Utiliser des règles d'administration pour contrôler l'activation de l'API IAP

Cette page décrit les règles d'administration que vous pouvez définir pour contrôler si IAP peut être activé sur les applications globales et régionales.

Présentation

IAP est un service mondial, et toute configuration IAP est répliquée à l'échelle mondiale. Par conséquent, si vous devez respecter des exigences strictes de conformité concernant la résidence des données régionales, vous devrez peut-être vous assurer qu'IAP ne peut pas être activé pour les applications de votre organisation, dans des projets spécifiques ou dans des dossiers spécifiques. Vous pouvez contrôler l'activation d'IAP en définissant des contraintes de règle d'administration.

Règles d'administration IAP

Les règles d'administration suivantes limitent l'activation d'IAP pour les applications globales et régionales :

  • Champ d'application global : iap.requireGlobalIapWebDisabled

  • Champ d'application régional : iap.requireRegionalIapWebDisabled

Vous pouvez utiliser les règles d'administration pour empêcher les administrateurs d'activer IAP sur les services suivants :

  • Services de backend Compute Engine, documentation de référence de l'API : opérations d'insertion, de mise à jour et de correction backendServices/regionBackendServices

  • Applications App Engine, documentation de référence de l'API : Applications.updateApplication

Lorsque vous activez l'une de ces contraintes de règle ou les deux, cela empêche l'activation d'IAP sur les applications globales ou régionales, respectivement. La définition des contraintes de règle ne désactive pas automatiquement les protections IAP en place pour les applications Compute Engine ou App Engine existantes.

Pour les applications existantes sur lesquelles IAP est activé, assurez-vous de les rendre conformes aux nouvelles règles définies sans sacrifier votre stratégie de sécurité.

Les règles d'administration contrôlent spécifiquement et strictement l'activation d'IAP, et non les autres aspects de la configuration d'IAP. Lorsqu'une règle d'administration est en place, un administrateur peut mettre à jour tous les paramètres IAP, y compris les informations sur le client OAuth, pour toute application non conforme au moment de l'application de la règle. Cette flexibilité vous permet de maintenir une stratégie de sécurité solide tout en vous efforçant de mettre tous vos services en conformité avec les exigences de résidence des données.