IAP für App Engine aktivieren

Auf dieser Seite wird erläutert, wie eine App Engine-Instanz mit Identity-Aware Proxy (IAP) gesichert wird.

Hinweis

So aktivieren Sie IAP für App Engine:

1. Verwenden Sie ein Google Cloud Console-Projekt mit aktivierter Abrechnung.

2. Achten Sie darauf, dass das Projekt zu einer Google Cloud Organisation gehört, wenn Sie den von Google verwalteten OAuth-Standardclient verwenden möchten. Wenn Sie keine Organisation haben, können Sie eine erstellen. Informationen zu den Vorteilen der Verwendung eines benutzerdefinierten OAuth-Clients finden Sie unter Benutzerdefinierte OAuth-Clients für App Engine konfigurieren. Der von Google verwaltete OAuth-Client ermöglicht nur den Zugriff für interne Nutzer.

   Wichtig: Wenn Ihr Projekt nicht zu einer Organisation gehört oder Sie Nutzern außerhalb Ihrer Organisation Zugriff gewähren möchten, müssen Sie eine benutzerdefinierte OAuth-Konfiguration verwenden. Wenn Sie IAP für ein Projekt ohne Organisation oder benutzerdefinierte Anmeldedaten aktivieren, schlagen Anfragen mit dem HTTP 502: Empty Google Account OAuth client ID(s)/secret(s) Fehler fehl.

3. Richten Sie Ihre App Engine-Instanz ein, falls noch nicht geschehen. Eine vollständige Anleitung finden Sie unter In App Engine bereitstellen.

IAP aktivieren

Console

Wenn Ihr Projekt nicht zu einer Organisation gehört, müssen Sie benutzerdefinierte OAuth-Anmeldedaten verwenden.

Wenn Sie den OAuth-Zustimmungsbildschirm Ihres Projekts noch nicht konfiguriert haben, werden Sie dazu aufgefordert. Informationen zum Konfigurieren des OAuth-Zustimmungsbildschirms finden Sie unter OAuth-Zustimmungsbildschirm einrichten.

IAP-Zugriff einrichten

1. Rufen Sie die Seite Identity-Aware Proxy auf.
   Zur Seite "Identity-Aware Proxy"
2. Wählen Sie das Projekt aus, das Sie mit IAP sichern möchten.
3. Klicken Sie das Kästchen neben der Ressource an, für die Sie Zugriff gewähren möchten.
4. Klicken Sie auf der rechten Seite auf Hauptkonto hinzufügen.
5. Fügen Sie im daraufhin angezeigten Dialogfeld Hauptkonten hinzufügen die E-Mail-Adressen von Nutzergruppen oder einzelnen Nutzern hinzu, denen Sie für das Projekt die Rolle Nutzer von IAP-gesicherten Web-Apps zuweisen möchten.

   Die folgenden Arten von Hauptkonten können diese Rolle haben:

   • Google-Konto: [e-mail]
   • Google Group: [e-mail]
   • Dienstkonto: [e-mail]
   • Google Workspace-Domain: beispiel.de

   Fügen Sie unbedingt ein Google-Konto hinzu, auf das Sie zugreifen können.

6. Wählen Sie in der Drop-down-Liste Rollen den Eintrag Cloud IAP > Nutzer von IAP-gesicherten Web-Apps aus.
7. Klicken Sie auf Speichern.

IAP aktivieren

1. Suchen Sie auf der Seite Identity-Aware Proxy unter Anwendungen nach der Anwendung, auf die Sie den Zugriff einschränken möchten. Verwenden Sie den Schieberegler in der Spalte IAP, um IAP für eine Ressource zu aktivieren.
   
2. Klicken Sie im angezeigten Fenster IAP aktivieren auf Aktivieren, um zu bestätigen, dass die Ressource durch IAP gesichert werden soll. Nachdem Sie IAP aktiviert haben, sind für alle Verbindungen zu Ihrem Load-Balancer Anmeldedaten erforderlich. Zugriff erhalten nur Hauptkonten mit der Rolle „Nutzer von IAP-gesicherten Web-Apps“ (roles/iap.httpsResourceAccessor) für das Projekt.

gcloud

Bevor Sie Ihr Projekt und IAP einrichten, benötigen Sie eine aktuelle Version der gcloud CLI. Eine Anleitung zur Installation der gcloud CLI finden Sie unter gcloud CLI installieren.

1. Verwenden Sie die Google Cloud CLI, um sich zu authentifizieren, und führen Sie den folgenden Befehl aus.

   gcloud auth login

2. Klicken Sie auf die angezeigte URL und melden Sie sich an.
3. Kopieren Sie nach der Anmeldung den angezeigten Bestätigungscode und fügen Sie ihn in die Befehlszeile ein.
4. Führen Sie den folgenden Befehl aus, um das Projekt anzugeben, das die Anwendungen enthält, die Sie mit IAP schützen möchten.

   gcloud config set project PROJECT_ID

5. Führen Sie den folgenden Befehl aus, um IAP zu aktivieren.

   gcloud iap web enable --resource-type=app-engine --versions=version

6. Fügen Sie dem Projekt Hauptkonten hinzu, die die Rolle „Nutzer von IAP-gesicherten Web-Apps“ haben sollen.

   gcloud projects add-iam-policy-binding PROJECT_ID \
          --member=PRINCIPAL_IDENTIFIER \
          --role=roles/iap.httpsResourceAccessor

   • Ersetzen Sie PROJECT_ID durch Ihre Projekt-ID.
   • Ersetzen Sie PRINCIPAL_IDENTIFIER durch die erforderlichen Hauptkonten. Dies kann ein Domain-, Gruppen-, Dienstkonto- oder Nutzertyp sein. Beispiel: user:[e-mail].

Nachdem Sie IAP aktiviert haben, können Sie mit der gcloud CLI die IAP-Zugriffsrichtlinie mithilfe der IAM-Rolle roles/iap.httpsResourceAccessor ändern. Weitere Informationen zum Verwalten von Rollen und Berechtigungen.

API

1. Führen Sie den folgenden Befehl aus, um eine settings.json-Datei vorzubereiten.

   cat << EOF > settings.json
   {
   "iap":
     {
       "enabled":true
     }
   }
   EOF
   

2. Führen Sie den folgenden Befehl aus, um IAP zu aktivieren.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Accept: application/json" \
   -H "Content-Type: application/json" \
   -d @settings.json \
   "https://appengine.googleapis.com/v1/apps/PROJECT_ID?updateMask=iap"
   

Nachdem Sie IAP aktiviert haben, können Sie mit der Google Cloud CLI die IAP-Zugriffsrichtlinie mithilfe der IAM-Rolle roles/iap.httpsResourceAccessor ändern. Weitere Informationen zum Verwalten von Rollen und Berechtigungen.

Sie können IAP für einen App Engine-Dienst in Ihrem Projekt aktivieren. Wenn Sie einige Dienste öffentlich zugänglich machen und für andere eine Authentifizierung erforderlich machen möchten, können Sie für die verschiedenen Dienste unterschiedliche Zugriffsebenen verwenden. Weitere Informationen finden Sie unter Zugriff mit IAP verwalten. Wenn Sie Dienste öffentlich zugänglich machen möchten, gewähren Sie allAuthenticatedUsers die Rolle Nutzer von IAP-gesicherten Web-Apps.

Rollenbasierter Zugriff: Zugriff erhalten nur Principals mit der Rolle Nutzer von IAP-gesicherten Web-Apps (roles/iap.httpsResourceAccessor) in diesem Projekt. Der Zugriff auf IAP-geschützte Anwendungen wird nicht automatisch gewährt, auch nicht für Rollen mit umfassenden Berechtigungen wie Owner oder Editor.

Nutzerauthentifizierung testen

1. Nachdem die Rolle gewährt wurde, können Principals auf die App zugreifen, indem sie sich mit IAP authentifizieren. Rufen Sie die App-URL über ein Google-Konto auf, dem die Rolle Nutzer von IAP-gesicherten Web-Apps (roles/iap.httpsResourceAccessor) gewährt wurde.

2. Öffnen Sie zum Testen des Zugriffs ein Inkognitofenster in Chrome, rufen Sie die App-URL auf und melden Sie sich an, wenn Sie dazu aufgefordert werden. Nutzer, denen die Rolle Nutzer von IAP-gesicherten Web-Apps (roles/iap.httpsResourceAccessor) gewährt wurde und die sich erfolgreich authentifiziert haben, können auf die App zugreifen. Nutzer, denen die erforderliche Rolle nicht gewährt wurde oder die sich nicht authentifizieren können, können nicht auf die App zugreifen.