IAP」切換按鈕。如要啟用 IAP，請按照下列步驟操作：
   • 負載平衡器前端設定中至少一個通訊協定必須為 HTTPS。瞭解如何設定負載平衡器。
   • 您需要具備 compute.backendServices.update、clientauthconfig.clients.create 和 clientauthconfig.clients.getWithSecret 權限。這些權限係由諸如專案編輯者角色等角色來授予。如要進一步瞭解，請參閱「管理受 IAP 保護資源的存取權」。
2. 在隨即顯示的「Turn on IAP」(開啟 IAP) 視窗中，按一下「Turn On」(開啟)，確認您要使用 IAP 保護資源。啟用 IAP 後，系統會要求您提供負載平衡器所有連線的登入憑證。只有在專案中擁有「IAP-Secured Web App User」角色的帳戶才能取得存取權。

3. 請按照「使用 IAM 控管存取權」中的說明操作，授權 IAP 將流量傳送至後端 Cloud Run 服務。

   • Principal：service-[PROJECT-NUMBER]@gcp-sa-iap.iam.gserviceaccount.com
   • 角色：Cloud Run 叫用者

   啟用 IAP 時，系統會建立 IAP 服務帳戶。如果 IAP 服務帳戶不在主要使用者清單中，您可以執行下列 gcloud 指令來建立帳戶：

   gcloud beta services identity create
       --service=iap.googleapis.com
       --project=PROJECT_ID
   

gcloud

1. 如果您先前未在專案中執行這項操作，請執行下列指令來建立 IAP 服務代理。如果您先前已建立服務代理程式，執行這項指令不會重複建立。

   gcloud beta services identity create --service=iap.googleapis.com --project=[PROJECT_ID]

2. 執行下列指令，為先前步驟建立的服務帳戶授予叫用者權限。

   gcloud run services add-iam-policy-binding [SERVICE-NAME] \
   --member='serviceAccount:service-[PROJECT-NUMBER]@gcp-sa-iap.iam.gserviceaccount.com'  \
   --role='roles/run.invoker'
   

3. 視負載平衡器後端服務是全球性或地區性而定，執行全域或區域範圍的指令來啟用 IAP。使用上一個步驟中的 OAuth 用戶端 ID 和密鑰。

   全域範圍

   gcloud compute backend-services update BACKEND_SERVICE_NAME --global --iap=enabled
   

   區域範圍

   gcloud compute backend-services update BACKEND_SERVICE_NAME --region REGION_NAME --iap=enabled
   

   取代下列內容：
   • BACKEND_SERVICE_NAME：後端服務名稱。
   • REGION_NAME：您要啟用 IAP 的地區。

啟用 IAP 之後，您可以使用 Google Cloud CLI，以身分與存取權管理角色 roles/iap.httpsResourceAccessor 操控 IAP 存取權政策。詳情請參閱「管理受 IAP 保護資源的存取權」。

Terraform

1. 如果您先前未執行這項操作，請在專案中執行下列指令，建立 IAP 服務代理。如果您先前已建立服務代理程式，執行這項指令不會重複建立。

   resource "google_project_service" "project" {
     project = "your-project-id"
     service = "iap.googleapis.com"
   }
   

2. 執行下列指令，為先前步驟建立的服務代理程式授予叫用者權限。

   resource "google_cloud_run_service_iam_binding" "binding" {
     location = google_cloud_run_v2_service.default.location
     service  = google_cloud_run_v2_service.default.name
     role = "roles/run.invoker"
     members = [
       "serviceAccount:service-[PROJECT-NUMBER]@gcp-sa-iap.iam.gserviceaccount.com",
     ]
   }
   

3. 視負載平衡器而定，執行全域或區域指令即可啟用 IAP。使用上一個步驟中的 OAuth 用戶端 ID 和密鑰。

   • 全域範圍

     resource "google_compute_backend_service" "default" {
       name                  = "tf-test-backend-service-external"
       protocol              = "HTTPS"
       load_balancing_scheme = "EXTERNAL_MANAGED"
       iap {
         enabled              = true
         oauth2_client_id     = "abc"
         oauth2_client_secret = "xyz"
       }
     }
     

   • 區域範圍

     resource "google_compute_region_backend_service" "default" {
       name                  = "tf-test-backend-service-external"
       protocol              = "HTTPS"
       load_balancing_scheme = "EXTERNAL_MANAGED"
       iap {
         enabled              = true
         oauth2_client_id     = "abc"
         oauth2_client_secret = "xyz"
       }
     }