Habilita IAP para GKE

En esta página, se explica cómo proteger una instancia de Google Kubernetes Engine (GKE) con Identity-Aware Proxy (IAP).

Descripción general

IAP está integrado a través de Ingress para GKE. Esta integración te permite controlar el nivel de acceso de los empleados en lugar de usar una VPN.

En el clúster de GKE, el tráfico entrante es controlado por el balanceo de cargas de HTTP(S), un componente de Cloud Load Balancing. Por lo general, el balanceador de cargas de HTTP(S) está configurado por el controlador de Ingress de Kubernetes. El controlador de Ingress recibe información sobre la configuración de un objeto Ingress de Kubernetes, que está vinculado con uno o más objetos de Servicio. Cada objeto de servicio contiene información de enrutamiento que se usa para direccionar una solicitud entrante a un pod o puerto específico.

A partir de la versión Kubernetes 1.10.5-gke.3, tienes la posibilidad de agregar configuraciones al balanceador de cargas mediante la asociación de un servicio con un objeto de BackendConfig. BackendConfig es una definición personalizada de recurso (CRD) que está definida en el repositorio kubernetes/ingress-gce.

El controlador de ingreso de Kubernetes lee los datos de configuración provenientes de BackendConfig y configura el balanceador de cargas según corresponda. BackendConfig contiene datos de configuración específicos de Cloud Load Balancing y permite definir una configuración aparte para cada servicio de backend de balanceo de cargas de HTTP(S).

Antes de comenzar

Con el fin de habilitar IAP para GKE, necesitas lo siguiente:

  • Un proyecto de la Google Cloud consola con facturación habilitada
  • Un grupo de una o más instancias de GKE entregadas mediante un balanceador de cargas de HTTPS. El balanceador de cargas debería crearse de forma automática cuando generas un objeto Ingress en un clúster de GKE
  • Un nombre de dominio registrado con la dirección de tu balanceador de cargas
  • Un código de la aplicación para verificar que todas las solicitudes tengan una identidad

IAP usa un cliente de OAuth administrado por Google para autenticar a los usuarios. Solo los usuarios de la organización pueden acceder a la aplicación habilitada para IAP. Si deseas permitir el acceso a usuarios fuera de tu organización, consulta Habilita IAP para aplicaciones externas.

Habilita IAP

Si no has configurado la pantalla de consentimiento de OAuth de tu proyecto, se te pedirá que lo hagas. Para configurar la pantalla de consentimiento de OAuth, consulta el artículo Configurar la pantalla de consentimiento de OAuth.

Si ejecutas clústeres de GKE con la versión 1.24 o posterior, puedes configurar IAP y GKE mediante la API Gateway de Kubernetes. Para ello, sigue estos pasos y, a continuación, las instrucciones de Configurar IAP. No configures BackendConfig.

Configurar el acceso a IAP

  1. Ve a la página Identity-Aware Proxy.
    Ve a la página Identity-Aware Proxy.
  2. Selecciona el proyecto que quieras proteger con IAP.

  3. Seleccione la casilla situada junto al recurso al que quiera conceder acceso.

    Si no ves un recurso, asegúrate de que se haya creado y de que el controlador de entrada BackendConfig de Compute Engine esté sincronizado.

    Para verificar que el servicio de backend está disponible, ejecuta el siguiente comando de gcloud:

    gcloud compute backend-services list
  4. En el panel lateral de la derecha, haz clic en Añadir principal.
  5. En el cuadro de diálogo Añadir principales que aparece, introduce las direcciones de correo de los grupos o las personas que deban tener el rol Usuario de aplicaciones web protegidas mediante IAP en el proyecto.

    Los siguientes tipos de principales pueden tener este rol:

    • Cuenta de Google: usuario@gmail.com
    • Grupo de Google: admins@googlegroups.com
    • Cuenta de servicio: servidor@example.gserviceaccount.com
    • Dominio de Google Workspace: example.com

    Asegúrate de añadir una cuenta de Google a la que tengas acceso.

  6. En la lista desplegable Roles, selecciona Cloud IAP > IAP-secured Web App User (Cloud IAP > Usuario de aplicación web protegida por IAP).
  7. Haz clic en Guardar.

Configurar BackendConfig

Para configurar un BackendConfig para IAP, añade un bloque iap.

Añadir un bloque iap a BackendConfig

Para configurar BackendConfig para IAP, debes especificar el valor enabled. Asegúrate de tener el permiso compute.backendServices.update y añade el bloque iap a BackendConfig.

En las versiones 1.16.8-gke.3 y posteriores de GKE, usa la versión cloud.google.com/v1 de la API. Si utilizas una versión anterior de GKE, usa cloud.google.com/v1beta1. 

apiVersion: cloud.google.com/v1
kind: BackendConfig
metadata:
  name: CONFIG_DEFAULT
  namespace: my-namespace
spec:
  iap:
    enabled: true

Asociar un puerto de servicio a un BackendConfig

También debes asociar puertos de servicio a tu BackendConfig para activar IAP. Una forma de establecer esta asociación es asignar de forma predeterminada todos los puertos del servicio a tu BackendConfig. Para ello, añade la siguiente anotación al recurso Service: 

metadata:
  annotations:
    beta.cloud.google.com/backend-config: '{"default": "CONFIG_DEFAULT"}'

Verificar el BackendConfig

Para probar la configuración, ejecuta kubectl get event. Si ves el mensaje "no BackendConfig for service port exists", significa que has asociado correctamente un puerto de servicio a tu BackendConfig, pero no se ha encontrado el recurso BackendConfig. Este error puede producirse si no has creado el recurso BackendConfig, lo has creado en el espacio de nombres incorrecto o has escrito mal la referencia en la anotación de Service.

Desactivar IAP

Para desactivar las compras en la aplicación, debes definir enabled como false en BackendConfig. Si eliminas el bloque IAP de BackendConfig, los ajustes se conservarán. Por ejemplo, si las compras en la aplicación están habilitadas y eliminas el bloque, seguirán activadas.

¿Qué sigue?