App Engine-Anwendungen mit IAP sichern

Auf dieser Seite wird die Bereitstellung einer Anwendung für die App Engine-Standardumgebung oder für die flexible App Engine-Umgebung und deren Schutz mit Identity-Aware Proxy (IAP) erläutert. Die Kurzanleitung umfasst Beispielcode für eine Webanwendung in der App Engine-Standardumgebung, die den Namen eines angemeldeten Nutzers prüft.

Wenn Sie Ressourcen aus einem Content Delivery Network (CDN) bereitstellen möchten, finden Sie wichtige Informationen dazu im Best-Practices-Leitfaden.

Informationen zum Schutz von Ressourcen, die nicht in Google Cloud gespeichert sind, finden Sie unter Lokale Anwendungen und Ressourcen sichern. Google Cloud

Hinweise

Zum Aktivieren von IAP für die App Engine benötigen Sie Folgendes:

• Ein Google Cloud Console-Projekt mit aktivierter Abrechnung.

Wenn Sie Ihre App Engine-Instanz noch nicht eingerichtet haben, finden Sie unter App Engine bereitstellen eine vollständige Schritt-für-Schritt-Anleitung.

IAP verwendet einen von Google verwalteten OAuth-Client, um Nutzer zu authentifizieren. Nur Nutzer innerhalb der Organisation können auf die IAP-kompatible Anwendung zugreifen. Wenn Sie Nutzern außerhalb Ihrer Organisation Zugriff gewähren möchten, lesen Sie den Hilfeartikel IAP für externe Anwendungen aktivieren.

Hinweis :Die Authentifizierung von Nutzern über einen von Google verwalteten OAuth-Client ist in der Vorabversion verfügbar.

IAP aktivieren

Console

Der von Google verwaltete OAuth-Client ist nicht verfügbar, wenn Sie IAP über die Google Cloud -Konsole aktivieren.

gcloud

API

Hinweis:Wenn eine App Engine-Anwendung aus mehreren Diensten besteht, können Sie einige Dienste öffentlich zugänglich machen und andere einschränken, indem Sie IAP für die gesamte Anwendung aktivieren und dann der Rolle Nutzer von IAP-gesicherten Webanwendungen die Berechtigung „allUsers“ oder „allAuthenticatedUsers“ für die Dienste zuweisen, die öffentlich zugänglich sein sollen.

Rollenbasierter Zugriff: Wenn Sie Projektinhaber sind, denken Sie vielleicht, dass Sie automatisch Zugriff erhalten auf die App. Dies ist nicht der Fall, da nur Konten mit der Rolle Nutzer von IAP-gesicherten Web-Apps für dieses Projekt Zugriff erhalten. Angenommen, Sie arbeiten in einer Unternehmens-IT, die IAP-Zugriff auf das Personalabteilung-Abrechnungssystem implementiert. In den meisten Fällen sollten nur die Mitarbeiter des Abrechnungs-Teams Zugriff auf die Anwendung haben. Dies ist einer der Gründe, warum der rollenbasierte Zugriff sicherer ist. Der Inhaber oder Bearbeiter, etc. eines Projekts kann alle Aspekte des Projekts verwalten, aber erhält nicht automatisch Zugriff auf die Anwendung.

Nutzerauthentifizierung testen

1. Rufen Sie die App-URL über ein Google-Konto auf, das Sie IAP unter Einsatz der oben beschriebenen Rolle Nutzer von IAP-gesicherten Web-Apps hinzugefügt haben. Sie müssen dazu uneingeschränkten Zugriff auf die Anwendung haben.

2. Für den Zugriff auf die Anwendung verwenden Sie ein Inkognitofenster in Chrome. Melden Sie sich an, wenn Sie dazu aufgefordert werden. Wenn Sie versuchen, mit einem Konto, das nicht mit der Rolle Nutzer von IAP-gesicherten Web-Apps autorisiert ist, auf die Anwendung zuzugreifen, werden Sie in einer Meldung darauf hingewiesen, dass Sie keinen Zugriff haben.

Nächste Schritte

• Umfassendere Kontextregeln durch Anwenden von Zugriffsebenen festlegen
• Mehr über Zugriffsanfragen durch Cloud-Audit-Logs aktivieren erfahren
• Weitere Informationen zu IAP
• Mehr darüber erfahren, wie Sie die Identität des Nutzers abrufen und Ihre eigene App Engine-Anwendung entwickeln