Configurar o Identity-Aware Proxy para o Cloud Run

Console

Para ativar o IAP no Cloud Run:

1. No console Google Cloud , acesse a página do Cloud Run:

   Acessar o Cloud Run

2. Se você estiver configurando um novo serviço em que fará uma implantação, selecione Implantar contêiner > Serviço. Se você estiver configurando e implantando um serviço que já existe, clique nele e depois em Editar e implantar nova revisão.

3. Se você estiver configurando um novo serviço, preencha a página inicial de configurações de serviço conforme necessário e selecione Autenticação avançada com o Identity-Aware Proxy (IAP).

4. Se você estiver configurando e implantando um serviço atual, clique nele e selecione Autenticação avançada com o Identity-Aware Proxy (IAP).

5. Clique em Editar política para criar uma política de acesso baseado no contexto:

   • Adicione um ou mais principais e, opcionalmente, o nível de acesso que cada principal precisa atender para acessar o aplicativo.

   • Clique em Salvar.

6. Clique em Save.

gcloud

Para ativar o IAP diretamente do Cloud Run, adicione a flag --iap ao implantar o app:

1. Implante o serviço do Cloud Run usando um dos seguintes comandos:

   Para um novo serviço:

   gcloud beta run deploy SERVICE_NAME \
   --region=REGION \
   --image=IMAGE_URL \
   --no-allow-unauthenticated \
   --iap

   Para um serviço atual:

   gcloud beta run services update SERVICE_NAME \
   --region=REGION \
   --iap

   Substitua:

   • SERVICE_NAME pelo nome do seu serviço do Cloud Run.
   • REGION com o nome da região do Cloud Run. Por exemplo, europe-west1.
   • IMAGE_URL por uma referência à imagem de contêiner. Por exemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Se você usa o Artifact Registry, o repositório REPO_NAME já precisará ter sido criado. O URL tem o formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG

2. Para verificar se o serviço está configurado com a IAP ativada, execute o seguinte comando:

   gcloud beta run services describe SERVICE_NAME

   A saída precisa conter a seguinte string:

   Iap Enabled: true

Agora você está roteando todo o tráfego destinado ao serviço configurado do Cloud Run para o IAP para autenticação antes de passar para o contêiner.

Terraform

Para saber como aplicar ou remover uma configuração do Terraform, consulte Comandos básicos do Terraform.

Adicione a política do IAM para conceder o papel Invocador do Cloud Run (roles/run.invoker) ao agente de serviço do IAP. Para mais informações, consulte Como gerenciar o acesso a recursos protegidos pelo IAP.

1. Adicione o seguinte a um recurso google_cloud_run_v2_service_iam_policy na configuração do Terraform.

   data "google_cloud_run_v2_service_iam_policy" "policy" {
     project = google_cloud_run_v2_service.default.project
     location = google_cloud_run_v2_service.default.location
     name = google_cloud_run_v2_service.default.name
   }
   

2. Adicione o seguinte a um recurso google_cloud_run_v2_service na configuração do Terraform.

   resource "google_cloud_run_v2_service" "default" {
     provider = google-beta
     name     = "cloudrun-iap-service"
     location = "europe-west1"
     ingress      = "INGRESS_TRAFFIC_ALL"
     launch_stage = "BETA"
     iap_enabled  = true
   
     template {
       containers {
         image = "us-docker.pkg.dev/cloudrun/container/hello"
       }
     }
   }
   

Console

Para desativar o IAP no Cloud Run:

1. No console Google Cloud , acesse a página do Cloud Run:

   Acessar o Cloud Run

2. Clique no serviço que você quer modificar.

3. Clique em Segurança e desmarque Autenticação avançada com o Identity-Aware Proxy (IAP).

4. Clique em Salvar.

gcloud

Para desativar o IAP diretamente do Cloud Run, adicione a flag --no-iap ao implantar o app:

1. Implante o serviço do Cloud Run usando um dos seguintes comandos:

   Para um novo serviço:

   gcloud beta run deploy SERVICE_NAME \
   --region=REGION \
   --image=IMAGE_URL \
   --no-iap

   Para um serviço atual:

   gcloud beta run services update SERVICE_NAME \
   --region=REGION \
   --no-iap

   Substitua:

   • SERVICE_NAME pelo nome do seu serviço do Cloud Run.
   • REGION com o nome da região do Cloud Run.
   • IMAGE_URL por uma referência à imagem de contêiner. Por exemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Se você usa o Artifact Registry, o repositório REPO_NAME já precisará ter sido criado. O URL tem o formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG

2. Para verificar se o serviço não está mais configurado com o IAP ativado, execute o seguinte comando:

   gcloud beta run services describe SERVICE_NAME

   A saída não deve mais conter a seguinte string:

   Iap Enabled: true

Você não está mais roteando todo o tráfego destinado ao serviço configurado do Cloud Run para o IAP para autenticação antes de passar para o contêiner.

Console

Para adicionar ou remover o acesso:

1. No console Google Cloud , acesse a página do Cloud Run:

   Acessar o Cloud Run

2. Clique no serviço que você quer modificar e em Segurança.

3. Em IAP, clique em Editar política.

4. Para adicionar acesso, insira o principal e, opcionalmente, o nível ou os níveis de acesso que você quer adicionar.

5. Para remover o acesso de um principal, clique no ícone Excluir política ao lado de Níveis de acesso.

6. Clique em Salvar.

gcloud

Para adicionar ou remover o acesso a um serviço do Cloud Run para usuários individuais ou grupos na sua organização, execute um dos seguintes comandos:

• Para conceder o acesso:

  gcloud beta iap web add-iam-policy-binding \
  --member=user:USER_EMAIL \
  --role=roles/iap.httpsResourceAccessor \
  --region=REGION \
  --resource-type=cloud-run \
  --service=SERVICE_NAME

• Para remover o acesso:

  gcloud beta iap web remove-iam-policy-binding \
  --member=user:USER_EMAIL \
  --role=roles/iap.httpsResourceAccessor \
  --region=REGION \
  --resource-type=cloud-run \
  --service=SERVICE_NAME

• Para ver o acesso:

  gcloud beta iap web get-iam-policy \
  --region=REGION \
  --resource-type=cloud-run \
  --service=SERVICE_NAME

Substitua:

• USER_EMAIL pelo endereço de e-mail do usuário.
• REGION com o nome da região do Cloud Run.
• SERVICE_NAME pelo nome do seu serviço do Cloud Run.