הפעלת זהויות חיצוניות

במאמר הזה נסביר איך להגדיר את Identity-Aware Proxy ‏(IAP) לשימוש בזהויות חיצוניות. באמצעות שילוב של IAP ו-Identity Platform, אתם יכולים לאמת משתמשים עם מגוון רחב של ספקי זהויות (כמו OAuth,‏ SAML,‏ OIDC ועוד), במקום רק עם חשבונות Google.

הפעלה והגדרה של Identity Platform

שרת IAP משתמש ב-Identity Platform כדי לאמת זהויות חיצוניות. במדריך למתחילים בנושא Identity Platform מוסבר איך להפעיל את התכונה.

אם רוצים להשתמש בכמה דיירים, צריך גם לפעול לפי השלבים במאמר תחילת העבודה עם ריבוי דיירים. אם אתם לא צריכים לבודד משאבים, אתם יכולים לדלג על השלב הזה ולהגדיר את כל הספקים ברמת הפרויקט. אם אתם לא בטוחים אם כדאי להפעיל ריבוי דיירים, כדאי לעיין בסקירה הכללית על זהויות חיצוניות.

בסוף, צריך להפעיל את הספקים. בהמדריך להתחלה מהירה מוסבר איך להשתמש באימות פשוט של שם משתמש וסיסמה, אבל פלטפורמת Identity Platform תומכת במגוון רחב של סוגי ספקים, כולל:

  • כתובת אימייל וסיסמה
  • ‫OAuth (כמו Google,‏ Facebook,‏ Twitter ועוד)
  • SAML
  • OIDC
  • מספר טלפון
  • אנונימי

בשאר מאמרי העזרה בנושא Identity Platform מוסבר איך להגדיר ספקים אחרים. שימו לב: אי אפשר להשתמש במספר טלפון ובאימות אנונימי עם ריבוי דיירים. אין תמיכה בכניסה ללא סיסמה באמצעות קישור באימייל ב-IAP.

הפעלת IAP לשימוש בזהויות חיצוניות

אחרי שמגדירים את Identity Platform, אפשר להגדיר את IAP כך שישתמש בו לאימות.

  1. פותחים את הדף IAP במסוף Google Cloud .
    פתיחת הדף IAP

  2. בוחרים את אותו פרויקט שהגדרתם איתו את Identity Platform. אין תמיכה בשימוש בפרויקטים שונים.

  3. לוחצים על הכרטיסייה אפליקציות.

  4. מאתרים את השירות שרוצים להגביל את הגישה אליו באמצעות IAP.

  5. מעבירים את המתג בעמודה 'רכישות מתוך האפליקציה' למצב מופעל.

  6. בחלונית הצדדית, לוחצים על התחלה בתיבה עם התווית שימוש בזהויות חיצוניות להרשאה.

  7. מאשרים את הבחירה.

  8. בחלונית הצדדית של Identity Platform:

    1. בוחרים אם ליצור דף כניסה משלכם או לבקש מ-IAP ליצור אותו בשבילכם.

      הדרך הכי מהירה להתחיל היא לאפשר ל-IAP ליצור את דף הכניסה. אין צורך לפרוס שירותים נוספים או לכתוב קוד חדש, ואפשר להגדיר התאמות אישיות קלות באמצעות JSON. מידע נוסף זמין במאמר אירוח ממשק משתמש לאימות ב-Cloud Run.

      הגבלת שיתוף לפי דומיין: אם הפרויקט כפוף לאילוץ הגבלה לפי דומיין במדיניות הארגון, לא תוכלו ליצור שירותים ציבוריים כברירת מחדל. אתם יכולים להשתמש בתגים ובמדיניות מותנית כדי להחריג שירותים ספציפיים מהאילוץ הזה. מידע נוסף זמין בפוסט בבלוג בנושא יצירת שירותים ציבוריים של Cloud Run כשמופעלת הגבלת שיתוף בדומיין.

      יצירת דף משלכם היא תהליך מורכב יותר, אבל היא מאפשרת לכם שליטה מלאה בתהליך האימות ובחוויה. מידע נוסף זמין במאמרים יצירת ממשק משתמש לאימות באמצעות FirebaseUI ויצירת ממשק משתמש מותאם אישית לאימות.

    2. אם בחרתם ליצור ממשק משתמש משלכם, מזינים כתובת URL לאימות. מערכת IAP תפנה אוטומטית בקשות לא מאומתות שהיא מקבלת לכתובת ה-URL הזו.

      הכללת מפתח ה-API בכתובת ה-URL היא אופציונלית. אם לא תציינו מפתח, Google Cloud המסוף יצרף אוטומטית את מפתח ברירת המחדל.

    3. בוחרים אם להשתמש בספקי פרויקטים או בדיירים.

    4. מסמנים את התיבות של הספקים או הדיירים שרוצים להפעיל. בוחרים באפשרות הגדרת ספקים אם צריך לשנות את הספקים או הדיירים.

  9. לוחצים על Save.

כל הכבוד! ה-IAP מוגדר לאימות משתמשים עם זהויות חיצוניות.

חזרה ל-Google Identity

אי אפשר להשתמש ב-IAM להרשאה כשמשתמשים בזהויות חיצוניות. אם רוצים לחזור לזהויות של Google כדי להשתמש ב-IAM, צריך לפעול לפי השלבים הבאים:

  1. חוזרים לדף IAP במסוף Google Cloud .
    פתיחת הדף IAP

  2. בוחרים את המשאב שהוגדר לשימוש ב-IAP.

  3. פותחים את חלונית המידע של Identity Platform.

  4. בוחרים באפשרות שימוש ב-IAM לניהול המשאב הזה.

שימו לב: אם תחזרו לשימוש ב-Google Identity, כתובת ה-URL לאימות, הפרויקט והדיירים המשויכים יימחקו.

המאמרים הבאים