Configura Identity-Aware Proxy para Cloud Run

Console

Para habilitar IAP desde Cloud Run, haz lo siguiente:

1. En la consola de Google Cloud , ve a la página de Cloud Run:

   Ir a Cloud Run

2. Si estás configurando un servicio nuevo en el que realizarás la implementación, selecciona Implementar contenedor > Servicio. Si quieres configurar y, luego, implementar un servicio existente, haz clic en el servicio y, luego, en Implementar y editar una nueva revisión.

3. Si configuras un servicio nuevo, completa la página de configuración del servicio inicial según sea necesario y, luego, selecciona Autenticación avanzada con Identity-Aware Proxy (IAP).

4. Si quieres configurar y, luego, implementar un servicio existente, haz clic en el servicio y, luego, selecciona Autenticación avanzada con Identity-Aware Proxy (IAP).

5. Haz clic en Editar política para crear una política de acceso adaptado al contexto:

   • Agrega una o más principales y, de forma opcional, el nivel de acceso que cada principal debe satisfacer para acceder a la aplicación.

   • Haz clic en Guardar.

6. Haz clic en Guardar.

gcloud

Para habilitar IAP directamente desde Cloud Run, agrega la marca --iap cuando implementes tu app:

1. Implementa tu servicio de Cloud Run con uno de los siguientes comandos:

   Para un servicio nuevo, sigue estos pasos:

   gcloud beta run deploy SERVICE_NAME \
   --region=REGION \
   --image=IMAGE_URL \
   --no-allow-unauthenticated \
   --iap

   Para un servicio existente, haz lo siguiente:

   gcloud beta run services update SERVICE_NAME \
   --region=REGION \
   --iap

   Reemplaza lo siguiente:

   • SERVICE_NAME por el nombre del servicio de Cloud Run.
   • REGION por el nombre de tu región de Cloud Run. Por ejemplo, europe-west1
   • IMAGE_URL por una referencia a la imagen del contenedor, como us-docker.pkg.dev/cloudrun/container/hello:latest Si usas Artifact Registry, el repositorio REPO_NAME debe estar creado. La URL tiene el formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG.

2. Para verificar que tu servicio esté configurado con IAP habilitado, ejecuta el siguiente comando:

   gcloud beta run services describe SERVICE_NAME

   El resultado debería contener la siguiente cadena:

   Iap Enabled: true

Ahora enrutas todo el tráfico destinado al servicio de Cloud Run configurado a IAP para la autenticación antes de pasarlo al contenedor.

Terraform

Si deseas obtener más información para aplicar o quitar una configuración de Terraform, consulta los comandos básicos de Terraform.

Agrega la política de IAM para otorgar el rol de Invocador de Cloud Run (roles/run.invoker) al agente de servicio de IAP. Para obtener más información, consulta Administra el acceso a los recursos protegidos por IAP.

1. Agrega lo siguiente a un recurso google_cloud_run_v2_service_iam_policy en tu configuración de Terraform.

   data "google_cloud_run_v2_service_iam_policy" "policy" {
     project = google_cloud_run_v2_service.default.project
     location = google_cloud_run_v2_service.default.location
     name = google_cloud_run_v2_service.default.name
   }
   

2. Agrega lo siguiente a un recurso google_cloud_run_v2_service en tu configuración de Terraform.

   resource "google_cloud_run_v2_service" "default" {
     provider = google-beta
     name     = "cloudrun-iap-service"
     location = "europe-west1"
     ingress      = "INGRESS_TRAFFIC_ALL"
     launch_stage = "BETA"
     iap_enabled  = true
   
     template {
       containers {
         image = "us-docker.pkg.dev/cloudrun/container/hello"
       }
     }
   }
   

Console

Para inhabilitar IAP desde Cloud Run, haz lo siguiente:

1. En la consola de Google Cloud , ve a la página de Cloud Run:

   Ir a Cloud Run

2. Haz clic en el servicio existente que deseas modificar.

3. Haz clic en Seguridad y, luego, desmarca Autenticación avanzada con Identity-Aware Proxy (IAP).

4. Haz clic en Guardar.

gcloud

Para inhabilitar el IAP directamente desde Cloud Run, agrega el parámetro --no-iap cuando implementes tu app:

1. Implementa tu servicio de Cloud Run con cualquiera de los siguientes comandos:

   Para un servicio nuevo, sigue estos pasos:

   gcloud beta run deploy SERVICE_NAME \
   --region=REGION \
   --image=IMAGE_URL \
   --no-iap

   Para un servicio existente, haz lo siguiente:

   gcloud beta run services update SERVICE_NAME \
   --region=REGION \
   --no-iap

   Reemplaza lo siguiente:

   • SERVICE_NAME por el nombre del servicio de Cloud Run.
   • REGION por el nombre de tu región de Cloud Run.
   • IMAGE_URL por una referencia a la imagen del contenedor, como us-docker.pkg.dev/cloudrun/container/hello:latest Si usas Artifact Registry, el repositorio REPO_NAME debe estar creado. La URL tiene el formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG.

2. Para verificar que tu servicio ya no esté configurado con IAP habilitado, ejecuta el siguiente comando:

   gcloud beta run services describe SERVICE_NAME

   El resultado ya no debería contener la siguiente cadena:

   Iap Enabled: true

Ya no enrutarás todo el tráfico destinado al servicio de Cloud Run configurado a IAP para la autenticación antes de pasarlo al contenedor.

Console

Sigue estos pasos para agregar o quitar el acceso:

1. En la consola de Google Cloud , ve a la página de Cloud Run:

   Ir a Cloud Run

2. Haz clic en el servicio existente que deseas modificar y, luego, en Seguridad.

3. En IAP, haz clic en Editar política.

4. Para agregar acceso, ingresa la principal y, de forma opcional, el nivel o los niveles de acceso que deseas agregar.

5. Para quitar el acceso de una principal existente, haz clic en el ícono de Borrar política junto a Niveles de acceso.

6. Haz clic en Guardar.

gcloud

Para agregar o quitar el acceso a un servicio de Cloud Run para usuarios o grupos individuales dentro de tu organización, ejecuta uno de los siguientes comandos:

• Sigue estos pasos para agregar el acceso:

  gcloud beta iap web add-iam-policy-binding \
  --member=user:USER_EMAIL \
  --role=roles/iap.httpsResourceAccessor \
  --region=REGION \
  --resource-type=cloud-run \
  --service=SERVICE_NAME

• Para quitar el acceso, sigue estos pasos:

  gcloud beta iap web remove-iam-policy-binding \
  --member=user:USER_EMAIL \
  --role=roles/iap.httpsResourceAccessor \
  --region=REGION \
  --resource-type=cloud-run \
  --service=SERVICE_NAME

• Para ver el acceso, sigue estos pasos:

  gcloud beta iap web get-iam-policy \
  --region=REGION \
  --resource-type=cloud-run \
  --service=SERVICE_NAME

Reemplaza lo siguiente:

• USER_EMAIL con la dirección de correo electrónico del usuario.
• REGION por el nombre de tu región de Cloud Run.
• SERVICE_NAME por el nombre del servicio de Cloud Run.