Configurar IAP con Workforce Identity Federation

consola

1. En la Google Cloud consola, abre la página IAP.
   Ir a la página de IAP
2. Selecciona un proyecto. El proyecto debe estar en la misma organización que el grupo de trabajadores que has creado anteriormente. No es necesario que sea el proyecto en el que creaste el ID de cliente y el secreto de OAuth.
3. Haz clic en la pestaña Aplicaciones y, a continuación, busca la aplicación a la que quieras restringir el acceso mediante compras en la aplicación.
4. En la columna IAP, activa el interruptor.

gcloud

Para usar la CLI de gcloud y habilitar IAP, sigue los procedimientos del servicio correspondiente:

• IAP para Cloud Run:
  • Habilitar directamente con Cloud Run
  • Habilitar con un balanceador de carga
• Compras en la aplicación para App Engine
• IAP para Compute Engine

API

1. Crea un archivo settings.json.

   cat << EOF > settings.json
   {
   "iap":
     {
       "enabled":true,
    }
   }
   EOF
   

2. Habilita IAP en App Engine.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Accept: application/json" \
   -H "Content-Type: application/json" \
   -d @settings.json \
   "https://appengine.googleapis.com/v1/apps/PROJECT_ID?updateMask=iap.enabled"
   

   Para habilitar IAP en Compute Engine, usa la siguiente URL: https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/REGION/backendServices/BACKEND_SERVICE_NAME?updateMask=iap.enabled.

gcloud

1. Crea un archivo iap_settings.yaml siguiendo el ejemplo que se muestra a continuación.

   CLIENT_ID=clientId
   CLIENT_SECRET=clientSecret
   WORKFORCE_POOL_NAME=locations/global/workforcePools/test-pool
   cat <<EOF > iap_settings.yaml
   access_settings:
     identity_sources: ["WORKFORCE_IDENTITY_FEDERATION"]
     workforce_identity_settings:
       workforce_pools: ["$WORKFORCE_POOL_NAME"]
       oauth2:
         client_id: "$CLIENT_ID"
         client_secret: "$CLIENT_SECRET"
   EOF
   

2. Ejecuta el siguiente comando para actualizar la configuración de IAP de tu recurso.

   gcloud iap settings set iap_settings.yaml --project=PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE
   

   Haz los cambios siguientes:

   • PROJECT: el ID del proyecto.

   • RESOURCE_TYPE: el tipo de recurso de IAP. El tipo de recurso debe ser cloud-run (Preview),app-engine, iap_web, compute, organization o folder.

     En el caso del tipo de recurso cloud-run, usa la marca --region para indicar la región en la que se ha desplegado tu servicio de Cloud Run.

   • SERVICE: el nombre del servicio. Este paso es opcional tanto para app-engine como para compute.

   Para obtener más información sobre el comando, consulta gcloud iap settings set.

API

1. Crea un archivo iap_settings.json de configuración siguiendo el ejemplo que se muestra a continuación.

   CLIENT_ID=clientId
   CLIENT_SECRET=clientSecret
   WORKFORCE_POOL_NAME=locations/global/workforcePools/test-pool
   cat <<EOF > iap_settings.json
   {
      "access_settings": {
        "identity_sources": ["WORKFORCE_IDENTITY_FEDERATION"],
        "workforce_identity_settings": {
          "workforce_pools": ["$WORKFORCE_POOL_NAME"],
          "oauth2": {
            "client_id": "$CLIENT_ID",
            "client_secret": "$CLIENT_SECRET",
          }
       }
     }
   }
   EOF
   

2. Usa la CLI de gcloud para obtener el nombre del recurso y, a continuación, copia el RESOURCE_NAME de la salida, ya que lo necesitarás en el siguiente paso.

   gcloud iap settings get \
       --project=PROJECT \
       --resource-type=RESOURCE_TYPE \
       --service=SERVICE
   

   Haz los cambios siguientes:

   • PROJECT: el ID del proyecto.
   • RESOURCE_TYPE: el tipo de recurso de IAP. El tipo de recurso debe ser appengine, iap_web, compute, organization, folder o cloud_run-$REGION (vista previa), donde $REGION es la región en la que se ha desplegado tu servicio de Cloud Run.
   • SERVICE: el nombre del servicio. Este paso es opcional tanto para app-engine como para compute.

3. Sustituye RESOURCE_NAME en el siguiente comando por el RESOURCE_NAME del paso anterior.

   curl -X PATCH \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d @iap_settings.json \
   "https://iap.googleapis.com/v1/RESOURCE_NAME:iapSettings?updateMask=iapSettings.accessSettings.identitySources,iapSettings.accessSettings.workforceIdentitySettings.workforcePools,iapSettings.accessSettings.workforceIdentitySettings.oauth2.clientId,iapSettings.accessSettings.workforceIdentitySettings.oauth2.clientSecret" 
   

consola

1. En la Google Cloud consola, abre la página IAP.
   Ir a la página de IAP
2. Selecciona el recurso que quieras proteger con compras en la aplicación.
3. Haz clic en Añadir principal y, a continuación, añade los identificadores principales de los grupos o usuarios a los que quieras conceder un rol de gestión de identidades y accesos para el recurso.
4. En Asignar roles, selecciona Usuario de aplicaciones web protegidas mediante IAP.
5. Haz clic en Añadir.

gcloud

Ejecuta el siguiente comando:

gcloud iap web add-iam-policy-binding \
    --member=PRINCIPAL_IDENTIFIER \
    --role='roles/iap.httpsResourceAccessor' \
    --project=PROJECT_ID \
    --resource-type=RESOURCE_TYPE \
    --service=SERVICE \
    --condition=CONDITION

Sustituye lo siguiente :

• PRINCIPAL_IDENTIFIER: los identificadores principales.
• PROJECT_ID: el ID del proyecto.
• RESOURCE_TYPE: el tipo de recurso de IAP, que puede ser app-engine o backend-services.
• SERVICE: (Opcional) El nombre del servicio.
• CONDITION: (Opcional) Condiciones de gestión de identidades y accesos. A continuación, se muestra un ejemplo de condición configurada con niveles de acceso:

expression="accessPolicies/12345678/accessLevels/iap_test_access_level" in request.auth.access_levels,title=iap-test-access-level,description=only access in weekdays

API

No se recomienda este método porque afecta a toda la política de IAM de un recurso. Si se produce un error, se podría eliminar la política de un recurso.

1. Obtén los enlaces de políticas de gestión de identidades y accesos actuales.

   curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Accept: application/json" \
     -H "Content-Type: application/json" \
     -d {} \
   "https://iap.googleapis.com/v1/RESOURCE_NAME:getIamPolicy" -o iam_policy_bindings.json
   

   Sustituye RESOURCE_NAME por el RESOURCE_NAME que has obtenido en un paso anterior.

2. En el archivo iam_policy_bindings.json que has obtenido en el paso anterior, elimina las líneas de versión y etag, y añade la vinculación que quieras añadir al identificador principal. Para obtener más información, consulta el artículo Información sobre las políticas de permitir.

   {
     "bindings": [
       {
         // existing bindings
       },
       {
         "role": "roles/iap.httpsResourceAccessor",
         "members": [
         "principal://iam.googleapis.com/locations/global/workforcePools/iap-test-pool/subject/iap-test-subject"
         ],
         "condition": {
           "expression": "\"accessPolicies/12345678/accessLevels/iap_test_access_level\" in request.auth.access_levels",
           "title": "iap-test-access-level",
           "description": "only access in week days"
         }
       }
     ]
   }
   

3. Actualiza los enlaces de la política de gestión de identidades y accesos.

   curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Accept: application/json" \
     -H "Content-Type: application/json" \
     -d "{"policy":$(cat iam_policy_bindings.json)}" \
   "https://iap.googleapis.com/v1/RESOURCE_NAME:setIamPolicy"
   

   Sustituye RESOURCE_NAME por el RESOURCE_NAME que has obtenido en un paso anterior.

Consulta GetIamPolicy y SetIamPolicy para obtener más información.