Creazione di client OAuth personalizzati per IAP

Questa pagina descrive come creare un client OAuth quando utilizzi la configurazione OAuth personalizzata per abilitare IAP con le identità Google.

Se vuoi utilizzare un client OAuth gestito da Google per abilitare IAP, consulta Abilitare IAP utilizzando un client OAuth gestito da Google.

Crea un client OAuth

Puoi creare un massimo di 36 client OAuth per ogni progetto con la Google Cloud console. Puoi creare un massimo di 500 client OAuth per ogni progetto con Google Cloud CLI.

Console

Completa i seguenti passaggi per creare un client OAuth utilizzando la Google Cloud console.

Configura la schermata per il consenso OAuth seguendo le istruzioni riportate in Configurare la schermata per il consenso OAuth.
Crea un client OAuth seguendo le istruzioni riportate in Configurare OAuth 2.0.

gcloud

Limitazioni note

Di seguito sono riportate le limitazioni per i client OAuth creati a livello di programmazione utilizzando l'API:

I client OAuth creati dall'API possono essere modificati solo utilizzando l'API. Non puoi modificare un client OAuth utilizzando la Google Cloud console se è stato creato utilizzando l'API.
I client OAuth creati dall'API sono bloccati solo per l'utilizzo di IAP, pertanto l'API non consente aggiornamenti all'URI di reindirizzamento o ad altri attributi.
L'API non funziona sui client OAuth creati utilizzando la Google Cloud console.
Quando utilizzi l'API, sono consentiti solo 500 client OAuth per progetto.
I brand della schermata per il consenso OAuth creati tramite API hanno limitazioni specifiche. Per maggiori informazioni, consulta la sezione.

Informazioni sui brand e sullo stato del branding

La schermata per il consenso OAuth, che contiene informazioni sul branding per gli utenti, è nota come brand. I brand possono essere limitati agli utenti interni o agli utenti pubblici. Un brand interno rende il flusso OAuth accessibile a chi appartiene alla stessa organizzazione Google Workspace del progetto. Un brand pubblico rende il flusso OAuth disponibile a chiunque su internet.

I brand possono essere creati manualmente o a livello di programmazione utilizzando un'API. I brand creati utilizzando un'API vengono configurati automaticamente con le seguenti impostazioni:

Interno. Devi impostare manualmente l'opzione su pubblico.
Da controllare. Devi attivare una revisione del brand.

Per impostare un brand interno su pubblico:

Apri la schermata per il consenso OAuth.
Seleziona un progetto dal menu a discesa.
Nella pagina Schermata per il consenso OAuth, tieni presente che il Tipo di utente è impostato automaticamente su Interno. Per impostarlo su Pubblico, fai clic su Modifica app. Verranno visualizzate altre opzioni di configurazione.
In Tipo di applicazione, fai clic su Pubblico.

Per attivare una revisione del brand per un brand creato tramite API non ancora sottoposto a revisione:

Apri la schermata per il consenso OAuth.
Seleziona un progetto dal menu a discesa.
Nella pagina Schermata per il consenso OAuth, inserisci le informazioni richieste, quindi fai clic su Invia per la verifica.

Il processo di verifica può richiedere diverse settimane. Riceverai aggiornamenti via email nel corso dell'elaborazione. Scopri di più su verifica. Durante il processo di verifica, puoi comunque utilizzare l'applicazione all'interno della tua organizzazione Google Workspace. Scopri di più sul comportamento dell'applicazione prima della verifica.

Autorizzazioni obbligatorie

Prima di creare il client, assicurati che al chiamante siano state concesse le seguenti autorizzazioni:

clientauthconfig.brands.list
clientauthconfig.brands.create
clientauthconfig.brands.get
clientauthconfig.clients.create
clientauthconfig.clients.listWithSecrets
clientauthconfig.clients.getWithSecret
clientauthconfig.clients.delete
clientauthconfig.clients.update

Queste autorizzazioni sono incluse nei ruoli di base Editor (roles/editor) e Proprietario (roles/owner) , ma ti consigliamo di creare un ruolo personalizzato che contenga queste autorizzazioni e di concederlo al chiamante.

Configura OAuth per IAP

I seguenti passaggi descrivono come configurare la schermata per il consenso e creare un client OAuth per IAP.

Configurazione della schermata per il consenso

Verifica se hai già un brand esistente utilizzando il comando list. Puoi avere un solo brand per progetto.
```
gcloud iap oauth-brands list
```
Di seguito è riportato un esempio di risposta di gcloud, se il brand esiste:
```
name: projects/[PROJECT_NUMBER]/brands/[BRAND_ID]
applicationTitle: [APPLICATION_TITLE]
supportEmail: [SUPPORT_EMAIL]
orgInternalOnly: true
```
Nota: se per un progetto esiste già un brand configurato per utenti esterni (orgInternalOnly: false), ma vuoi limitarlo agli utenti interni, devi apportare manualmente la modifica dalla schermata per il consenso OAuth per creare client OAuth con questa API.
Se non esiste un brand, utilizza il comando create:
```
gcloud iap oauth-brands create --application_title=APPLICATION_TITLE --support_email=SUPPORT_EMAIL
```
I campi precedenti sono obbligatori quando chiami questa API:
- supportEmail: l'email di assistenza visualizzata nella schermata per il consenso OAuth. Questo indirizzo email può essere l'indirizzo di un utente o un alias di Google Gruppi. Sebbene anche gli account di servizio abbiano un indirizzo email, non sono indirizzi email validi e non possono essere utilizzati per creare un brand. Tuttavia, un account di servizio può essere il proprietario di un gruppo Google. Crea un nuovo gruppo Google o configura un gruppo esistente e imposta l'account di servizio desiderato come proprietario del gruppo.
  
  Nota :l'utente che invia la richiesta deve essere un proprietario dell'indirizzo email di assistenza specificato.
- applicationTitle: Il nome dell'applicazione visualizzato nella schermata per il consenso OAuth.
La risposta contiene i seguenti campi:
```
name: projects/[PROJECT_NUMBER]/brands/[BRAND_ID]
applicationTitle: [APPLICATION_TITLE]
supportEmail: [SUPPORT_EMAIL]
orgInternalOnly: true
```

Creazione di un client OAuth IAP

Utilizza il comando create per creare un client. Utilizza il brand name del passaggio precedente.

gcloud iap oauth-clients create projects/PROJECT_NUMBER/brands/BRAND-ID --display_name=NAME

La risposta contiene i seguenti campi:

name: projects/[PROJECT_NUMBER]/brands/[BRAND_NAME]/identityAwareProxyClients/[CLIENT_ID]
secret: [CLIENT_SECRET]
displayName: [NAME]