Diese Seite wurde von der Cloud Translation API übersetzt.

Erneute IAP-Authentifizierung

Mit der erneuten IAP-Authentifizierung können Dienst- und Anwendungsinhaber oderGoogle Cloud -Administratoren festlegen, dass sich authentifizierte Endnutzer nach einer bestimmten Zeit neu authentifizieren müssen, wenn sie auf einen IAP-geschützten Dienst oder eine IAP-geschützte Anwendung zugreifen. Außerdem können sie begrenzen, wie lange ein Nutzer auf einen IAP-geschützten Dienst oder eine IAP-geschützte Anwendung zugreifen kann, bevor eine Authentifizierung erforderlich ist.

Die erneute IAP-Authentifizierung (oder Reauth) soll die Richtlinien zur erneuten Authentifizierung für IAP-geschützte Dienste und Anwendungen (oder Apps) erzwingen. Mit diesem Dienst können Sie Richtlinien für die erneute Authentifizierung für kritische Dienste und Anwendungen erzwingen, die vertrauliche Informationen verarbeiten. Sie können beispielsweise festlegen, dass Nutzer, die auf eine wichtige HR-Anwendung zugreifen, sich stündlich mit einem zweiten Faktor neu authentifizieren müssen.

Unterstützte Methoden zur erneuten Authentifizierung

Sie können folgende Methoden verwenden, um die Einstellungen für die erneute Authentifizierung zu verwalten:

Anmeldung: Endnutzer authentifizieren sich noch einmal mit ihren Anmeldedaten.
Sicherer Schlüssel: Endnutzer authentifizieren sich noch einmal mit ihrem konfigurierten Sicherheitsschlüssel.
Registrierte zweite Faktoren: Endnutzer authentifizieren sich noch einmal mit einem ihrer registrierten zweiten Faktoren.

Weitere Informationen finden Sie unter IapSettings.

Richtlinie für die erneute Authentifizierung einrichten

reauthSettings sind Teil von IapSettings und können für jeden Ressourcentyp in der Ressourcenhierarchie festgelegt werden. Sie können reauthSettings auf Organisations-, Ordner-, Projekt- oder Dienstebene festlegen, um Einschränkungen anzuwenden. Sie können beispielsweise die Sitzungslänge für alle Anwendungen in einer Organisation oder für eine bestimmte Anwendung auf maximal eine Stunde begrenzen.

Es gibt zwei Richtlinientypen, mit denen Sie die erneute Authentifizierung festlegen können:

Minimum: Wenn der Richtlinientyp für eine Ressource, z. B. eine Organisation, auf MINIMUM festgelegt ist, werden die Einstellungen für die erneute Authentifizierung beim Auswerten der Einstellungen für die erneute Authentifizierung für die Ressource auf niedrigerer Ebene, z. B. einen Ordner, zusammengeführt. Wenn die Ressource auf niedrigerer Ebene keine Einstellungen für die erneute Authentifizierung hat, sind die Einstellungen für die erneute Authentifizierung des zusammengeführten Ergebnisses die nicht leeren Einstellungen der Ressource auf höherer Ebene. Andernfalls wird die kürzere Sitzungsdauer und die Reauthentifizierungsmethode mit der höheren Priorität zwischen den beiden Ressourcen verwendet. Der resultierende zusammengeführte Richtlinientyp wird auf MINIMUM festgelegt.
Standard: Wenn der Richtlinientyp für eine Ressource wie eine Organisation als DEFAULT festgelegt ist, wird bei der Auswertung der Einstellung zur erneuten Authentifizierung für die Ressource auf niedrigerer Ebene, z. B. einen Ordner, die Einstellung für die Ressource auf niedrigerer Ebene verwendet, sofern sie konfiguriert ist. Andernfalls wird die Einstellung zur erneuten Authentifizierung für die Ressource auf höherer Ebene angewendet.

Bei beiden Richtlinientypen wird der Bewertungsprozess wiederholt, um die reauthSettings für den Zieldienst oder die Zielanwendung zu ermitteln. Die effektiven reauthSettings auf jeder Ebene werden so bestimmt:

Übernahme: Die Einstellungen der übergeordneten Ressource werden mit den Einstellungen der untergeordneten Ressource zusammengeführt.
Zusammenführungsregeln: Wenn für die Ressource auf niedrigerer Ebene keine spezifischen Einstellungen für die erneute Authentifizierung festgelegt sind, werden die Einstellungen von der höheren Ebene übernommen.

Wenn beide Ebenen reauthSettings enthalten, wird für das zusammengeführte Ergebnis Folgendes verwendet:
- Die kürzere Sitzungsdauer.
- Die Methode zur erneuten Authentifizierung mit der höheren Priorität.
- Die Priorität ist Secure key (höchste), Enrolled second factors (mittel) und Login (niedrigste).
Resultierender Richtlinientyp: Der Richtlinientyp der zusammengeführten Einstellungen ist MINIMUM.

In den folgenden Beispielen sehen Sie die Einstellungen vor und nach der Auswertung. Während der Auswertung werden der Ordner und die Organisation reauthSettings zusammengeführt, wodurch sich der Richtlinientyp des Ordners in MINIMUM ändert. Die zusammengeführten Einstellungen werden dann mit dem Dienst oder der Anwendung reauthSettings zusammengeführt.

Organisation IapSettings:

accessSettings:
  reauthSettings:
    method: "ENROLLED_SECOND_FACTORS"
    maxAge: "3600s"
    policyType: "MINIMUM"

Ordner IapSettings:

accessSettings:
  reauthSettings:
    method: "LOGIN"
    maxAge: "1200s"
    policyType: "DEFAULT"

Dienst oder Anwendung IapSettings:

accessSettings:
  reauthSettings:
    method: "SECURE_KEY"
    maxAge: "7200s"
    policyType: "DEFAULT"

Einstellungen nach dem Zusammenführen:

Organisation IapSettings:

accessSettings:
  reauthSettings:
    method: "ENROLLED_SECOND_FACTORS"
    maxAge: "3600s"
    policyType: "MINIMUM"

Ordner IapSettings:

accessSettings:
  reauthSettings:
    method: "ENROLLED_SECOND_FACTORS"
    maxAge: "1200s"
    policyType: "MINIMUM"

Dienst oder Anwendung IapSettings:

accessSettings:
  reauthSettings:
    method: "SECURE_KEY"
    maxAge: "1200s"
    policyType: "MINIMUM"

Wenn in diesem Beispiel der Richtlinientyp jeder Ressource auf DEFAULT festgelegt ist, wird die reauthSettings des Dienstes oder der Anwendung verwendet.

MaxAge

Verwenden Sie den Parameter maxAge, um anzugeben, wie oft ein Endnutzer sich neu authentifizieren muss. Dieser wird in Sekunden angegeben. Zum Festlegen einer Richtlinie für eine erneute Authentifizierung von einer Stunde setzen Sie beispielsweise den Sekundenwert auf 3.600, wie im folgenden Beispiel gezeigt:

accessSettings:
  reauthSettings:
    method: "LOGIN"
    maxAge: "3600s"
    policyType: "MINIMUM"

Der Mindestwert für maxAge beträgt 300 Sekunden bzw. 5 Minuten.

So legen Sie eine Richtlinie für die erneute Authentifizierung fest:

Console

Rufen Sie die Seite „IAP“ auf.
Zur Seite "Identity-Aware Proxy"
Wählen Sie ein Projekt und dann die Ressource aus, für die Sie eine Richtlinie zur erneuten Authentifizierung festlegen möchten.
Öffnen Sie die Einstellungen für die Ressource und wählen Sie unter Richtlinie für die erneute Authentifizierung die Option Erneute Authentifizierung konfigurieren aus.
Geben Sie die Einstellungen für die erneute Authentifizierung an und klicken Sie dann auf Speichern.

gcloud

Sie können eine Richtlinie für die erneute Authentifizierung für Ressourcen und Dienste auf Organisations-, Projekt- und Ordnerebene festlegen. Im Folgenden finden Sie einige Beispielbefehle zum Festlegen einer Richtlinie für die erneute Authentifizierung.

Weitere Informationen finden Sie unter gcloud iap settings set.

Führen Sie dazu diesen Befehl aus:

gcloud iap settings set SETTING_FILE [--organization=ORGANIZATION --folder=FOLDER --project=/PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE --version=VERSION

Führen Sie den folgenden Befehl aus, um eine Richtlinie zur erneuten Authentifizierung für die Ressourcen in einer Organisation festzulegen:

gcloud iap settings set SETTING_FILE --organization=ORGANIZATION

Führen Sie den folgenden Befehl aus, um eine Richtlinie zur erneuten Authentifizierung für die Ressourcen in einem Ordner festzulegen:

gcloud iap settings set SETTING_FILE --folder=FOLDER

Führen Sie den folgenden Befehl aus, um eine Richtlinie zur erneuten Authentifizierung für alle Ressourcen vom Typ „Web“ in einem Projekt festzulegen:

gcloud iap settings set SETTING_FILE --project=PROJECT --resource-type=iap_web

Führen Sie den folgenden Befehl aus, um eine Richtlinie zur erneuten Authentifizierung für einen App Engine-Dienst in einem Projekt festzulegen:

gcloud iap settings set SETTING_FILE --project=PROJECT --resource-type=app-engine --service=SERVICE

Wo SETTING_FILE Folgendes ist:

accessSettings:
  reauthSettings:
    method: "LOGIN"
    maxAge: "3600s"
    policyType: "MINIMUM"

Ersetzen Sie Folgendes:

FOLDER: Die Ordner-ID.
ORGANIZATION: Die Organisations-ID.
PROJECT: die Projekt-ID
RESOURCE_TYPE: Der IAP-Ressourcentyp. Muss app-engine, iap_web, compute, organization oder folder sein.
SERVICE: Der Dienstname. Dies ist optional, wenn resource-type auf compute oder app-engine festgelegt ist.
VERSION: Der Versionsname. Dies gilt nicht für den Ressourcentyp compute und ist für den Ressourcentyp app-engine optional.

API

Führen Sie den folgenden Befehl aus, um eine iap_settings.json-Datei vorzubereiten. Aktualisieren Sie die Werte nach Bedarf.

cat << EOF > iap_settings.json
{
  "access_settings": {
      "reauth_settings": {
            "method": "LOGIN",
            "maxAge": "300s",
            "policy_type": "DEFAULT"
        }
    }
}
EOF

Rufen Sie den Ressourcennamen mit dem Befehl gcloud iap settings get ab. Kopieren Sie das Feld „name“ aus der Ausgabe. Sie benötigen den Namen im nächsten Schritt.

gcloud iap settings get [--organization=ORGANIZATION --folder=FOLDER --project=/PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE --version=VERSION]

Ersetzen Sie RESOURCE_NAME im folgenden Befehl durch den Namen aus dem vorherigen Schritt. Die IapSettings wird aktualisiert.

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Accept: application/json" \
-H "Content-Type: application/json" \
-d @iap_settings.json \
"https://iap.googleapis.com/v1/RESOURCE_NAME:iapSettings?updateMask=iapSettings.accessSettings.reauthSettings"

Informationen zu den Anmeldedaten für die erneute Authentifizierung

Nach einer erfolgreichen erneuten Authentifizierung erstellt IAP ein Cookie im Browser des Endnutzers. Damit Anwendungen in derselben Domain nicht so oft eine erneute Authentifizierung durchführen müssen, wird das Cookie für die private Top-Level-Domain festgelegt und ist für die gesamte Domain gültig.

Beispiel: foo.example.com ist eine durch IAP geschützte Ressource und hat eine IAP-Richtlinie zur erneuten Authentifizierung. Nach einer erfolgreichen erneuten Authentifizierung legt IAP ein Cookie für example.com als private Top-Level-Domain fest. Anwendungen von derselben privaten Top-Level-Domain wie bar.example.com verwenden dieselben Anmeldedaten zur erneuten Authentifizierung und der Nutzer wird nicht aufgefordert, sich noch einmal zu authentifizieren, solange die Anmeldedaten gültig sind.

Bei URLs wie myapp.appspot.com ist appspot.com eine öffentliche Domain. Daher ist die private Top-Level-Domain myapp.appspot.com.

Bekannte Einschränkungen

Die erneute Authentifizierung wird nur für Browserabläufe unterstützt. Der programmatische Nutzerkontozugriff wird nicht unterstützt. Beispielsweise können mobile und Desktop-Anwendungen Nutzer nicht neu authentifizieren, da die Ressourcen, die eine erneute Authentifizierung erfordern, für diese Anwendungen nicht zugänglich sind.
Dienstkonten und IAP-TCP sind von den Anforderungen zur erneuten Authentifizierung ausgenommen.
Die erneute Authentifizierung funktioniert mit dem Identity and Access Management-Mitgliedstyp allUsers nicht.
Externe Identitäten wie OAuth und SAML werden für die erneute Authentifizierung nicht unterstützt.
Identitäten der Mitarbeiteridentitätsföderation werden für die IAP-Reauthentifizierung nicht unterstützt.

Erneute IAP-Authentifizierung Mit Sammlungen den Überblick behalten Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.