Configurer l'API IAP avec la fédération d'identité des employés

Console

1. Dans la console Google Cloud, ouvrez la page "IAP".
   Accéder à la page "IAP"
2. Sélectionnez un projet. Le projet doit appartenir à la même organisation que le pool de personnel que vous avez créé précédemment. Le projet ne doit pas nécessairement être celui dans lequel vous avez créé l'ID client et le secret OAuth.
3. Cliquez sur l'onglet Applications, puis recherchez l'application à laquelle vous souhaitez restreindre l'accès à l'aide d'IAP.
4. Dans la colonne "IAP", basculez le bouton sur Activer.

gcloud

Pour utiliser la gcloud CLI pour activer l'IAP, suivez les procédures du service applicable:

• IAP pour App Engine
• IAP pour Cloud Run
• IAP pour Compute Engine

API

1. Créez un fichier settings.json.

   cat << EOF > settings.json
   {
   "iap":
     {
       "enabled":true,
    }
   }
   EOF
   

2. Activez IAP sur App Engine.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Accept: application/json" \
   -H "Content-Type: application/json" \
   -d @settings.json \
   "https://appengine.googleapis.com/v1/apps/PROJECT_ID?updateMask=iap.enabled"
   

   Pour activer IAP sur Compute Engine, utilisez l'URL suivante : https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/REGION/backendServices/BACKEND_SERVICE_NAME?updateMask=iap.enabled.

gcloud

1. À l'aide de l'exemple suivant comme référence, créez un fichier iap_settings.yaml.

   CLIENT_ID=clientId
   CLIENT_SECRET=clientSecret
   WORKFORCE_POOL_NAME=locations/global/workforcePools/test-pool
   cat <<EOF > iap_settings.yaml
   access_settings:
     identity_sources: ["WORKFORCE_IDENTITY_FEDERATION"]
     workforce_identity_settings:
       workforce_pools: ["$WORKFORCE_POOL_NAME"]
       oauth2:
         client_id: "$CLIENT_ID"
         client_secret: "$CLIENT_SECRET"
   EOF
   

2. Exécutez la commande suivante pour mettre à jour les paramètres IAP de votre ressource.

   gcloud iap settings set iap_settings.yaml --project=PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE
   

   Remplacez les éléments suivants :

   • PROJECT : ID du projet
   • RESOURCE_TYPE: type de ressource d'application intégrée. Le type de ressource doit être app-engine, iap_web, compute, organization ou folder.
   • SERVICE : le nom du service. Cette opération est facultative pour app-engine et compute.

   Pour en savoir plus sur cette commande, consultez gcloud iap settings set.

API

1. À l'aide de l'exemple suivant comme référence, créez un fichier de paramètres iap_settings.json.

   CLIENT_ID=clientId
   CLIENT_SECRET=clientSecret
   WORKFORCE_POOL_NAME=locations/global/workforcePools/test-pool
   cat <<EOF > iap_settings.json
   {
      "access_settings": {
        "identity_sources": ["WORKFORCE_IDENTITY_FEDERATION"],
        "workforce_identity_settings": {
          "workforce_pools": ["$WORKFORCE_POOL_NAME"],
          "oauth2": {
            "client_id": "$CLIENT_ID",
            "client_secret": "$CLIENT_SECRET",
          }
       }
     }
   }
   EOF
   

2. Utilisez gcloud CLI pour obtenir le nom de la ressource, puis copiez le RESOURCE_NAME à partir de la sortie, car vous en aurez besoin à l'étape suivante.

   gcloud iap settings get \
       --project=PROJECT \
       --resource-type=RESOURCE_TYPE \
       --service=SERVICE
   

   Remplacez les éléments suivants :

   • PROJECT : ID du projet
   • RESOURCE_TYPE: type de ressource d'application intégrée. Le type de ressource doit être app-engine, iap_web, compute, organization ou folder.
   • SERVICE : le nom du service. Cette opération est facultative pour app-engine et compute.

3. Remplacez RESOURCE_NAME dans la commande suivante par RESOURCE_NAME de l'étape précédente.

   curl -X PATCH \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d @iap_settings.json \
   "https://iap.googleapis.com/v1/RESOURCE_NAME:iapSettings?updateMask=iapSettings.accessSettings.identitySources,iapSettings.accessSettings.workforceIdentitySettings.workforcePools,iapSettings.accessSettings.workforceIdentitySettings.oauth2.clientId,iapSettings.accessSettings.workforceIdentitySettings.oauth2.clientSecret" 
   

Console

1. Dans la console Google Cloud, ouvrez la page "IAP".
   Accéder à la page "IAP"
2. Sélectionnez le projet que vous souhaitez sécuriser avec IAP.
3. Cliquez sur Ajouter un compte principal, puis ajoutez les identifiants de compte principal des groupes ou des personnes auxquels vous souhaitez attribuer un rôle IAM pour la ressource.
4. Dans Attribuer des rôles, sélectionnez Utilisateur de l'application Web sécurisée par IAP.
5. Cliquez sur Ajouter.

gcloud

Exécutez la commande suivante :

gcloud iap web add-iam-policy-binding \
    --member=PRINCIPAL_IDENTIFIER \
    --role='roles/iap.httpsResourceAccessor' \
    --project=PROJECT_ID \
    --resource-type=RESOURCE_TYPE \
    --service=SERVICE \
    --condition=CONDITION

Remplacez les éléments suivants :

• PRINCIPAL_IDENTIFIER: identifiants principaux.
• PROJECT_ID : ID du projet
• RESOURCE_TYPE: type de ressource IAP, qui peut être app-engine ou backend-services.
• SERVICE: (facultatif) nom du service.
• CONDITION: (facultatif) conditions IAM. Voici un exemple de condition configurée avec des niveaux d'accès:

expression="accessPolicies/12345678/accessLevels/iap_test_access_level" in request.auth.access_levels,title=iap-test-access-level,description=only access in weekdays

API

Cette méthode n'est pas recommandée, car elle affecte l'intégralité de la stratégie IAM d'une ressource. Une erreur peut supprimer la stratégie d'une ressource.

1. Obtenez les liaisons de stratégie IAM existantes.

   curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Accept: application/json" \
     -H "Content-Type: application/json" \
     -d {} \
   "https://iap.googleapis.com/v1/RESOURCE_NAME:getIamPolicy" -o iam_policy_bindings.json
   

   Remplacez RESOURCE_NAME par le RESOURCE_NAME que vous avez obtenu à une étape précédente.

2. Dans le fichier iam_policy_bindings.json que vous avez obtenu à l'étape précédente, supprimez les lignes de version et d'étiquette, puis ajoutez la liaison que vous souhaitez ajouter pour l'identifiant principal. Pour en savoir plus, consultez la section Comprendre les stratégies d'autorisation.

   {
     "bindings": [
       {
         // existing bindings
       },
       {
         "role": "roles/iap.httpsResourceAccessor",
         "members": [
         "principal://iam.googleapis.com/locations/global/workforcePools/iap-test-pool/subject/iap-test-subject"
         ],
         "condition": {
           "expression": "\"accessPolicies/12345678/accessLevels/iap_test_access_level\" in request.auth.access_levels",
           "title": "iap-test-access-level",
           "description": "only access in week days"
         }
       }
     ]
   }
   

3. Mettez à jour les liaisons de stratégie IAM.

   curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Accept: application/json" \
     -H "Content-Type: application/json" \
     -d "{"policy":$(cat iam_policy_bindings.json)}" \
   "https://iap.googleapis.com/v1/RESOURCE_NAME:setIamPolicy"
   

   Remplacez RESOURCE_NAME par le RESOURCE_NAME que vous avez obtenu à une étape précédente.

Pour en savoir plus, consultez GetIamPolicy et SetIamPolicy.