Autenticar usuários com Contas do Google

Autenticar usuários com Contas do Google

Nesta página, você verá como implantar um aplicativo do ambiente padrão ou flexível do App Engine e protegê-lo com o Identity-Aware Proxy (IAP). O guia de início rápido inclui o código de amostra de um app da Web do ambiente padrão do App Engine que verifica o nome de um usuário conectado. Aqui, usaremos o Cloud Shell para clonar e implantar o aplicativo de amostra. Use este guia para ativar o IAP para seu próprio aplicativo do ambiente padrão ou flexível do App Engine.

Se você planeja disponibilizar recursos de uma rede de fornecimento de conteúdo (CDN, na sigla em inglês), consulte o guia de práticas recomendadas para informações importantes.

Quando um aplicativo do App Engine consiste em vários serviços, é possível configurar diferentes permissões do IAP nos diferentes serviços, incluindo a possibilidade de tornar apenas alguns dos serviços públicos e manter os outros protegidos.

---

Para seguir as instruções passo a passo desta tarefa diretamente no console do Google Cloud, clique em Orientação:

Orientações

---

Antes de começar

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

3. Make sure that billing is enabled for your Google Cloud project.

Antes de começar

Para ativar o IAP para o App Engine, você precisará destes elementos:

• Um projeto do console do Google Cloud com o faturamento ativado.

Se você ainda não configurou a instância do App Engine, consulte Como implantar o App Engine para um tutorial completo.

O IAP usa um cliente OAuth gerenciado pelo Google para autenticar usuários. Somente os usuários da organização podem acessar o aplicativo com IAP ativado. Se você quiser permitir o acesso de usuários de fora da sua organização, consulte Ativar o IAP para aplicativos externos.

Observação: a capacidade de autenticar usuários com um cliente OAuth gerenciado pelo Google está disponível na pré-visualização.

Como ativar o IAP

ConsolegcloudAPI

O cliente OAuth gerenciado pelo Google não está disponível ao ativar o IAP usando o console do Google Cloud.

If you haven't configured your project's OAuth consent screen, you'll be prompted to do so. To configure your OAuth consent screen, see Setting up your OAuth consent screen.

Setting up IAP access

1. Go to the Identity-Aware Proxy page.
   Go to the Identity-Aware Proxy page
2. Select the project you want to secure with IAP.
3. Select the checkbox next to the resource you want to grant access to.
4. On the right side panel, click Add principal.
5. In the Add principals dialog that appears, enter the email addresses of groups or individuals who should have the IAP-secured Web App User role for the project.

   The following kinds of principals can have this role:

   • Google Account: [e-mail]
   • Google Group: [e-mail]
   • Service account: [e-mail]
   • Google Workspace domain: example.com

   Make sure to add a Google Account that you have access to.

6. Select Cloud IAP > IAP-secured Web App User from the Roles drop-down list.
7. Click Save.

Turning on IAP

1. On the Identity-Aware Proxy page, under APPLICATIONS, find the application you want to restrict access to. To turn on IAP for a resource, toggle the on/off switch in the IAP column.
   
2. In the Turn on IAP window that appears, click Turn On to confirm that you want IAP to secure your resource. After you turn on IAP, it requires login credentials for all connections to your load balancer. Only accounts with the IAP-Secured Web App User role on the project will be given access.

Antes de configurar o projeto e o IAP, você precisa de uma versão atualizada da CLI gcloud. Para instruções sobre como instalar a CLI gcloud, consulte Instalar a CLI gcloud.

1. Para fazer a autenticação, use a CLI do Google Cloud e execute o comando a seguir.

   gcloud auth login

2. Clique no URL que aparece e faça login.
3. Depois de fazer login, copie o código de verificação que aparece e cole-o na linha de comando.
4. Execute o comando a seguir para especificar o projeto que contém os aplicativos que você quer proteger com o IAP.

   gcloud config set project PROJECT_ID

5. Para ativar o IAP, execute o comando a seguir.

   gcloud iap web enable --resource-type=app-engine --versions=version

6. Adicione participantes que terão o papel de usuário do app da Web protegido pelo IAP ao projeto.

   gcloud projects add-iam-policy-binding PROJECT_ID \
          --member=PRINCIPAL_IDENTIFIER \
          --role=roles/iap.httpsResourceAccessor

   • Substitua PROJECT_ID pela ID do seu projeto.
   • Substitua PRINCIPAL_IDENTIFIER pelos princípios necessários. Pode ser um tipo de domínio, grupo, serviceAccount ou usuário. Por exemplo, user:[e-mail].

Depois de ativar o IAP, será possível usar a CLI gcloud para modificar a política de acesso do IAP usando o papel roles/iap.httpsResourceAccessor do IAM. Saiba mais sobre como gerenciar papéis e permissões.

1. Execute o comando a seguir para preparar um arquivo settings.json.

   cat << EOF > settings.json
   {
   "iap":
     {
       "enabled":true
     }
   }
   EOF
   

2. Execute o comando abaixo para ativar o IAP.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Accept: application/json" \
   -H "Content-Type: application/json" \
   -d @settings.json \
   "https://appengine.googleapis.com/v1/apps/PROJECT_ID?updateMask=iap"
   

Depois de ativar o IAP, será possível usar a CLI do Google Cloud para modificar a política de acesso do IAP usando o papel roles/iap.httpsResourceAccessor do IAM. Saiba mais sobre como gerenciar papéis e permissões.

Observação:quando um aplicativo do App Engine consiste em vários serviços, para tornar alguns deles acessíveis publicamente e manter outros restritos, ative o IAP em todo o aplicativo e conceda o papel Usuário do app da Web protegido pelo IAP a "allUsers" ou "allAuthenticatedUsers" nos serviços que precisam ser acessíveis publicamente.

Acesso baseado em função:se você é proprietário de um projeto, pode achar que tem acesso automático ao app. Esse não é o caso, pois apenas contas com o papel Usuário de app da Web protegido pelo IAP nesse projeto terão acesso. Imagine que você esteja na área de TI corporativa implementando o acesso do IAP ao sistema de folha de pagamento do RH. Na maioria dos cenários, apenas a equipe do Payroll tem acesso ao app. Esse é um dos motivos pelos quais o acesso baseado em papéis é mais seguro. O proprietário (ou editor etc.) de um projeto pode gerenciar todos os aspectos do projeto, mas não recebe automaticamente o acesso ao aplicativo.

Testar a autenticação do usuário

1. Acesse o URL do app usando uma conta do Google que você adicionou ao IAP com o papel Usuário do app da Web protegido pelo IAP, conforme descrito acima. Você precisa ter acesso irrestrito a ele.

2. Use uma janela anônima no Chrome para acessar o app e faça login quando solicitado. Se você tentar acessar o app com uma conta que não está autorizada com o papel Usuário do app da Web protegido pelo IAP, será exibida uma mensagem informando que você não têm acesso.

A seguir

• Saiba mais sobre Como conseguir a identidade do usuário e desenvolver seu próprio aplicativo do App Engine.