Sécuriser les applications App Engine avec IAP

Cette page explique comment déployer une application d'environnement standard ou flexible App Engine et la sécuriser avec Identity-Aware Proxy (IAP). Ce guide de démarrage rapide inclut un exemple de code pour une application Web d'environnement standard App Engine qui permet de valider le nom d'un utilisateur connecté.

Si vous prévoyez de diffuser des ressources à partir d'un réseau de diffusion de contenu (CDN), consultez le guide des bonnes pratiques pour obtenir des informations importantes.

Pour sécuriser des ressources qui ne sont pas sur Google Cloud, consultez la page Sécuriser les applications et les ressources sur site.

Avant de commencer

Pour activer IAP pour App Engine, vous devez disposer des éléments suivants:

• Un projet de console Google Cloud avec la facturation activée

Si votre instance App Engine n'est pas déjà configurée, consultez la page Déployer App Engine pour obtenir une présentation complète.

IAP utilise un client OAuth géré par Google pour authentifier les utilisateurs. Seuls les utilisateurs de l'organisation peuvent accéder à l'application compatible avec les achats intégrés. Si vous souhaitez autoriser l'accès à des utilisateurs externes à votre organisation, consultez Activer IAP pour les applications externes.

Remarque :La possibilité d'authentifier des utilisateurs avec un client OAuth géré par Google est disponible en version Preview.

Activer IAP

Console

Le client OAuth géré par Google n'est pas disponible lorsque vous activez l'IAP à l'aide de la console Google Cloud .

gcloud

API

Remarque:Lorsqu'une application App Engine se compose de plusieurs services, pour rendre certains services accessibles au public et en limiter d'autres, activez l'IAP sur l'ensemble de l'application, puis attribuez le rôle Utilisateur de l'application Web sécurisée par IAP à "allUsers" ou "allAuthenticatedUsers" sur les services qui doivent être accessibles au public.

Accès basé sur les rôles:si vous êtes propriétaire du projet, vous pensez peut-être que vous obtenez un accès automatique à l'application. Ce n'est toutefois pas le cas, car les comptes ayant le rôle Utilisateur de l'application Web sécurisée par IAP sur ce projet y ont accès. Imaginez que vous êtes dans l'informatique de l'entreprise et que vous mettez en œuvre l'accès IAP au système de rémunération RH. Dans la plupart des cas, seul le personnel de l'équipe de rémunération doit avoir accès à l'application. C'est l'une des raisons pour lesquelles l'accès basé sur les rôles est plus sécurisé. Le propriétaire (ou l'éditeur, etc.) d'un projet peut gérer tous les aspects du projet, mais n'obtient pas automatiquement l'accès à l'application.

Tester l'authentification des utilisateurs

1. Accédez à l'URL de l'application à partir d'un compte Google que vous avez ajouté à IAP avec le rôle Utilisateur de l'application Web sécurisée par IAP, comme décrit ci-dessus. Vous devez disposer d'un accès illimité à l'application.

2. Ouvrez une fenêtre de navigation privée dans Chrome pour accéder à l'application, puis connectez-vous lorsque vous y êtes invité. Si vous tentez d'accéder à l'application au moyen d'un compte non autorisé avec le rôle Utilisateur de l'application Web sécurisée par IAP, un message s'affiche indiquant que vous ne disposeez pas de l'accès.

Étapes suivantes

• Définissez des règles de contexte plus riches en appliquant des niveaux d'accès.
• Consultez les demandes d'accès en activant les journaux d'audit Cloud.
• Découvrez-en plus sur IAP.
• Découvrez comment obtenir l'identité de l'utilisateur et développez votre propre application App Engine.