IAP für App Engine aktivieren

Auf dieser Seite wird erläutert, wie eine App Engine-Instanz mit Identity-Aware Proxy (IAP) gesichert wird.

Hinweis

So aktivieren Sie IAP für App Engine:

  1. Verwenden Sie ein Google Cloud Console-Projekt mit aktivierter Abrechnung.

  2. Achten Sie darauf, dass das Projekt zu einer Google Cloud Organisation gehört, wenn Sie den von Google verwalteten OAuth-Standardclient verwenden möchten. Wenn Sie keine Organisation haben, können Sie eine erstellen. Informationen zu den Vorteilen der Verwendung eines benutzerdefinierten OAuth-Clients finden Sie unter Benutzerdefinierte OAuth-Clients für App Engine konfigurieren. Der von Google verwaltete OAuth-Client ermöglicht nur den Zugriff für interne Nutzer.

  3. Richten Sie Ihre App Engine-Instanz ein, falls noch nicht geschehen. Eine vollständige Anleitung finden Sie unter In App Engine bereitstellen.

IAP aktivieren

Console

Wenn Ihr Projekt nicht zu einer Organisation gehört, müssen Sie benutzerdefinierte OAuth-Anmeldedaten verwenden.

Dynamic include file

If you haven't configured your project's OAuth consent screen, you'll be prompted to do so. To configure your OAuth consent screen, see Setting up your OAuth consent screen.

Setting up IAP access

  1. Go to the Identity-Aware Proxy page.
    Go to the Identity-Aware Proxy page
  2. Select the project you want to secure with IAP.
  3. Select the checkbox next to the resource you want to grant access to.
  4. On the right side panel, click Add principal.
  5. In the Add principals dialog that appears, enter the email addresses of groups or individuals who should have the IAP-secured Web App User role for the project.

    The following kinds of principals can have this role:

    • Google Account: user@gmail.com
    • Google Group: admins@googlegroups.com
    • Service account: server@example.gserviceaccount.com
    • Google Workspace domain: example.com

    Make sure to add a Google Account that you have access to.

  6. Select Cloud IAP > IAP-secured Web App User from the Roles drop-down list.
  7. Click Save.

Turning on IAP

  1. On the Identity-Aware Proxy page, under Applications, find the application you want to restrict access to. To turn on IAP for a resource,
  2. In the Turn on IAP window that appears, click Turn On to confirm that you want IAP to secure your resource. After you turn on IAP, it requires login credentials for all connections to your load balancer. Only principals with the IAP-Secured Web App User (roles/iap.httpsResourceAccessor) role on the project will be given access.

gcloud

Before you set up your project and IAP, you need an up-to-date version of the gcloud CLI. For instructions on how to install the gcloud CLI, see Install the gcloud CLI.

  1. To authenticate, use the Google Cloud CLI and run the following command. 
    gcloud auth login
  2. Click the URL that appears and sign in.
  3. After you sign in, copy the verification code that appears and paste it in the command line.
  4. Run the following command to specify the project that contains the applications that you want to protect with IAP. 
    gcloud config set project PROJECT_ID
  5. To enable IAP, run the following command. 
    gcloud iap web enable --resource-type=app-engine --versions=version
  6. Add principals who should have the IAP-secured Web App user role to the project. 
    gcloud projects add-iam-policy-binding PROJECT_ID \
       --member=PRINCIPAL_IDENTIFIER \
       --role=roles/iap.httpsResourceAccessor
    • Replace PROJECT_ID with your project ID.
    • Replace PRINCIPAL_IDENTIFIER with the necessary principals. This can be a type of domain, group, serviceAccount, or user. For example, user:myemail@example.com.

After you enable IAP, you can use the gcloud CLI to modify the IAP access policy using the IAM role roles/iap.httpsResourceAccessor. Learn more about managing roles and permissions.

API

  1. Führen Sie den folgenden Befehl aus, um eine settings.json-Datei vorzubereiten. 

    cat << EOF > settings.json
{
"iap":
  {
    "enabled":true
  }
}
EOF

  2. Führen Sie den folgenden Befehl aus, um IAP zu aktivieren. 

    curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Accept: application/json" \
-H "Content-Type: application/json" \
-d @settings.json \
"https://appengine.googleapis.com/v1/apps/PROJECT_ID?updateMask=iap"

Nachdem Sie IAP aktiviert haben, können Sie mit der Google Cloud CLI die IAP-Zugriffsrichtlinie mithilfe der IAM-Rolle roles/iap.httpsResourceAccessor ändern. Weitere Informationen zum Verwalten von Rollen und Berechtigungen.

Sie können IAP für einen App Engine-Dienst in Ihrem Projekt aktivieren. Wenn Sie einige Dienste öffentlich zugänglich machen und für andere eine Authentifizierung erforderlich machen möchten, können Sie für die verschiedenen Dienste unterschiedliche Zugriffsebenen verwenden. Weitere Informationen finden Sie unter Zugriff mit IAP verwalten. Wenn Sie Dienste öffentlich zugänglich machen möchten, gewähren Sie allAuthenticatedUsers die Rolle Nutzer von IAP-gesicherten Web-Apps.

Nutzerauthentifizierung testen

  1. Nachdem die Rolle gewährt wurde, können Principals auf die App zugreifen, indem sie sich mit IAP authentifizieren. Rufen Sie die App-URL über ein Google-Konto auf, dem die Rolle Nutzer von IAP-gesicherten Web-Apps (roles/iap.httpsResourceAccessor) gewährt wurde.

  2. Öffnen Sie zum Testen des Zugriffs ein Inkognitofenster in Chrome, rufen Sie die App-URL auf und melden Sie sich an, wenn Sie dazu aufgefordert werden. Nutzer, denen die Rolle Nutzer von IAP-gesicherten Web-Apps (roles/iap.httpsResourceAccessor) gewährt wurde und die sich erfolgreich authentifiziert haben, können auf die App zugreifen. Nutzer, denen die erforderliche Rolle nicht gewährt wurde oder die sich nicht authentifizieren können, können nicht auf die App zugreifen.