啟用外部身分

本文說明如何設定 Identity-Aware Proxy (IAP)，以使用外部身分。結合 IAP 和 Identity Platform，您可以使用各種身分識別提供者 (例如 OAuth、SAML、OIDC 等) 驗證使用者，而不僅限於 Google 帳戶。

啟用及設定 Identity Platform

IAP 會使用 Identity Platform 驗證外部身分。 如要瞭解如何啟用這項功能，請參閱「Identity Platform 快速入門導覽課程」。

如要使用多個房客，也必須按照「多租戶入門」一文中的步驟操作。如果不需要隔離資源，可以略過這個步驟，並在專案層級設定所有供應商。如果不確定是否應啟用多重租戶，請參閱外部身分總覽。

最後，您需要啟用供應商。快速入門說明如何使用簡單的使用者名稱和密碼驗證，但 Identity Platform 支援各種提供者類型，包括：

  • 電子郵件地址和密碼
  • OAuth (例如 Google、Facebook、Twitter 等)
  • SAML
  • OIDC
  • 電話號碼
  • 匿名

如要瞭解如何設定其他供應商，請參閱其餘的 Identity Platform 說明文件。請注意，多重租戶不支援使用電話號碼和匿名驗證。IAP 不支援使用電子郵件連結進行無密碼登入。

啟用 IAP 以使用外部身分

設定 Identity Platform 後，您就可以設定 IAP，使用該平台進行驗證。

  1. 在 Google Cloud 控制台中開啟 IAP 頁面。
    開啟「應用程式內購」頁面

  2. 選取您設定 Identity Platform 時使用的專案。不支援使用不同專案。

  3. 選取「應用程式」分頁標籤。

  4. 找出要使用 IAP 限制存取權的服務。

  5. 將「IAP」欄中的切換鈕切換為「開啟」。

  6. 在側邊面板中，按一下標示為「Use external identities for authorization」(使用外部身分進行驗證) 的方塊中的「Start」(開始)。

  7. 確認選擇無誤。

  8. 在 Identity Platform 側邊面板中：

    1. 選擇自行建立登入頁面，或由 IAP 為您建立。

      讓 IAP 建立登入頁面是快速入門的最佳方式。您不需要部署其他服務或編寫任何新程式碼，即可使用 JSON 指定次要自訂項目。詳情請參閱「在 Cloud Run 上代管驗證 UI」。

      網域限定共用： 如果專案受組織政策中的網域限制約束，預設將無法建立公開服務。您可以運用標記和條件式政策，排除特定服務的這項限制。詳情請參閱網誌文章，瞭解在強制執行網域限定共用時，如何建立公開 Cloud Run 服務。

      自行建構網頁較為複雜，但可全面掌控驗證流程和體驗。詳情請參閱「使用 FirebaseUI 建立驗證 UI」和「建立自訂驗證 UI」。

    2. 如果選擇自行建構 UI，請輸入驗證網址。 IAP 會將收到的未驗證要求重新導向至這個網址。

      您也可以選擇在網址中加入 API 金鑰。如未提供金鑰， Google Cloud 控制台會自動附加預設金鑰。

    3. 選取要使用專案供應商或租戶。

    4. 勾選要啟用的供應商或房客方塊。如要修改供應商或房客，請選取「設定供應商」。

  9. 按一下 [儲存]。

恭喜！IAP 已設定為使用外部身分驗證使用者。

改回使用 Google Identity

使用外部身分時，無法使用 IAM 授權。如要切換回 Google 身分，以便運用 IAM，請按照下列步驟操作：

  1. 返回 Google Cloud 控制台的 IAP 頁面。
    開啟「應用程式內購」頁面

  2. 選取已設定使用 IAP 的資源。

  3. 開啟 Identity Platform 資訊面板。

  4. 選取「使用 IAM 管理這項資源」。

請注意，切換回 Google Identity 後，驗證網址和相關聯的專案和租戶都會清除。

後續步驟