Configurare IAP con la federazione delle identità per la forza lavoro

console

1. Nella console Google Cloud, apri la pagina IAP.
   Vai alla pagina IAP
2. Seleziona un progetto. Il progetto deve trovarsi nella stessa organizzazione del pool di risorse che hai creato in precedenza. Il progetto non deve essere necessariamente quello in cui hai creato l'ID client OAuth e il segreto OAuth.
3. Fai clic sulla scheda Applicazioni e individua l'applicazione a cui vuoi limitare l'accesso utilizzando IAP.
4. Nella colonna IAP, imposta l'opzione su On.

gcloud

Per utilizzare gcloud CLI per abilitare IAP, segui le procedure per il servizio applicabile:

• IAP per App Engine
• IAP per Cloud Run
• IAP per Compute Engine

API

1. Crea un file settings.json.

   cat << EOF > settings.json
   {
   "iap":
     {
       "enabled":true,
    }
   }
   EOF
   

2. Abilita IAP su App Engine.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Accept: application/json" \
   -H "Content-Type: application/json" \
   -d @settings.json \
   "https://appengine.googleapis.com/v1/apps/PROJECT_ID?updateMask=iap.enabled"
   

   Per abilitare IAP su Compute Engine, utilizza il seguente URL: https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/REGION/backendServices/BACKEND_SERVICE_NAME?updateMask=iap.enabled.

gcloud

1. Utilizzando il seguente esempio come riferimento, crea un file iap_settings.yaml.

   CLIENT_ID=clientId
   CLIENT_SECRET=clientSecret
   WORKFORCE_POOL_NAME=locations/global/workforcePools/test-pool
   cat <<EOF > iap_settings.yaml
   access_settings:
     identity_sources: ["WORKFORCE_IDENTITY_FEDERATION"]
     workforce_identity_settings:
       workforce_pools: ["$WORKFORCE_POOL_NAME"]
       oauth2:
         client_id: "$CLIENT_ID"
         client_secret: "$CLIENT_SECRET"
   EOF
   

2. Esegui il seguente comando per aggiornare le impostazioni IAP per la tua risorsa.

   gcloud iap settings set iap_settings.yaml --project=PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE
   

   Sostituisci quanto segue:

   • PROJECT: l'ID progetto.
   • RESOURCE_TYPE: il tipo di risorsa IAP. Il tipo di risorsa deve essere app-engine, iap_web, compute, organization o folder.
   • SERVICE: il nome del servizio. Questa opzione è facoltativa sia per app-engine sia per compute.

   Per informazioni dettagliate sul comando, consulta gcloud iap settings set.

API

1. Utilizzando il seguente esempio come riferimento, crea un file iap_settings.json settings.

   CLIENT_ID=clientId
   CLIENT_SECRET=clientSecret
   WORKFORCE_POOL_NAME=locations/global/workforcePools/test-pool
   cat <<EOF > iap_settings.json
   {
      "access_settings": {
        "identity_sources": ["WORKFORCE_IDENTITY_FEDERATION"],
        "workforce_identity_settings": {
          "workforce_pools": ["$WORKFORCE_POOL_NAME"],
          "oauth2": {
            "client_id": "$CLIENT_ID",
            "client_secret": "$CLIENT_SECRET",
          }
       }
     }
   }
   EOF
   

2. Utilizza gcloud CLI per ottenere il nome della risorsa, quindi copia RESOURCE_NAME dall'output perché ti servirà nel passaggio successivo.

   gcloud iap settings get \
       --project=PROJECT \
       --resource-type=RESOURCE_TYPE \
       --service=SERVICE
   

   Sostituisci quanto segue:

   • PROJECT: l'ID progetto.
   • RESOURCE_TYPE: il tipo di risorsa IAP. Il tipo di risorsa deve essere app-engine, iap_web, compute, organization o folder.
   • SERVICE: il nome del servizio. Questa opzione è facoltativa sia per app-engine sia per compute.

3. Sostituisci RESOURCE_NAME nel comando seguente con RESOURCE_NAME del passaggio precedente.

   curl -X PATCH \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d @iap_settings.json \
   "https://iap.googleapis.com/v1/RESOURCE_NAME:iapSettings?updateMask=iapSettings.accessSettings.identitySources,iapSettings.accessSettings.workforceIdentitySettings.workforcePools,iapSettings.accessSettings.workforceIdentitySettings.oauth2.clientId,iapSettings.accessSettings.workforceIdentitySettings.oauth2.clientSecret" 
   

console

1. Nella console Google Cloud, apri la pagina IAP.
   Vai alla pagina IAP
2. Seleziona la risorsa che vuoi proteggere con IAP.
3. Fai clic su Aggiungi entità e poi aggiungi gli identificatori dell'entità dei gruppi o delle persone a cui vuoi concedere un ruolo IAM per la risorsa.
4. In Assegna ruoli, seleziona Utente applicazione web con protezione IAP.
5. Fai clic su Aggiungi.

gcloud

Esegui questo comando.

gcloud iap web add-iam-policy-binding \
    --member=PRINCIPAL_IDENTIFIER \
    --role='roles/iap.httpsResourceAccessor' \
    --project=PROJECT_ID \
    --resource-type=RESOURCE_TYPE \
    --service=SERVICE \
    --condition=CONDITION

Sostituisci quanto segue :

• PRINCIPAL_IDENTIFIER: gli identificatori principali.
• PROJECT_ID: l'ID progetto.
• RESOURCE_TYPE: il tipo di risorsa IAP, che può essere app-engine o backend-services.
• SERVICE: (facoltativo) il nome del servizio.
• CONDITION: (Facoltativo) Condizioni IAM. Di seguito è riportato un esempio di condizione configurata con i livelli di accesso:

expression="accessPolicies/12345678/accessLevels/iap_test_access_level" in request.auth.access_levels,title=iap-test-access-level,description=only access in weekdays

API

Questo metodo non è consigliato perché interessa l'intero criterio IAM di una risorsa. Un errore potrebbe rimuovere il criterio da una risorsa.

1. Ottieni le associazioni dei criteri IAM esistenti.

   curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Accept: application/json" \
     -H "Content-Type: application/json" \
     -d {} \
   "https://iap.googleapis.com/v1/RESOURCE_NAME:getIamPolicy" -o iam_policy_bindings.json
   

   Sostituisci RESOURCE_NAME con il valore RESOURCE_NAME ottenuto in un passaggio precedente.

2. Al file iam_policy_bindings.json ottenuto dal passaggio precedente, rimuovi le righe version ed etag e aggiungi la associazione che vuoi aggiungere per l'identificatore principale. Per ulteriori informazioni, consulta Informazioni sui criteri di autorizzazione.

   {
     "bindings": [
       {
         // existing bindings
       },
       {
         "role": "roles/iap.httpsResourceAccessor",
         "members": [
         "principal://iam.googleapis.com/locations/global/workforcePools/iap-test-pool/subject/iap-test-subject"
         ],
         "condition": {
           "expression": "\"accessPolicies/12345678/accessLevels/iap_test_access_level\" in request.auth.access_levels",
           "title": "iap-test-access-level",
           "description": "only access in week days"
         }
       }
     ]
   }
   

3. Aggiorna le associazioni dei criteri IAM.

   curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Accept: application/json" \
     -H "Content-Type: application/json" \
     -d "{"policy":$(cat iam_policy_bindings.json)}" \
   "https://iap.googleapis.com/v1/RESOURCE_NAME:setIamPolicy"
   

   Sostituisci RESOURCE_NAME con il valore RESOURCE_NAME ottenuto in un passaggio precedente.

Per ulteriori informazioni, consulta GetIamPolicy e SetIamPolicy.