Reautenticação do IAP

Com a reautenticação do IAP, os proprietários de serviços e aplicativos Os administradores do Google Cloud precisam exigir que os usuários finais autenticados reautenticar após um período especificado ao acessar um serviço ou aplicativo protegidos pelo IAP. Ela limita o período pelo qual um usuário possam acessar o serviço ou aplicativo protegido por IAP uma nova autenticação.

A reautenticação do IAP foi projetada para aplicar políticas de reautenticação a serviços e aplicativos protegidos pelo IAP. Você pode fazer isso para serviços e aplicativos essenciais que lidam com informações confidenciais. Por exemplo, você pode especificar que os usuários que acessam uma função crítica de RH o aplicativo é autenticado novamente a cada hora usando um segundo fator.

Métodos de reautenticação com suporte

Use os seguintes métodos para gerenciar as configurações de reautenticação:

  • Login: o IAP força a reautenticação do aplicativo protegido, e os usuários precisam fazer login novamente.
  • Chave segura: os usuários finais precisam fazer a reautenticação usando a autenticação de dois fatores baseada em chave de segurança.
  • Dois fatores registrados: os usuários finais precisam fazer a autenticação novamente usando um dos métodos de autenticação de dois fatores registrados.

Para mais informações, consulte IapSettings.

Configurar uma política de reautenticação

Os reauthSettings fazem parte do IapSettings e, por isso, podem ser definidos em qualquer tipo de recurso na hierarquia de recursos. Para aplicar restrições, defina reauthSettings em um serviço ou aplicativo no nível da organização, da pasta, do projeto ou do serviço. Por exemplo, é possível limitar a duração da sessão a no máximo uma hora para todos os aplicativos de uma organização ou para um aplicativo específico.

Há dois tipos de políticas que podem ser usados para configurar a reautenticação:

  • Mínimo: se o tipo de política for definido como MINIMUM em um recurso, como uma organização, as duas configurações serão mescladas ao avaliar as configurações de reautorização no recurso de nível inferior, como uma pasta. Se o recurso de nível inferior não tiver configurações de reautenticação, o resultado da mesclagem serão as configurações não vazias do recurso de nível superior. Caso contrário, a mesclagem vai usar a duração mais curta da sessão e o método de reautenticação com prioridade mais alta entre os dois recursos. O tipo de política sempre será MINIMUM. As configurações de reautenticação mesclada serão usadas para mesclar com as configurações de reautenticação do próximo recurso de nível inferior, como um projeto.

    A ordem de precedência dos três métodos com suporte, do maior para o menor, é Secure key, Enrolled second factors e Login.

  • Padrão: se o tipo de política estiver definido como DEFAULT em um recurso, como uma organização, ao avaliar a configuração de reautorização no recurso de nível inferior, como uma pasta, a configuração do recurso de nível inferior será usada se estiver configurada. Caso contrário, a configuração de reautorização do recurso de nível superior será aplicada.

Para os dois tipos de política, o processo de avaliação é repetido para determinar o reauthSettings do serviço ou aplicativo de destino. Nos exemplos abaixo, mostramos as configurações antes e depois da avaliação. Durante a avaliação, a pasta e a organização reauthSettings são mescladas, resultando na mudança do tipo de política da pasta para MINIMUM. As configurações mescladas são usadas para mesclar com o serviço ou aplicativo reauthSettings.

Organização IapSettings:

accessSettings:
  reauthSettings:
    method: "ENROLLED_SECOND_FACTORS"
    maxAge: "3600s"
    policyType: "MINIMUM"

IapSettings de pasta:

accessSettings:
  reauthSettings:
    method: "LOGIN"
    maxAge: "1200s"
    policyType: "DEFAULT"

Serviço ou aplicativo IapSettings:

accessSettings:
  reauthSettings:
    method: "SECURE_KEY"
    maxAge: "7200s"
    policyType: "DEFAULT"

Configurações após a mesclagem:

Organização IapSettings:

accessSettings:
  reauthSettings:
    method: "ENROLLED_SECOND_FACTORS"
    maxAge: "3600s"
    policyType: "MINIMUM"

IapSettings de pasta:

accessSettings:
  reauthSettings:
    method: "ENROLLED_SECOND_FACTORS"
    maxAge: "1200s"
    policyType: "MINIMUM"

Serviço ou aplicativo IapSettings:

accessSettings:
  reauthSettings:
    method: "SECURE_KEY"
    maxAge: "1200s"
    policyType: "MINIMUM"

No exemplo, se o tipo de política de cada recurso for definido como DEFAULT, o reauthSettings do serviço ou aplicativo vai ser usado.

MaxAge

Use o parâmetro MaxAge para especificar a frequência com que um usuário final precisa se autenticar novamente, indicado em segundos. Por exemplo, para definir uma política de reautenticação de uma hora, defina os segundos como 3600, como mostrado no exemplo a seguir:

accessSettings:
  reauthSettings:
    method: "LOGIN"
    maxAge: "3600s"
    policyType: "MINIMUM"

O valor mínimo para maxAge é cinco minutos.

Para definir uma política de reautenticação, siga as etapas abaixo.

Console

  1. Acesse a página Identity-Aware Proxy.
    Acessar a página "Identity-Aware Proxy"

  2. Selecione um projeto e o recurso em que você quer definir uma política de reautenticação.

  3. Abra as Configurações do recurso e, em Política de reautenticação, selecione Configurar a reautenticação.

  4. Especifique as configurações de reautenticação e clique em Salvar.

gcloud

É possível definir uma política de reautenticação para recursos e serviços no nível da organização, do projeto e da pasta. Confira abaixo alguns exemplos de comandos para definir uma política de reautenticação.

Para ver mais informações, consulte gcloud iap settings set.

Execute este comando:

gcloud iap settings set SETTING_FILE [--organization=ORGANIZATION --folder=FOLDER --project=/PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE --version=VERSION

Para definir uma política de reautorização nos recursos de uma organização, execute o seguinte comando: 

gcloud iap settings set SETTING_FILE --organization=ORGANIZATION

Para definir uma política de reautenticação nos recursos de uma pasta, execute o seguinte comando: 

gcloud iap settings set SETTING_FILE --folder=FOLDER

Para definir uma política de reautenticação em todos os recursos de tipo da Web em um projeto, execute o seguinte comando: 

gcloud iap settings set SETTING_FILE --project=PROJECT --resource-type=iap_web

Para definir uma política de reautenticação em um serviço do App Engine em um projeto, execute o seguinte comando:

gcloud iap settings set SETTING_FILE --project=PROJECT --resource-type=app-engine --service=SERVICE

Onde SETTING_FILE é:

accessSettings:
  reauthSettings:
    method: "LOGIN"
    maxAge: "3600s"
    policyType: "MINIMUM"

Substitua:

  • FOLDER: o ID da pasta.
  • ORGANIZATION: o ID da organização.
  • PROJECT: o ID do projeto.
  • RESOURCE_TYPE: o tipo de recurso do IAP. Precisa ser app-engine, iap_web, compute, organization ou folder.
  • SERVICE: o nome do serviço. Isso é opcional quando resource-type é compute ou app-engine.
  • VERSION: o nome da versão. Isso não se aplica a compute e é opcional quando resource-type é app-engine.

API

Execute o comando a seguir para preparar um arquivo iap_settings.json. Atualize os valores conforme necessário.

cat << EOF > iap_settings.json
{
  "access_settings": {
      "reauth_settings": {
            "method": "LOGIN",
            "maxAge": "300s",
            "policy_type": "DEFAULT"
        }
    }
}
EOF

Para conferir o nome do recurso, execute o comando gcloud iap settings get. Copie o campo de nome da saída. Você precisará do nome na etapa a seguir.

gcloud iap settings get [--organization=ORGANIZATION --folder=FOLDER --project=/PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE --version=VERSION]

No comando a seguir, substitua RESOURCE_NAME pelo nome da etapa anterior. O IapSettings será atualizado.

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Accept: application/json" \
-H "Content-Type: application/json" \
-d @iap_settings.json \
"https://iap.googleapis.com/v1/RESOURCE_NAME:iapSettings?updateMask=iapSettings.accessSettings.reauthSettings"

Como entender as credenciais de reautenticação

Após a reautenticação, o IAP cria um cookie no navegador do usuário final. Para evitar que os usuários precisem se autenticar novamente com muita frequência ao usar aplicativos semelhantes, ele é definido no domínio particular de nível superior e é válido para todo o domínio particular.

Por exemplo, foo.example.com é um recurso protegido por IAP e tem uma política de reautenticação do IAP. Depois de um reautenticação, o IAP define um cookie em example.com como é o domínio particular de nível superior. apps do mesmo domínio particular de nível superior; como bar.example.com usam as mesmas credenciais de reautenticação e não solicitar que o usuário faça a autenticação novamente, desde que as credenciais sejam válidas.

Observe que, para URLs como myapp.appspot.com, appspot.com é um domínio público. Portanto, o domínio particular de nível superior é myapp.appspot.com.

Limitações conhecidas

  • A reautenticação é compatível apenas com fluxos de navegador. O acesso programático à conta de usuário não é compatível. Por exemplo, não é possível autenticar novamente os usuários com apps para dispositivos móveis e computadores porque os recursos que exigem esse recurso não podem ser acessados.
  • As contas de serviço e o IAP-TCP estão isentos dos requisitos de reautenticação.
  • A reautenticação não funciona com o tipo de membro allUsers do IAM.
  • As identidades externas via Identity Platform não são compatíveis com a reautenticação porque os recursos que exigem a reautenticação não são acessíveis.