Configura Identity-Aware Proxy para Cloud Run

Organiza tus páginas con colecciones Guarda y categoriza el contenido según tus preferencias.

Console

Para habilitar IAP desde Cloud Run, haz lo siguiente:

1. En la consola de Google Cloud, ve a la página Cloud Run:

   Ir a Cloud Run

2. Si quieres configurar un servicio nuevo en el que realizarás la implementación, selecciona Implementar contenedor > Servicio. Si quieres configurar y, luego, implementar un servicio existente, haz clic en el servicio y, luego, en Implementar y editar una nueva revisión.

3. Si configuras un servicio nuevo, completa la página de configuración inicial del servicio según sea necesario y, luego, selecciona Autenticación avanzada con Identity-Aware Proxy (IAP).

4. Si quieres configurar y, luego, implementar un servicio existente, haz clic en el servicio y, luego, selecciona Autenticación avanzada con Identity-Aware Proxy (IAP).

5. Haz clic en Editar política para crear una política de acceso adaptado al contexto:

   • Agrega uno o más principales y, de manera opcional, el nivel de acceso que cada principal debe cumplir para el acceso de la aplicación.

   • Haz clic en Guardar.

6. Haz clic en Guardar.

gcloud

Para habilitar la IAP directamente desde Cloud Run, agrega la marca --iap cuando implementes tu app:

1. Implementa tu servicio de Cloud Run con uno de los siguientes comandos:

   Para un servicio nuevo, sigue estos pasos:

   gcloud beta run deploy SERVICE_NAME \
   --region=REGION \
   --image=IMAGE_URL \
   --no-allow-unauthenticated \
   --iap

   Para un servicio existente, sigue estos pasos:

   gcloud beta run services update SERVICE_NAME \
   --region=REGION \
   --iap

   Reemplaza lo siguiente:

   • SERVICE_NAME por el nombre del servicio de Cloud Run.
   • REGION por el nombre de tu región de Cloud Run.
   • IMAGE_URL por una referencia a la imagen del contenedor, como us-docker.pkg.dev/cloudrun/container/hello:latest Si usas Artifact Registry, el repositorio REPO_NAME debe estar creado. La URL tiene el formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG.

2. Para verificar que tu servicio esté configurado con el IAP habilitado, ejecuta el siguiente comando:

   gcloud beta run services describe SERVICE_NAME

   El resultado debe contener la siguiente cadena:

   Iap Enabled: true

Ahora enrutas todo el tráfico destinado al servicio configurado de Cloud Run a IAP para la autenticación antes de pasarlo al contenedor.

Console

Para inhabilitar IAP desde Cloud Run, sigue estos pasos:

1. En la consola de Google Cloud, ve a la página Cloud Run:

   Ir a Cloud Run

2. Haz clic en el servicio existente que deseas modificar.

3. Haz clic en Seguridad y, luego, desmarca la opción Autenticación avanzada con Identity-Aware Proxy (IAP).

4. Haz clic en Guardar.

gcloud

Para inhabilitar la IAP directamente desde Cloud Run, agrega la marca --no-iap cuando implementes tu app:

1. Implementa tu servicio de Cloud Run con cualquiera de los siguientes comandos:

   Para un servicio nuevo, sigue estos pasos:

   gcloud beta run deploy SERVICE_NAME \
   --region=REGION \
   --image=IMAGE_URL \
   --no-iap

   Para un servicio existente, sigue estos pasos:

   gcloud beta run services update SERVICE_NAME \
   --region=REGION \
   --no-iap

   Reemplaza lo siguiente:

   • SERVICE_NAME por el nombre del servicio de Cloud Run.
   • REGION por el nombre de tu región de Cloud Run.
   • IMAGE_URL por una referencia a la imagen del contenedor, como us-docker.pkg.dev/cloudrun/container/hello:latest Si usas Artifact Registry, el repositorio REPO_NAME debe estar creado. La URL tiene el formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG.

2. Para verificar que tu servicio ya no esté configurado con la IAP habilitada, ejecuta el siguiente comando:

   gcloud beta run services describe SERVICE_NAME

   El resultado ya no debería contener la siguiente cadena:

   Iap Enabled: true

Ya no enrutas todo el tráfico destinado al servicio configurado de Cloud Run al IAP para la autenticación antes de pasarlo al contenedor.

Console

Sigue estos pasos para agregar o quitar el acceso:

1. En la consola de Google Cloud, ve a la página Cloud Run:

   Ir a Cloud Run

2. Haz clic en el servicio existente que deseas modificar y, luego, en Seguridad.

3. En IAP, haz clic en Editar política.

4. Para agregar acceso, ingresa el principal y, de manera opcional, el nivel de acceso o los niveles que deseas agregar.

5. Para quitar el acceso de un principal existente, haz clic en el ícono Borrar política junto a Niveles de acceso.

6. Haz clic en Guardar.

gcloud

Para agregar o quitar el acceso a un servicio de Cloud Run para usuarios individuales o grupos dentro de tu organización, ejecuta uno de los siguientes comandos:

• Para agregar acceso, sigue estos pasos:

  gcloud beta iap web add-iam-policy-binding \
  --member=user:USER_EMAIL \
  --role=roles/iap.httpsResourceAccessor \
  --region=REGION \
  --resource-type=cloud-run \
  --service=SERVICE_NAME

• Para quitar el acceso, sigue estos pasos:

  gcloud beta iap web remove-iam-policy-binding \
  --member=user:USER_EMAIL \
  --role=roles/iap.httpsResourceAccessor \
  --region=REGION \
  --resource-type=cloud-run \
  --service=SERVICE_NAME

  Reemplaza lo siguiente:

  • USER_EMAIL con la dirección de correo electrónico del usuario.
  • REGION por el nombre de tu región de Cloud Run.
  • SERVICE_NAME por el nombre del servicio de Cloud Run.