Autenticare gli utenti con gli Account Google

Autenticare gli utenti con gli Account Google

Questa pagina ti guida nel deployment di un'applicazione dell'ambiente standard o flessibile di App Engine e nella sua protezione con Identity-Aware Proxy (IAP). La guida rapida include un codice campione per un'app web dell'ambiente standard di App Engine che verifica il nome di un utente che ha eseguito l'accesso. Questa guida rapida utilizza Cloud Shell per clonare ed eseguire il deployment dell'applicazione di esempio. Puoi utilizzare questa guida rapida per attivare IAP per la tua app dell'ambiente standard App Engine o dell'ambiente flessibile App Engine.

Se prevedi di pubblicare risorse da una rete CDN (Content Delivery Network), consulta la guida alle best practice per informazioni importanti.

Quando un'applicazione App Engine è composta da più servizi, è possibile configurare diverse autorizzazioni IAP sui diversi servizi, ad esempio rendendo solo alcuni dei servizi accessibili pubblicamente mantenendo gli altri protetti.

---

Per seguire le indicazioni dettagliate per questa attività direttamente nella Google Cloud console, fai clic su Procedura guidata:

Procedura guidata

---

Prima di iniziare

Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Prima di iniziare

Per abilitare IAP per App Engine, devi disporre di:

• Un progetto della console Google Cloud con la fatturazione abilitata.

Se non hai ancora configurato l'istanza App Engine, consulta Deployment di App Engine per una procedura dettagliata completa.

IAP utilizza un client OAuth gestito da Google per autenticare gli utenti. Solo gli utenti all'interno dell'organizzazione possono accedere all'applicazione abilitata per IAP-app. Se vuoi consentire l'accesso a utenti esterni all'organizzazione, consulta Attivare IAP per applicazioni esterne.

Nota: la possibilità di autenticare gli utenti con un client OAuth gestito da Google è disponibile in anteprima.

Attivazione di IAP

Console

Il client OAuth gestito da Google non è disponibile quando abiliti IAP utilizzando la console Google Cloud .

If you haven't configured your project's OAuth consent screen, you'll be prompted to do so. To configure your OAuth consent screen, see Setting up your OAuth consent screen.

Setting up IAP access

1. Go to the Identity-Aware Proxy page.
   Go to the Identity-Aware Proxy page
2. Select the project you want to secure with IAP.
3. Select the checkbox next to the resource you want to grant access to.
4. On the right side panel, click Add principal.
5. In the Add principals dialog that appears, enter the email addresses of groups or individuals who should have the IAP-secured Web App User role for the project.

   The following kinds of principals can have this role:

   • Google Account: [e-mail]
   • Google Group: [e-mail]
   • Service account: [e-mail]
   • Google Workspace domain: example.com

   Make sure to add a Google Account that you have access to.

6. Select Cloud IAP > IAP-secured Web App User from the Roles drop-down list.
7. Click Save.

Turning on IAP

1. On the Identity-Aware Proxy page, under APPLICATIONS, find the application you want to restrict access to. To turn on IAP for a resource, toggle the on/off switch in the IAP column.
   
2. In the Turn on IAP window that appears, click Turn On to confirm that you want IAP to secure your resource. After you turn on IAP, it requires login credentials for all connections to your load balancer. Only accounts with the IAP-Secured Web App User role on the project will be given access.

gcloud

Before you set up your project and IAP, you need an up-to-date version of the gcloud CLI. For instructions on how to install the gcloud CLI, see Install the gcloud CLI.

1. To authenticate, use the Google Cloud CLI and run the following command.

   gcloud auth login

2. Click the URL that appears and sign in.
3. After you sign in, copy the verification code that appears and paste it in the command line.
4. Run the following command to specify the project that contains the applications that you want to protect with IAP.

   gcloud config set project PROJECT_ID

5. To enable IAP, run the following command.

   gcloud iap web enable --resource-type=app-engine --versions=version

6. Add principals who should have the IAP-secured Web App user role to the project.

   gcloud projects add-iam-policy-binding PROJECT_ID \
          --member=PRINCIPAL_IDENTIFIER \
          --role=roles/iap.httpsResourceAccessor

   • Replace PROJECT_ID with your project ID.
   • Replace PRINCIPAL_IDENTIFIER with the necessary principals. This can be a type of domain, group, serviceAccount, or user. For example, user:[e-mail].

After you enable IAP, you can use the gcloud CLI to modify the IAP access policy using the IAM role roles/iap.httpsResourceAccessor. Learn more about managing roles and permissions.

API

1. Run the following command to prepare a settings.json file.

   cat << EOF > settings.json
   {
   "iap":
     {
       "enabled":true
     }
   }
   EOF
   

2. Run the following command to enable IAP.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Accept: application/json" \
   -H "Content-Type: application/json" \
   -d @settings.json \
   "https://appengine.googleapis.com/v1/apps/PROJECT_ID?updateMask=iap"
   

After you enable IAP, you can use the Google Cloud CLI to modify the IAP access policy using the IAM role roles/iap.httpsResourceAccessor. Learn more about managing roles and permissions.

Nota: quando un'applicazione App Engine è costituita da più servizi, per rendere alcuni servizi accessibili pubblicamente e mantenere altri con accesso limitato, attiva IAP sull'intera applicazione, quindi assegna il ruolo Utente app web protetta da IAP ad `allUsers` o `allAuthenticatedUsers` sui servizi che devono essere accessibili pubblicamente.

Accesso basato sui ruoli:se sei il proprietario di un progetto, potresti pensare di avere accesso automatico all'app. Non è così, perché solo gli account con il ruolo Utente app web protetta da IAP in questo progetto avranno accesso. Immagina di lavorare nel reparto IT di un'azienda e di implementare l'accesso IAP al sistema di gestione delle paghe RU. Nella maggior parte degli scenari, solo il personale del team Payroll deve avere accesso all'app. Questo è uno dei motivi per cui l'accesso basato sui ruoli è più sicuro. Il proprietario (o l'editor e così via) di un progetto può gestire tutti gli aspetti del progetto, ma non ottiene automaticamente l'accesso all'app.

Testare l'autenticazione utente

1. Accedi all'URL dell'app da un Account Google che hai aggiunto a IAP con il ruolo Utente applicazione web con protezione IAP come descritto sopra. Dovresti avere accesso senza limitazioni all'app.

2. Utilizza una finestra in modalità incognito su Chrome per raggiungere l'app e accedere quando richiesto. Se provi ad accedere all'app con un account non autorizzato con il ruolo Utente app web protetta da IAP, verrà visualizzato un messaggio che ti comunica che non hai accesso.

Passaggi successivi

• Scopri di più su Recupero dell'identità dell'utente e sviluppa la tua app App Engine.