Como ativar o IAP para o App Engine

Nesta página, você vai aprender a proteger uma instância do App Engine com o Identity-Aware Proxy (IAP).

Antes de começar

Para ativar o IAP para o App Engine, você precisará destes elementos:

• Um Google Cloud projeto do console com o faturamento ativado.

Se você ainda não configurou a instância do App Engine, consulte Como implantar o App Engine para um tutorial completo.

O IAP usa um cliente OAuth gerenciado pelo Google para autenticar usuários. Somente usuários na organização podem acessar o aplicativo ativado IAP app. Se você quiser permitir o acesso a usuários de fora da sua organização, consulte Ativar o IAP para aplicativos externos.

Observação: a capacidade de autenticar usuários com um cliente OAuth gerenciado pelo Google está disponível em Visualização.

Como ativar o IAP

Console

O cliente OAuth gerenciado pelo Google não está disponível ao ativar o IAP usando o console Google Cloud .

Se não tiver configurado o ecrã de consentimento OAuth do seu projeto, é-lhe pedido que o faça. Para configurar o ecrã de consentimento OAuth, consulte o artigo Configurar o ecrã de consentimento OAuth.

Configurar o acesso à IAP

1. Aceda à página Identity-Aware Proxy.
   Aceda à página Identity-Aware Proxy
2. Selecione o projeto que quer proteger com o IAP.
3. Selecione a caixa de verificação junto ao recurso ao qual quer conceder acesso.
4. No painel do lado direito, clique em Adicionar diretor.
5. Na caixa de diálogo Adicionar responsáveis apresentada, introduza os endereços de email dos grupos ou indivíduos que devem ter a função Utilizador da app Web protegida pelo IAP para o projeto.

   Os seguintes tipos de principais podem ter esta função:

   • Conta Google: [e-mail]
   • Grupo Google: [e-mail]
   • Conta de serviço: [e-mail]
   • Domínio do Google Workspace: example.com

   Certifique-se de que adiciona uma Conta Google à qual tem acesso.

6. Selecione Cloud IAP > Utilizador da app Web protegida pelo IAP na lista pendente Funções.
7. Clique em Guardar.

Ativar o IAP

1. Na página Identity-Aware Proxy, em APLICAÇÕES, encontre a aplicação à qual quer restringir o acesso. Para ativar a IAP para um recurso: ative/desative o interruptor na coluna IAP.
   
2. Na janela Ativar IAP apresentada, clique em Ativar para confirmar que quer que o IAP proteja o seu recurso. Depois de ativar o IAP, este requer credenciais de início de sessão para todas as ligações ao seu equilibrador de carga. Apenas as contas com a função utilizador da app Web protegida pelo IAP no projeto têm acesso.

gcloud

Before you set up your project and IAP, you need an up-to-date version of the gcloud CLI. For instructions on how to install the gcloud CLI, see Install the gcloud CLI.

1. To authenticate, use the Google Cloud CLI and run the following command.

   gcloud auth login

2. Click the URL that appears and sign in.
3. After you sign in, copy the verification code that appears and paste it in the command line.
4. Run the following command to specify the project that contains the applications that you want to protect with IAP.

   gcloud config set project PROJECT_ID

5. To enable IAP, run the following command.

   gcloud iap web enable --resource-type=app-engine --versions=version

6. Add principals who should have the IAP-secured Web App user role to the project.

   gcloud projects add-iam-policy-binding PROJECT_ID \
          --member=PRINCIPAL_IDENTIFIER \
          --role=roles/iap.httpsResourceAccessor

   • Replace PROJECT_ID with your project ID.
   • Replace PRINCIPAL_IDENTIFIER with the necessary principals. This can be a type of domain, group, serviceAccount, or user. For example, user:[e-mail].

After you enable IAP, you can use the gcloud CLI to modify the IAP access policy using the IAM role roles/iap.httpsResourceAccessor. Learn more about managing roles and permissions.

API

1. Run the following command to prepare a settings.json file.

   cat << EOF > settings.json
   {
   "iap":
     {
       "enabled":true
     }
   }
   EOF
   

2. Run the following command to enable IAP.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Accept: application/json" \
   -H "Content-Type: application/json" \
   -d @settings.json \
   "https://appengine.googleapis.com/v1/apps/PROJECT_ID?updateMask=iap"
   

After you enable IAP, you can use the Google Cloud CLI to modify the IAP access policy using the IAM role roles/iap.httpsResourceAccessor. Learn more about managing roles and permissions.

Observação:quando um aplicativo do App Engine consiste em vários serviços, para tornar alguns serviços acessíveis publicamente e manter outros restritos, ative a IAP em todo o aplicativo e conceda a função de usuário do app da Web protegido pela IAP a allUsers ou allAuthenticatedUsers nos serviços que devem ser acessíveis publicamente.

Acesso baseado em papéis:somente os principais com o papel de usuário do app da Web protegido pelo IAP (roles/iap.httpsResourceAccessor) nesse projeto têm acesso. O acesso a aplicativos protegidos pela IAP não é concedido automaticamente, mesmo para funções com permissões extensas, como Owner ou Editor.

Testar a autenticação do usuário de teste

1. Depois que a função é concedida, os principais podem acessar o app após a autenticação com o IAP. Acesse o URL do aplicativo usando uma Conta do Google que recebeu o IAP com o papel de usuário do app da Web protegido pelo IAP (roles/iap.httpsResourceAccessor).

2. Use uma janela anônima no Chrome para acessar o app e faça login quando solicitado. Os usuários que recebem o papel de usuário do app da Web protegido pelo IAP e se autenticam com sucesso podem acessar o app. Os usuários que não recebem o papel necessário ou não conseguem se autenticar não podem acessar o app.