Protege tus apps y recursos de GKE con IAP

En esta página, se explica cómo proteger una instancia de Google Kubernetes Engine (GKE) con Identity-Aware Proxy (IAP).

Para proteger los recursos que no están en Google Cloud, consulta Protege las apps y los recursos locales.

Descripción general

IAP está integrado a través de Ingress para GKE. Esta integración te permite controlar el acceso a nivel de los recursos para los empleados en lugar de usar una VPN.

En un clúster de GKE, el tráfico entrante se controla con el balanceo de cargas de HTTP(S), un componente de Cloud Load Balancing. Por lo general, el balanceador de cargas de HTTP(S) se configura con el controlador de Ingress de Kubernetes. El controlador de Ingress obtiene información de configuración de un objeto Ingress de Kubernetes que está asociado con uno o más objetos Service. Cada objeto de servicio contiene información de enrutamiento que se usa para direccionar una solicitud entrante a un pod o puerto específico.

A partir de la versión Kubernetes 1.10.5-gke.3, tienes la posibilidad de agregar configuraciones al balanceador de cargas mediante la asociación de un servicio con un objeto de BackendConfig. BackendConfig es una definición de recurso personalizado que se define en el repositorio kubernetes/ingress-gce.

El controlador de Ingress de Kubernetes lee la información de configuración del BackendConfig y configura el balanceador de cargas según corresponda. Un BackendConfig contiene información de configuración específica de Cloud Load Balancing y te permite definir una configuración independiente para cada servicio de backend de balanceo de cargas de HTTP(S).

Antes de comenzar

Con el fin de habilitar IAP para GKE, necesitas lo siguiente:

  • Un proyecto de la consola de Google Cloud con la facturación habilitada.
  • Un grupo de una o más instancias de GKE entregadas mediante un balanceador de cargas de HTTPS. El balanceador de cargas debería crearse automáticamente cuando generes un objeto Ingress en un clúster de GKE.
  • Un nombre de dominio registrado con la dirección de tu balanceador de cargas
  • Un código de la aplicación para verificar que todas las solicitudes tengan una identidad
IAP usa un cliente de OAuth administrado por Google para autenticar a los usuarios. Solo los usuarios de la organización pueden acceder a la aplicación habilitada para IAP. Si quieres permitir el acceso a usuarios ajenos a tu organización, consulta Habilita IAP para aplicaciones externas.

Habilita IAP

Si aún no configuras la pantalla de consentimiento de OAuth para tu proyecto, se te solicitará hacerlo. Para configurar la pantalla de consentimiento de OAuth, consulta Configura la pantalla de consentimiento de OAuth.

Si ejecutas la versión 1.24 o posterior de GKE, puedes configurar IAP y GKE con la API de Gateway de Kubernetes. Para ello, completa los siguientes pasos y, luego, sigue las instrucciones que se indican en Configura IAP. No configures BackendConfig.

Configura el acceso de IAP

  1. Ve a la página Identity-Aware Proxy.
    Ir a la página Identity-Aware Proxy
  2. Selecciona el proyecto que deseas proteger con IAP.

  3. Selecciona la casilla de verificación junto al recurso al que deseas otorgar acceso.

    Si no ves un recurso, asegúrate de que se haya creado y de que el BackendConfig y el controlador de Ingress de Compute Engine estén sincronizados.

    Para verificar que el servicio de backend esté disponible, ejecuta el siguiente comando de gcloud:

    gcloud compute backend-services list
  4. En el panel lateral derecho, haz clic en Agregar principal.
  5. En el diálogo Agregar principales que aparece, ingresa las direcciones de correo electrónico de los grupos o personas a quienes se debe asignar el rol Usuario de app web protegida con IAP para el proyecto.

    Las siguientes cuentas principales pueden tener este rol:

    • Cuenta de Google: usuario@gmail.com
    • Grupo de Google: administradores@googlegroups.com
    • Cuenta de servicio: server@example.gserviceaccount.com
    • Dominio de Google Workspace: example.com

    Asegúrate de agregar una Cuenta de Google a la que tengas acceso.

  6. En la lista desplegable Funciones, selecciona Cloud IAP > Usuario de aplicación web protegida con IAP.
  7. Haz clic en Guardar.

Configura BackendConfig

Puedes configurar un BackendConfig para IAP agregando un bloque iap.

Agrega un bloque iap a BackendConfig

Para configurar el BackendConfig para IAP, debes especificar el valor enabled. Asegúrate de tener el permiso compute.backendServices.update y agrega el bloque iap al BackendConfig.

Para las versiones 1.16.8-gke.3 y posteriores de GKE, usa la versión de la API cloud.google.com/v1. Si usas una versión anterior de GKE, usa cloud.google.com/v1beta1. 

apiVersion: cloud.google.com/v1
kind: BackendConfig
metadata:
  name: CONFIG_DEFAULT
  namespace: my-namespace
spec:
  iap:
    enabled: true

Asocia un puerto de Service con un BackendConfig

También debes asociar puertos de servicio a tu BackendConfig para activar IAP. Una forma de establecer esta asociación es hacer que todos los puertos del servicio sean predeterminados para tu BackendConfig, lo que puedes hacer si agregas la siguiente anotación a tu recurso de servicio: 

metadata:
  annotations:
    cloud.google.com/backend-config: '{"default": "CONFIG_DEFAULT"}'

Verifica el BackendConfig

Para probar la configuración, ejecuta kubectl get event. Si ves el mensaje "no BackendConfig for service port exists", significa que asociaste correctamente un puerto de servicio a tu BackendConfig, pero el recurso de BackendConfig no se encontró. Este error puede ocurrir si no creaste el recurso BackendConfig, lo creaste en el espacio de nombres incorrecto o escribiste mal la referencia en la anotación del servicio.

Desactiva IAP

Para desactivar IAP, debes configurar enabled en false en BackendConfig. Si borras el bloque de IAP de BackendConfig, la configuración se mantendrá. Por ejemplo, si IAP está habilitado y borras el bloque, IAP seguirá activado.

Próximos pasos