為 Compute Engine 啟用 IAP

gcloud

1. 執行下列指令來準備 policy.yaml 檔案。

$ cat << EOF > policy.yaml
action: CUSTOM
description: authz policy with Cloud IAP
name: AUTHZ_POLICY_NAME
customProvider:
  cloudIap: {}
target:
  loadBalancingScheme: EXTERNAL_MANAGED
  resources:
  - https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/LOCATION/forwardingRules/FORWARDING_RULE_ID
EOF

1. 執行下列指令，在轉送規則中啟用 IAP。

gcloud beta network-security authz-policies import AUTHZ_POLICY_NAME \
--source=policy.yaml \
--location=LOCATION \
--project=PROJECT_ID

更改下列內容：

• PROJECT_ID： Google Cloud 專案 ID。
• LOCATION：資源所在的區域。
• FORWARDING_RULE_ID：轉送規則資源的 ID。
• AUTHZ_POLICY_NAME：授權政策的名稱。

API

1. 執行下列指令來準備 policy.json 檔案。

   cat << EOF > policy.json
   {
   "name": "AUTHZ_POLICY_NAME",
   "target": {
   "loadBalancingScheme": "INTERNAL_MANAGED",
   "resources": [
   "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/LOCATION/forwardingRules/FORWARDING_RULE_ID"
   ],
   },
   "action": "CUSTOM",
   "httpRules": [],
   "customProvider": {
   "cloudIap": {}
   }
   }
   EOF
   

2. 執行下列指令，在轉送規則中啟用 IAP。

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Accept: application/json" \
   -H "Content-Type: application/json" \
   -d @policy.json \
   "https://networksecurity.googleapis.com/v1beta1/projects/PROJECT_ID/locations/LOCATION/authzPolicies"
   

   更改下列內容：

   • PROJECT_ID： Google Cloud 專案 ID。
   • LOCATION：資源所在的區域。
   • FORWARDING_RULE_ID：轉送規則資源的 ID。
   • AUTHZ_POLICY_NAME：授權政策的名稱。

主控台

使用 Google Cloud 主控台啟用 IAP 時，Google 代管的 OAuth 用戶端就無法使用。

如果您尚未設定專案的 OAuth 同意畫面，系統會提示您進行設定。如要設定 OAuth 同意畫面，請參閱「設定 OAuth 同意畫面」。

如果您執行的是 GKE 叢集 1.24 以上版本，可以使用 Kubernetes Gateway API 設定 IAP 和 GKE。如要這樣做，請完成下列步驟，然後按照「設定應用程式內購功能」中的操作說明進行。請勿設定 BackendConfig。

設定 IAP 存取權

1. 前往「Identity-Aware Proxy」頁面。
   前往「Identity-Aware Proxy」頁面
2. 選取要使用 IAP 保護的專案。

3. 找出您要授予存取權的資源，然後勾選旁邊的核取方塊。

   如果您沒有看到任何資源，請確認資源已建立，且 BackendConfig Compute Engine ingress 控制器已同步。

   如要確認後端服務可用，請執行下列 gcloud 指令：

   gcloud compute backend-services list
4. 在右側面板中，按一下「Add principal」。
5. 在隨即顯示的「Add principals」(新增主體) 對話方塊中，輸入群組或個別使用者的電子郵件地址，這些群組或個別使用者應擁有專案的「IAP-Secured Web App User」(受 IAP 保護的網路應用程式使用者) 角色。

   以下類型的主體可以擁有這個角色：

   • Google 帳戶：user@gmail.com
   • Google 群組：admins@googlegroups.com
   • 服務帳戶：server@example。gserviceaccount.com
   • Google Workspace 網域：example.com

   請務必新增您可以存取的 Google 帳戶。

6. 從「Roles」(角色) 下拉式清單中選取「Cloud IAP」>「IAP-secured Web App User」(受 IAP 保護的網路應用程式使用者)。
7. 按一下「Save」(儲存)。

正在啟用 IAP

1. 在「Identity-Aware Proxy」頁面的「APPLICATIONS」下方，找出您要限制存取權的 instance group 所服務的負載平衡器。如要為資源啟用 IAP，請在「IAP」欄中切換開啟/關閉切換鈕。
   如要啟用 IAP：
   • 負載平衡器前端設定中至少一個通訊協定必須為 HTTPS。瞭解如何設定負載平衡器。
   • 您需要具備 compute.backendServices.update、clientauthconfig.clients.create 和 clientauthconfig.clients.getWithSecret 權限。這些權限係由諸如專案編輯者角色等角色來授予。詳情請參閱「管理受 IAP 保護資源的存取權」。
2. 在隨即顯示的「Turn on IAP」(開啟 IAP) 視窗中，按一下「Turn On」(開啟)，確認您要使用 IAP 保護資源。啟用 IAP 後，系統會要求您提供負載平衡器所有連線的登入憑證。只有在專案中擁有「IAP-Secured Web App User」角色的帳戶才能取得存取權。

gcloud

您需要最新版的 gcloud CLI，才能設定專案和 IAP。如需安裝 gcloud CLI 的操作說明，請參閱「安裝 gcloud CLI」。

1. 如要驗證，請使用 Google Cloud CLI 執行下列指令。

   gcloud auth login

2. 如要登入，請前往顯示的網址。
3. 登入之後，複製顯示的驗證碼並貼到指令列中。
4. 執行下列指令，指定包含您要使用 IAP 保護的資源的專案。

   gcloud config set project PROJECT_ID

5. 如要啟用 IAP，請執行全域或區域範圍的指令。
   
   全域範圍

   gcloud compute backend-services update BACKEND_SERVICE_NAME --global --iap=enabled

   區域範圍

   gcloud compute backend-services update BACKEND_SERVICE_NAME --region REGION_NAME --iap=enabled

啟用 IAP 後，您可以使用 gcloud CLI 以 IAM 角色 roles/iap.httpsResourceAccessor 修改 IAP 存取權政策。進一步瞭解如何管理角色和權限。

API

1. 執行下列指令來準備 settings.json 檔案。

   cat << EOF > settings.json
   {
   "iap":
     {
       "enabled":true
     }
   }
   EOF
   

2. 執行下列指令，啟用 IAP。

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Accept: application/json" \
   -H "Content-Type: application/json" \
   -d @settings.json \
   "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/REGION/backendServices/BACKEND_SERVICE_NAME"
   

啟用 IAP 後，您可以使用 Google Cloud CLI 以 IAM 角色 roles/iap.httpsResourceAccessor 修改 IAP 存取權政策。進一步瞭解如何管理角色和權限。