Reautenticação do IAP

Com a reautenticação do IAP, os proprietários de serviços e aplicativos ou os administradores do Google Cloud podem exigir que os usuários finais autenticados façam a autenticação novamente após um período especificado ao acessar um serviço ou aplicativo protegido pelo IAP. Limita o período em que um usuário pode acessar o serviço ou aplicativo protegido pelo IAP antes de ser solicitado a autenticar novamente.

A reautenticação do IAP foi projetada para impor políticas de reautenticação para serviços e aplicativos protegidos pelo IAP. Isso pode ser feito para serviços e aplicativos essenciais que lidam com informações confidenciais. Por exemplo, é possível especificar que os usuários que acessam um aplicativo de RH crítico sejam reautenticados por hora usando um segundo fator.

Métodos de reautenticação compatíveis

Use os seguintes métodos para gerenciar as configurações de reautenticação:

  • Login: o IAP força a reautenticação do aplicativo protegido, e os usuários precisam fazer login novamente.
  • Chave segura: os usuários finais precisam fazer uma nova autenticação usando a autenticação de dois fatores com base em chave de segurança.
  • Segundos fatores registrados: os usuários finais precisam fazer a autenticação novamente usando um dos métodos de autenticação de dois fatores registrados.

Para mais informações, consulte IapSettings.

Configurar uma política de reautenticação

Os reauthSettings são parte de IapSettings e, como tal, podem ser definidos em qualquer tipo de recurso na hierarquia de recursos. É possível definir reauthSettings em um serviço ou aplicativo no nível da organização, da pasta, do projeto ou do serviço para aplicar restrições. Por exemplo, você pode limitar a duração da sessão a no máximo uma hora para todos os aplicativos em uma organização ou para um aplicativo específico.

Há dois tipos de políticas que podem ser usados para configurar a reautenticação:

  • Mínimo: se o tipo de política for definido como MINIMUM em um recurso, como uma organização, as duas configurações serão avaliadas ao avaliar as configurações de reautenticação no recurso de nível inferior, como uma pasta. Se o recurso de nível inferior não tiver configurações de reautenticação, o resultado da mesclagem será as configurações não vazias do recurso de nível superior. Caso contrário, a mesclagem levará a duração da sessão mais curta e o método de reautenticação de precedência mais alta entre os dois recursos. O tipo de política sempre será MINIMUM. As configurações de reautenticação mescladas serão usadas para mesclar as configurações de reautenticação do próximo recurso de nível inferior, como um projeto.

    A ordem de precedência dos três métodos compatíveis, do mais alto para o mais baixo, é Secure key, Enrolled second factors e Login.

  • Padrão: se o tipo de política for definido como DEFAULT em um recurso, como organização, ao avaliar a configuração de reautenticação no recurso de nível inferior, como uma pasta, a configuração de recurso de nível inferior será usada. Caso contrário, a configuração de reautenticação de nível superior será aplicada.

Para ambos os tipos de política, o processo de avaliação é repetido para determinar a reauthSettings do serviço ou aplicativo de destino. Os exemplos a seguir mostram as configurações antes e depois da avaliação. Durante a avaliação, a pasta e a organização reauthSettings são mescladas, resultando na alteração do tipo de política da pasta para MINIMUM. Em seguida, as configurações mescladas são usadas para mesclar com o serviço ou aplicativo reauthSettings.

Organização IapSettings:

accessSettings:
  reauthSettings:
    method: "ENROLLED_SECOND_FACTORS"
    maxAge: "3600s"
    policyType: "MINIMUM"

IapSettings de pasta:

accessSettings:
  reauthSettings:
    method: "LOGIN"
    maxAge: "1200s"
    policyType: "DEFAULT"

Serviço ou aplicativo IapSettings:

accessSettings:
  reauthSettings:
    method: "SECURE_KEY"
    maxAge: "7200s"
    policyType: "DEFAULT"

Configurações após a mesclagem:

Organização IapSettings:

accessSettings:
  reauthSettings:
    method: "ENROLLED_SECOND_FACTORS"
    maxAge: "3600s"
    policyType: "MINIMUM"

IapSettings de pasta:

accessSettings:
  reauthSettings:
    method: "ENROLLED_SECOND_FACTORS"
    maxAge: "1200s"
    policyType: "MINIMUM"

Serviço ou aplicativo IapSettings:

accessSettings:
  reauthSettings:
    method: "SECURE_KEY"
    maxAge: "1200s"
    policyType: "MINIMUM"

No exemplo, se o tipo de política de cada recurso estiver definido como DEFAULT, o reauthSettings do serviço ou aplicativo será usado.

MaxAge

Use o parâmetro MaxAge para especificar a frequência com que um usuário final precisa se autenticar novamente, indicado em segundos. Por exemplo, para definir uma política de reautenticação de uma hora, defina os segundos como 3600, como mostrado no exemplo a seguir:

accessSettings:
  reauthSettings:
    method: "LOGIN"
    maxAge: "3600s"
    policyType: "MINIMUM"

O valor mínimo para maxAge é de cinco minutos.

Para definir uma política de reautenticação, siga as etapas abaixo.

Console

  1. Acesse a página Identity-Aware Proxy.
    Acessar a página "Identity-Aware Proxy"

  2. Selecione um projeto e o recurso em que você quer definir uma política de reautenticação.

  3. Abra as Configurações do recurso e, em Política de reautenticação, selecione Configurar reautenticação.

  4. Especifique as configurações de reautenticação e clique em Salvar.

gcloud

É possível definir uma política de reautenticação em recursos e serviços no nível da organização, do projeto e da pasta. Veja a seguir alguns exemplos de comandos para definir uma política de reautenticação.

Para ver mais informações, consulte gcloud iap settings set.

Execute este comando:

gcloud iap settings set SETTING_FILE [--organization=ORGANIZATION --folder=FOLDER --project=/PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE --version=VERSION

Para definir uma política de reautenticação nos recursos de uma organização, execute o seguinte comando: 

gcloud iap settings set SETTING_FILE --organization=ORGANIZATION

Para definir uma política de reautenticação nos recursos de uma pasta, execute o seguinte comando: 

gcloud iap settings set SETTING_FILE --folder=FOLDER

Para definir uma política de reautenticação em todos os recursos de tipo da Web em um projeto, execute o seguinte comando: 

gcloud iap settings set SETTING_FILE --project=PROJECT --resource-type=iap_web

Para definir uma política de reautenticação em um serviço do App Engine em um projeto, execute o seguinte comando:

gcloud iap settings set SETTING_FILE --project=PROJECT --resource-type=app-engine --service=SERVICE

Onde SETTING_FILE é:

accessSettings:
  reauthSettings:
    method: "LOGIN"
    maxAge: "3600s"
    policyType: "MINIMUM"

Substitua:

  • FOLDER: o ID da pasta.
  • ORGANIZATION: o ID da organização.
  • PROJECT: o ID do projeto.
  • RESOURCE_TYPE: o tipo de recurso do IAP. Precisa ser app-engine, iap_web, compute, organization ou folder.
  • SERVICE: o nome do serviço. Isso é opcional quando resource-type é compute ou app-engine.
  • VERSION: o nome da versão. Isso não se aplica a compute e é opcional quando resource-type é app-engine.

API

Execute o seguinte comando para preparar um arquivo iap_settings.json. Atualize os valores conforme necessário.

cat << EOF > iap_settings.json
{
  "access_settings": {
      "reauth_settings": {
            "method": "LOGIN",
            "maxAge": "300s",
            "policy_type": "DEFAULT"
        }
    }
}
EOF

Consiga o nome do recurso executando o comando gcloud iap settings get. Copie o campo "name" da saída. Você precisará do nome na próxima etapa.

gcloud iap settings get [--organization=ORGANIZATION --folder=FOLDER --project=/PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE --version=VERSION]

Substitua RESOURCE_NAME no comando a seguir pelo nome da etapa anterior. O IapSettings será atualizado.

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Accept: application/json" \
-H "Content-Type: application/json" \
-d @iap_settings.json \
"https://iap.googleapis.com/v1/RESOURCE_NAME:iapSettings?updateMask=iapSettings.accessSettings.reauthSettings"

Como entender as credenciais de reautenticação

Após uma reautenticação bem-sucedida, o IAP cria um cookie no navegador do usuário final. Para evitar que os usuários precisem se autenticar novamente com muita frequência ao usar apps semelhantes, o cookie é definido no domínio particular de nível superior e é válido para todo o domínio particular.

Por exemplo, foo.example.com é um recurso protegido pelo IAP e tem uma política de reautenticação de IAP. Depois de uma reautenticação bem-sucedida, o IAP define um cookie em example.com, já que esse é o domínio particular de nível superior. Apps do mesmo domínio particular de nível superior, como bar.example.com, usam as mesmas credenciais de reautenticação e não solicitam a reautenticação, desde que as credenciais sejam válidas.

Para URLs como myapp.appspot.com, appspot.com é um domínio público. Portanto, o domínio particular de nível superior é myapp.appspot.com.

Limitações conhecidas

  • A reautenticação é compatível apenas com fluxos de navegador. O acesso programático à conta de usuário não é compatível. Por exemplo, não é possível autenticar novamente os usuários com apps para dispositivos móveis e computadores porque os recursos que exigem esse recurso não podem ser acessados.
  • As contas de serviço e o IAP-TCP estão isentos dos requisitos de reautenticação.
  • A reautenticação não funciona com o tipo de membro allUsers do IAM.
  • As identidades externas via Identity Platform não são compatíveis com a reautenticação porque os recursos que exigem a reautenticação não são acessíveis.