Cómo usar políticas de la organización para controlar la habilitación de IAP

En esta página, se describen las políticas de la organización que puedes establecer para controlar si se puede habilitar IAP en aplicaciones globales y regionales.

Descripción general

IAP es un servicio global, y cualquier configuración de IAP se replica de forma global. Por lo tanto, si tienes requisitos estrictos de cumplimiento de residencia de datos regionales que debes cumplir, es posible que debas asegurarte de que no se pueda habilitar IAP para las aplicaciones de toda tu organización, en proyectos específicos o en carpetas específicas. Puedes controlar la habilitación de IAP configurando restricciones de la política de la organización.

Políticas de la organización de IAP

Las siguientes políticas de la organización restringen la habilitación de IAP para aplicaciones globales y regionales:

• Global: iap.requireGlobalIapWebDisabled

• Regional: iap.requireRegionalIapWebDisabled

Puedes usar las políticas de la organización para evitar que los administradores habiliten IAP en los siguientes servicios:

* Servicios de backend de Compute Engine, referencia de la API: operaciones de inserción, actualización y aplicación de parches de backendServices/regionBackendServices * Aplicaciones de App Engine, referencia de la API: Applications.updateApplication

Cuando habilitas una o ambas restricciones de política, se evita la habilitación futura de IAP en aplicaciones globales o regionales, respectivamente. Configurar las restricciones de la política no inhabilita de forma automática las protecciones de IAP que se aplican a las aplicaciones existentes de Compute Engine o App Engine. En el caso de las aplicaciones existentes en las que se habilitó IAP, asegúrate de que cumplan con las políticas recién establecidas sin sacrificar tu postura de seguridad.

Las políticas de la organización controlan de forma específica y estricta solo la habilitación de IAP y no otros aspectos de la configuración de IAP. Cuando se implementa una política de la organización, un administrador puede actualizar cualquier parámetro de configuración de IAP, incluida la información del cliente de OAuth, para cualquier aplicación que no cumpla con la política en el momento de su aplicación. Esta flexibilidad te permite mantener una postura de seguridad sólida mientras trabajas para que todos tus servicios cumplan con los requisitos de residencia de datos.