Autoriser l'accès public (non authentifié)

Console

1. Accédez à Cloud Run

2. Cliquez sur Créer un service si vous configurez un nouveau service, puis remplissez la page des paramètres initiaux du service selon vos besoins. Si vous configurez un service existant, cliquez dessus, puis sur Sécurité.

3. Décochez l'option Utiliser IAM pour authentifier les requêtes entrantes.

4. Cliquez sur Créer ou sur Enregistrer.

gcloud

• Pour un nouveau service, utilisez la commande gcloud run deploy avec l'option --no-invoker-iam-check:

  gcloud run deploy SERVICE_NAME --no-invoker-iam-check

  où SERVICE_NAME est le nom du service.

• Pour un service existant, exécutez la commande gcloud run services update avec l'option --no-invoker-iam-check:

  gcloud run services update SERVICE_NAME --no-invoker-iam-check

  où SERVICE_NAME est le nom du service.

YAML

1. Pour afficher et télécharger la configuration :

   gcloud run services describe SERVICE --format export > service.yaml

2. Mettez à jour l'annotation run.googleapis.com/invoker-iam-disabled: :

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
       annotations:
         run.googleapis.com/invoker-iam-disabled: true
       name: SERVICE_NAME

   où SERVICE_NAME correspond au nom de votre service Cloud Run.

3. Remplacez la configuration du service en utilisant la commande suivante :

   gcloud run services replace service.yaml

Console

1. Accédez à Cloud Run

2. Cliquez sur le service, puis sur Sécurité.

3. Sélectionnez Utiliser IAM pour authentifier les requêtes entrantes.

4. Cliquez sur Enregistrer.

gcloud

• Mettez à jour le service en transmettant l'option --invoker-iam-check:

  gcloud run services update SERVICE_NAME --invoker-iam-check

  où SERVICE_NAME est le nom du service.

YAML

1. Pour afficher et télécharger la configuration :

   gcloud run services describe SERVICE --format export > service.yaml

2. Mettez à jour l'annotation run.googleapis.com/invoker-iam-disabled: :

   apiVersion: serving.knative.dev/v1
    kind: Service
    metadata:
       annotations:
          run.googleapis.com/invoker-iam-disabled: false
       name: SERVICE_NAME

   où SERVICE_NAME correspond au nom de votre service Cloud Run.

Console (UI)

Pour un service Cloud Run existant :

1. Accédez à la Google Cloud console:

   Accéder à la Google Cloud console

2. Cochez la case située à gauche du service que vous souhaitez rendre public. (Ne cliquez pas sur le service lui-même.)

3. Dans le volet d'informations situé dans le coin en haut à droite, cliquez sur l'onglet Autorisations. Si le volet d'informations n'est pas visible, vous devrez peut-être cliquer sur Afficher le panneau d'informations, puis sur Autorisations.

4. Cliquez sur Ajouter un compte principal.

Dans le champ Nouveaux comptes principaux, saisissez la valeur allUsers.

1. Dans le menu déroulant Rôle, sélectionnez le rôle Demandeur Cloud Run.

2. Cliquez sur Enregistrer.

3. Vous serez invité à confirmer que vous souhaitez rendre cette ressource publique. Cliquez sur Autoriser l'accès public pour appliquer la modification aux paramètres IAM du service.

Pour un service que vous créez, créez le service en veillant à sélectionner Autoriser les appels non authentifiés dans l'onglet Authentification pour rendre le service disponible publiquement. Sélectionnez Exiger l'authentification pour rendre le service privé.

gcloud

Pour rendre un service accessible au public, utilisez la commande gcloud run services pour ajouter le type de membre spécial allUsers à un service et accordez-lui le rôle roles/run.invoker :

  gcloud run services add-iam-policy-binding [SERVICE_NAME] \
    --member="allUsers" \
    --role="roles/run.invoker"

Exécutez la commande gcloud run deploy pour rendre votre service accessible au public lorsque vous le déployez :

gcloud run deploy [SERVICE_NAME] ... --allow-unauthenticated

YAML

Créez un fichier nommé policy.yaml avec le contenu suivant :

bindings:
- members:
  - allUsers
  role: roles/run.invoker

Autorisez les appels non authentifiés pour le SERVICE existant à l'aide de la commande suivante :

gcloud run services set-iam-policy SERVICE policy.yaml

Terraform

Pour savoir comment appliquer ou supprimer une configuration Terraform, consultez la page Commandes Terraform de base.

resource "google_cloud_run_v2_service" "default" {
  name     = "public-service"
  location = "us-central1"

  deletion_protection = false # set to "true" in production

  template {
    containers {
      image = "us-docker.pkg.dev/cloudrun/container/hello"
    }
  }
}

Pour mettre à jour la liaison IAM du service pour roles/run.invoker, ajoutez la ressource suivante qui référence votre service Cloud Run:

resource "google_cloud_run_service_iam_binding" "default" {
  location = google_cloud_run_v2_service.default.location
  service  = google_cloud_run_v2_service.default.name
  role     = "roles/run.invoker"
  members = [
    "allUsers"
  ]
}

Cette liaison ne fait autorité que pour le rôle donné. Les autres liaisons IAM dans la stratégie IAM du service sont conservées.