Workforce Identity 連携で IAP の構成

Console

1. Google Cloud コンソールで、IAP ページを開きます。
   IAP ページに移動します
2. プロジェクトを選択します。プロジェクトは、以前に作成した workforce プールと同じ組織に存在する必要があります。プロジェクトは、OAuth クライアント ID とシークレットを作成したプロジェクトである必要はありません。
3. [アプリケーション] タブをクリックし、IAP を使用してアクセスを制限するアプリケーションを見つけます。
4. [IAP] 列で、スイッチをオンに切り替えます。

gcloud

gcloud CLI を使用して IAP を有効にするには、該当するサービスの手順に沿って操作します。

• IAP for Cloud Run:
  • Cloud Run で直接有効にする
  • ロードバランサで有効にする
• IAP for App Engine
• IAP for Compute Engine

API

1. settings.json ファイルを作成します。

   cat << EOF > settings.json
   {
   "iap":
     {
       "enabled":true,
    }
   }
   EOF
   

2. App Engine で IAP を有効にします。

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Accept: application/json" \
   -H "Content-Type: application/json" \
   -d @settings.json \
   "https://appengine.googleapis.com/v1/apps/PROJECT_ID?updateMask=iap.enabled"
   

   Compute Engine で IAP を有効にするには、次の URL を使用します。https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/REGION/backendServices/BACKEND_SERVICE_NAME?updateMask=iap.enabled

gcloud

1. 次の例を参照して、iap_settings.yaml ファイルを作成します。

   CLIENT_ID=clientId
   CLIENT_SECRET=clientSecret
   WORKFORCE_POOL_NAME=locations/global/workforcePools/test-pool
   cat <<EOF > iap_settings.yaml
   access_settings:
     identity_sources: ["WORKFORCE_IDENTITY_FEDERATION"]
     workforce_identity_settings:
       workforce_pools: ["$WORKFORCE_POOL_NAME"]
       oauth2:
         client_id: "$CLIENT_ID"
         client_secret: "$CLIENT_SECRET"
   EOF
   

2. 次のコマンドを実行して、リソースの IAP 設定を更新します。

   gcloud iap settings set iap_settings.yaml --project=PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE
   

   以下を置き換えます。

   • PROJECT: プロジェクト ID。

   • RESOURCE_TYPE: IAP リソースタイプ。リソースタイプは、cloud-run（プレビュー）、app-engine、iap_web、compute、organization、または folder にする必要があります。

     cloud-run リソースタイプの場合は、--region フラグを使用して、Cloud Run サービスがデプロイされているリージョンを指定します。

   • SERVICE: サービス名。これは、app-engine と compute の両方で省略可能です。

   このコマンドの詳細については、gcloud IAP 設定セット をご覧ください。

API

1. 次の例を参照して、iap_settings.json 設定ファイルを作成します。

   CLIENT_ID=clientId
   CLIENT_SECRET=clientSecret
   WORKFORCE_POOL_NAME=locations/global/workforcePools/test-pool
   cat <<EOF > iap_settings.json
   {
      "access_settings": {
        "identity_sources": ["WORKFORCE_IDENTITY_FEDERATION"],
        "workforce_identity_settings": {
          "workforce_pools": ["$WORKFORCE_POOL_NAME"],
          "oauth2": {
            "client_id": "$CLIENT_ID",
            "client_secret": "$CLIENT_SECRET",
          }
       }
     }
   }
   EOF
   

2. gcloud CLI を使用してリソースの名前を取得し、出力から RESOURCE_NAME をコピーします。これは次の手順で必要になります。

   gcloud iap settings get \
       --project=PROJECT \
       --resource-type=RESOURCE_TYPE \
       --service=SERVICE
   

   以下を置き換えます。

   • PROJECT: プロジェクト ID。
   • RESOURCE_TYPE: IAP リソースタイプ。リソースタイプは appengine、iap_web、compute、organization、folder、cloud_run-$REGION （プレビュー） のいずれかです。ここで、$REGION は Cloud Run サービスがデプロイされているリージョンです。
   • SERVICE: サービス名。これは、app-engine と compute の両方で省略可能です。

3. 次のコマンドの RESOURCE_NAME は、前の手順の RESOURCE_NAME に置き換えます。

   curl -X PATCH \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d @iap_settings.json \
   "https://iap.googleapis.com/v1/RESOURCE_NAME:iapSettings?updateMask=iapSettings.accessSettings.identitySources,iapSettings.accessSettings.workforceIdentitySettings.workforcePools,iapSettings.accessSettings.workforceIdentitySettings.oauth2.clientId,iapSettings.accessSettings.workforceIdentitySettings.oauth2.clientSecret" 
   

Console

1. Google Cloud コンソールで、IAP ページを開きます。
   IAP ページに移動します
2. IAP で保護するリソースを選択します。
3. [プリンシパルを追加] をクリックして、リソースに対する IAM ロールを付与するグループまたは個人のプリンシパル ID を追加します。
4. [ロールを割り当てる] で、[IAP で保護されたウェブアプリ ユーザー] を選択します。
5. [追加] をクリックします。

gcloud

次のコマンドを実行します。

gcloud iap web add-iam-policy-binding \
    --member=PRINCIPAL_IDENTIFIER \
    --role='roles/iap.httpsResourceAccessor' \
    --project=PROJECT_ID \
    --resource-type=RESOURCE_TYPE \
    --service=SERVICE \
    --condition=CONDITION

次のように置き換えます。

• PRINCIPAL_IDENTIFIER: プリンシパル ID。
• PROJECT_ID: プロジェクト ID。
• RESOURCE_TYPE: IAP リソースタイプ。app-engine または backend-services です。
• SERVICE: （省略可）サービス名。
• CONDITION: （省略可）IAM 条件。アクセスレベルで構成された条件の例を次に示します。

expression="accessPolicies/12345678/accessLevels/iap_test_access_level" in request.auth.access_levels,title=iap-test-access-level,description=only access in weekdays

API

この方法は、リソースの IAM ポリシー全体に影響するため、おすすめしません。エラーにより、リソースからポリシーが削除される可能性があります。

1. 既存の IAM ポリシー バインディングを取得します。

   curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Accept: application/json" \
     -H "Content-Type: application/json" \
     -d {} \
   "https://iap.googleapis.com/v1/RESOURCE_NAME:getIamPolicy" -o iam_policy_bindings.json
   

   RESOURCE_NAME は、前の手順で取得した RESOURCE_NAME に置き換えます。

2. 前の手順で取得した iam_policy_bindings.json ファイルに、バージョン行と etag 行を削除し、プリンシパル ID に追加するバインディングを追加します。詳細については、許可ポリシーについてをご覧ください。

   {
     "bindings": [
       {
         // existing bindings
       },
       {
         "role": "roles/iap.httpsResourceAccessor",
         "members": [
         "principal://iam.googleapis.com/locations/global/workforcePools/iap-test-pool/subject/iap-test-subject"
         ],
         "condition": {
           "expression": "\"accessPolicies/12345678/accessLevels/iap_test_access_level\" in request.auth.access_levels",
           "title": "iap-test-access-level",
           "description": "only access in week days"
         }
       }
     ]
   }
   

3. IAM ポリシー バインディングを更新します。

   curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Accept: application/json" \
     -H "Content-Type: application/json" \
     -d "{"policy":$(cat iam_policy_bindings.json)}" \
   "https://iap.googleapis.com/v1/RESOURCE_NAME:setIamPolicy"
   

   RESOURCE_NAME は、前の手順で取得した RESOURCE_NAME に置き換えます。

詳細については、GetIamPolicy と SetIamPolicy をご覧ください。