使用员工身份联合配置 IAP

控制台

1. 在 Google Cloud 控制台中，打开 IAP 页面。
   前往 IAP 页面
2. 选择一个项目。该项目必须与您之前创建的员工池位于同一组织中。该项目不必是您创建 OAuth 客户端 ID 和密钥的项目。
3. 点击应用标签页，然后找到您要使用 IAP 限制其访问权限的应用。
4. 在 IAP 列中，将开关切换为开启。

gcloud

如需使用 gcloud CLI 启用 IAP，请按照适用服务的步骤操作：

• 适用于 App Engine 的 IAP
• 适用于 Cloud Run 的 IAP
• 适用于 Compute Engine 的 IAP

API

1. 创建 settings.json 文件。

   cat << EOF > settings.json
   {
   "iap":
     {
       "enabled":true,
    }
   }
   EOF
   

2. 在 App Engine 上启用 IAP。

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Accept: application/json" \
   -H "Content-Type: application/json" \
   -d @settings.json \
   "https://appengine.googleapis.com/v1/apps/PROJECT_ID?updateMask=iap.enabled"
   

   如需在 Compute Engine 上启用 IAP，请使用以下网址：https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/REGION/backendServices/BACKEND_SERVICE_NAME?updateMask=iap.enabled。

gcloud

1. 以以下示例为参考，创建一个 iap_settings.yaml 文件。

   CLIENT_ID=clientId
   CLIENT_SECRET=clientSecret
   WORKFORCE_POOL_NAME=locations/global/workforcePools/test-pool
   cat <<EOF > iap_settings.yaml
   access_settings:
     identity_sources: ["WORKFORCE_IDENTITY_FEDERATION"]
     workforce_identity_settings:
       workforce_pools: ["$WORKFORCE_POOL_NAME"]
       oauth2:
         client_id: "$CLIENT_ID"
         client_secret: "$CLIENT_SECRET"
   EOF
   

2. 运行以下命令以更新资源的 IAP 设置。

   gcloud iap settings set iap_settings.yaml --project=PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE
   

   替换以下内容：

   • PROJECT：项目 ID。
   • RESOURCE_TYPE：IAP 资源类型。资源类型必须为 app-engine、iap_web、compute、organization 或 folder。
   • SERVICE：服务名称。app-engine 和 compute 的可选参数。

   如需详细了解该命令，请参阅 gcloud iap settings set。

API

1. 以以下示例为参考，创建 iap_settings.json 设置文件。

   CLIENT_ID=clientId
   CLIENT_SECRET=clientSecret
   WORKFORCE_POOL_NAME=locations/global/workforcePools/test-pool
   cat <<EOF > iap_settings.json
   {
      "access_settings": {
        "identity_sources": ["WORKFORCE_IDENTITY_FEDERATION"],
        "workforce_identity_settings": {
          "workforce_pools": ["$WORKFORCE_POOL_NAME"],
          "oauth2": {
            "client_id": "$CLIENT_ID",
            "client_secret": "$CLIENT_SECRET",
          }
       }
     }
   }
   EOF
   

2. 使用 gcloud CLI 获取资源的名称，然后从输出中复制 RESOURCE_NAME，因为您在后续步骤中需要它。

   gcloud iap settings get \
       --project=PROJECT \
       --resource-type=RESOURCE_TYPE \
       --service=SERVICE
   

   替换以下内容：

   • PROJECT：项目 ID。
   • RESOURCE_TYPE：IAP 资源类型。资源类型必须为 app-engine、iap_web、compute、organization 或 folder。
   • SERVICE：服务名称。app-engine 和 compute 的可选参数。

3. 将以下命令中的 RESOURCE_NAME 替换为上一步中的 RESOURCE_NAME。

   curl -X PATCH \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d @iap_settings.json \
   "https://iap.googleapis.com/v1/RESOURCE_NAME:iapSettings?updateMask=iapSettings.accessSettings.identitySources,iapSettings.accessSettings.workforceIdentitySettings.workforcePools,iapSettings.accessSettings.workforceIdentitySettings.oauth2.clientId,iapSettings.accessSettings.workforceIdentitySettings.oauth2.clientSecret" 
   

控制台

1. 在 Google Cloud 控制台中，打开 IAP 页面。
   前往 IAP 页面
2. 选择要用 IAP 保护的资源。
3. 点击添加主账号，然后添加您要为其授予某一资源 IAM 角色的群组或个人的主账号标识符。
4. 在分配角色中，选择 IAP-Secured Web App User。
5. 点击添加。

gcloud

运行以下命令：

gcloud iap web add-iam-policy-binding \
    --member=PRINCIPAL_IDENTIFIER \
    --role='roles/iap.httpsResourceAccessor' \
    --project=PROJECT_ID \
    --resource-type=RESOURCE_TYPE \
    --service=SERVICE \
    --condition=CONDITION

请替换以下内容：

• PRINCIPAL_IDENTIFIER：主要标识符。
• PROJECT_ID：项目 ID。
• RESOURCE_TYPE：IAP 资源类型，可以是 app-engine 或 backend-services。
• SERVICE：（可选）服务名称。
• CONDITION：（可选）IAM 条件。以下是使用访问权限级别配置的条件示例：

expression="accessPolicies/12345678/accessLevels/iap_test_access_level" in request.auth.access_levels,title=iap-test-access-level,description=only access in weekdays

API

不建议使用此方法，因为它会涉及资源的整个 IAM 政策。错误可能会导致政策从资源中移除。

1. 获取现有 IAM 政策绑定。

   curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Accept: application/json" \
     -H "Content-Type: application/json" \
     -d {} \
   "https://iap.googleapis.com/v1/RESOURCE_NAME:getIamPolicy" -o iam_policy_bindings.json
   

   将 RESOURCE_NAME 替换为您在前面的步骤中获取的 RESOURCE_NAME。

2. 在您从上一步中获取的 iam_policy_bindings.json 文件中，移除版本和 etag 行，然后添加要为主账号标识符添加的绑定。如需了解详情，请参阅了解允许政策。

   {
     "bindings": [
       {
         // existing bindings
       },
       {
         "role": "roles/iap.httpsResourceAccessor",
         "members": [
         "principal://iam.googleapis.com/locations/global/workforcePools/iap-test-pool/subject/iap-test-subject"
         ],
         "condition": {
           "expression": "\"accessPolicies/12345678/accessLevels/iap_test_access_level\" in request.auth.access_levels",
           "title": "iap-test-access-level",
           "description": "only access in week days"
         }
       }
     ]
   }
   

3. 更新 IAM 政策绑定。

   curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Accept: application/json" \
     -H "Content-Type: application/json" \
     -d "{"policy":$(cat iam_policy_bindings.json)}" \
   "https://iap.googleapis.com/v1/RESOURCE_NAME:setIamPolicy"
   

   将 RESOURCE_NAME 替换为您在前面的步骤中获取的 RESOURCE_NAME。

如需了解详情，请参阅 GetIamPolicy 和 SetIamPolicy。