Google アカウントでユーザーを認証する

Google アカウントでユーザーを認証する

このページでは、App Engine スタンダード環境またはフレキシブル環境のアプリケーションをデプロイし、それを Identity-Aware Proxy（IAP）で保護する手順について説明します。このクイックスタートには、ログインしているユーザーの名前を確認する App Engine スタンダード環境ウェブアプリのサンプルコードが含まれています。ここでは、Cloud Shell を使用してサンプル アプリケーションのクローンを作成し、デプロイします。このクイックスタートを使用すると、ご自身の App Engine スタンダード環境または App Engine フレキシブル環境アプリで IAP を有効にできます。

コンテンツ配信ネットワーク（CDN）からリソースを提供する予定の場合、ベスト プラクティス ガイドの重要な情報をご覧ください。

1 つの App Engine アプリケーションが複数のサービスで構成されている場合、サービスごとに異なる IAP 権限を構成できます。たとえば、一部のサービスのみを一般公開しながら、その他のサービスを保護された状態にすることができます。

---

このタスクを Google Cloud コンソールで直接行う際の順を追ったガイダンスについては、「ガイドを表示」をクリックしてください。

ガイドを表示

---

始める前に

Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

始める前に

App Engine で IAP を有効にするには、次のものが必要です。

• 課金が有効になっている Google Cloud コンソール プロジェクト。

App Engine インスタンスをまだ設定していない場合は、App Engine のデプロイで完全なチュートリアルをご覧ください。

IAP は、Google が管理する OAuth クライアントを使用してユーザーを認証します。組織内のユーザーのみが IAP 対応アプリケーションにアクセスできます。組織外のユーザーにアクセスを許可するには、外部アプリケーション用に IAP を有効にするをご覧ください。

注: Google が管理する OAuth クライアントでユーザーを認証する機能は、プレビューで利用できます。

IAP の有効化

コンソール

Google Cloud コンソールを使用して IAP を有効にする場合、Google が管理する OAuth クライアントは使用できません。

プロジェクトの OAuth 同意画面をまだ構成していない場合は、画面を構成するように指示されます。OAuth 同意画面を構成する方法については、OAuth 同意画面の設定をご覧ください。

IAP アクセス権の設定

1. [Identity-Aware Proxy] ページに移動します。
   [Identity-Aware Proxy] ページに移動
2. IAP で保護するプロジェクトを選択します。
3. アクセスを許可するリソースの横にあるチェックボックスをオンにします。
4. 右側のパネルで [プリンシパルを追加] をクリックします。
5. 表示される [メンバーの追加] ダイアログで、プロジェクトに対する IAP で保護されたウェブアプリ ユーザーの役割を付与するグループ、または個人のメールアドレスを追加します。

   このロールを持つことができるプリンシパルの種類は次のとおりです。

   • Google アカウント: [e-mail]
   • Google グループ: [e-mail]
   • サービス アカウント: server@example。gserviceaccount.com
   • Google Workspace ドメイン: example.com

   追加する Google アカウントは、自分がアクセスできるものにしてください。

6. [役割] のプルダウン リストから [Cloud IAP] > [IAP で保護されたウェブアプリ ユーザー] を選択します。
7. [保存] をクリックします。

IAP の有効化

1. [Identity-Aware Proxy] ページの [アプリケーション] で、アクセスを制限するアプリケーションを見つけます。リソースの IAP を有効にするには、[IAP] 列でオン / オフスイッチを切り替えます。
   
2. 表示された [IAP の有効化] ウィンドウで [有効にする] をクリックし、IAP でリソースを保護することを確認します。IAP が有効になった後は、ロードバランサへのすべての接続でログイン認証情報が必要になります。プロジェクトで IAP で保護されたウェブアプリ ユーザーの役割を持つアカウントにのみアクセスが許可されます。

gcloud

Before you set up your project and IAP, you need an up-to-date version of the gcloud CLI. For instructions on how to install the gcloud CLI, see Install the gcloud CLI.

1. To authenticate, use the Google Cloud CLI and run the following command.

   gcloud auth login

2. Click the URL that appears and sign in.
3. After you sign in, copy the verification code that appears and paste it in the command line.
4. Run the following command to specify the project that contains the applications that you want to protect with IAP.

   gcloud config set project PROJECT_ID

5. To enable IAP, run the following command.

   gcloud iap web enable --resource-type=app-engine --versions=version

6. Add principals who should have the IAP-secured Web App user role to the project.

   gcloud projects add-iam-policy-binding PROJECT_ID \
          --member=PRINCIPAL_IDENTIFIER \
          --role=roles/iap.httpsResourceAccessor

   • Replace PROJECT_ID with your project ID.
   • Replace PRINCIPAL_IDENTIFIER with the necessary principals. This can be a type of domain, group, serviceAccount, or user. For example, user:[e-mail].

After you enable IAP, you can use the gcloud CLI to modify the IAP access policy using the IAM role roles/iap.httpsResourceAccessor. Learn more about managing roles and permissions.

API

1. Run the following command to prepare a settings.json file.

   cat << EOF > settings.json
   {
   "iap":
     {
       "enabled":true
     }
   }
   EOF
   

2. Run the following command to enable IAP.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Accept: application/json" \
   -H "Content-Type: application/json" \
   -d @settings.json \
   "https://appengine.googleapis.com/v1/apps/PROJECT_ID?updateMask=iap"
   

After you enable IAP, you can use the Google Cloud CLI to modify the IAP access policy using the IAM role roles/iap.httpsResourceAccessor. Learn more about managing roles and permissions.

注: 1 つの App Engine アプリケーションが複数のサービスで構成されている場合に、一部のサービスは公開し、その他のサービスは制限された状態にするには、アプリケーション全体で IAP を有効にし、一般公開するサービスで IAP で保護されたウェブアプリ ユーザーのロールを「allUsers」または「allAuthenticatedUsers」に付与します。

ロールベースのアクセス権: プロジェクト オーナーであれば、アプリへのアクセス権が自動的に得られると考えるかもしれません。しかし、そうではありません。このプロジェクトで IAP で保護されたウェブアプリ ユーザーのロールを持つアカウントにのみアクセス権が付与されるためです。企業の IT 部門で人事の給与計算システムへの IAP アクセスを実装しているとします。ほとんどの場合、アプリにアクセスできるのは給与計算チームのスタッフのみであるべきです。これは、ロールベースのアクセスがより安全である理由の 1 つです。プロジェクトのオーナー（または編集者など）は、プロジェクトのすべての側面を管理できますが、アプリへのアクセス権が自動的に付与されることはありません。

ユーザー認証をテストする

1. IAP で保護されたウェブアプリ ユーザーについての上述のロールを使用して、IAP に追加した Google アカウントからアプリの URL にアクセスします。アプリに無制限にアクセスできるはずです。

2. Chrome のシークレット ウィンドウを使用してアプリにアクセスし、プロンプトが表示されたらログインします。IAP で保護されたウェブアプリ ユーザーのロールによる認証を持たないアカウントでアプリにアクセスしようとすると、アクセスできないことを示すメッセージが表示されます。

次のステップ

• ユーザーの ID の取得方法を確認し、独自の App Engine アプリを開発する。