Reautenticação do IAP

Com a reautenticação do IAP, os proprietários de serviços e aplicativos ou os administradores do Google Cloud podem exigir que os usuários finais autenticados façam uma nova autenticação após um período especificado ao acessar um serviço ou aplicativo protegido pelo IAP. Isso limita o período em que um usuário pode acessar o serviço ou aplicativo protegido pelo IAP antes de ser solicitado a se autenticar novamente.

A reautenticação do IAP foi projetada para aplicar políticas de reautenticação para serviços e aplicativos protegidos pelo IAP. Você pode fazer isso para serviços e aplicativos críticos que lidam com informações confidenciais. Por exemplo, é possível especificar que os usuários que acessam um aplicativo crítico de RH se autentiquem novamente a cada hora usando um segundo fator.

Métodos de reautenticação com suporte

Use os seguintes métodos para gerenciar as configurações de reautenticação:

  • Login: o IAP força uma reautenticação do aplicativo protegido, e os usuários precisam fazer login novamente.
  • Chave segura: os usuários finais precisam se autenticar novamente usando a autenticação de dois fatores baseada em chave de segurança configurada.
  • Segundos fatores registrados: os usuários finais precisam se autenticar novamente usando um dos métodos de autenticação de dois fatores registrados.

Para mais informações, consulte IapSettings.

Configurar uma política de reautenticação

reauthSettings fazem parte do IapSettings e, assim, podem ser definidos em qualquer tipo de recurso na hierarquia de recursos. Para aplicar restrições, defina reauthSettings em um serviço ou aplicativo no nível da organização, da pasta, do projeto ou do serviço. Por exemplo, você pode limitar a duração da sessão a um máximo de uma hora para todos os aplicativos em uma organização ou para um aplicativo específico.

Há dois tipos de políticas que podem ser usados para configurar a reautenticação:

  • Mínimo: se o tipo de política for definido como MINIMUM em um recurso, como uma organização, as duas configurações serão mescladas durante a avaliação das configurações de reautenticação no recurso de nível inferior. Se o recurso de nível inferior não tiver configurações de reautenticação, o resultado da mesclagem serão as configurações não vazias do recurso de nível superior. Caso contrário, a mesclagem usa a duração da sessão mais curta e o método de reautenticação com maior precedência entre os dois recursos. O tipo de política sempre será MINIMUM. As configurações de reautenticação mescladas serão usadas para mesclar as configurações do próximo recurso de nível inferior, como um projeto.

    A ordem de precedência dos três métodos compatíveis do maior para o menor é Secure key, Enrolled second factors e Login.

  • Padrão: se o tipo de política for definido como DEFAULT em um recurso, como uma organização, ao avaliar a configuração de reautenticação no recurso de nível inferior, como uma pasta, a configuração do recurso de nível inferior será usada (se definida). Caso contrário, a configuração de reautenticação de recursos de nível superior será aplicada.

Nos dois tipos de política, o processo de avaliação é repetido para determinar o reauthSettings do serviço ou aplicativo de destino. Os exemplos a seguir mostram as configurações antes e depois da avaliação. Durante a avaliação, a pasta e a organização reauthSettings são mescladas, resultando na mudança do tipo de política da pasta para MINIMUM. As configurações mescladas são usadas para mesclar com o serviço ou aplicativo reauthSettings.

Organização IapSettings:

accessSettings:
  reauthSettings:
    method: "ENROLLED_SECOND_FACTORS"
    maxAge: "3600s"
    policyType: "MINIMUM"

IapSettings de pasta:

accessSettings:
  reauthSettings:
    method: "LOGIN"
    maxAge: "1200s"
    policyType: "DEFAULT"

IapSettings Serviço ou aplicativo:

accessSettings:
  reauthSettings:
    method: "SECURE_KEY"
    maxAge: "7200s"
    policyType: "DEFAULT"

Configurações após a mesclagem:

Organização IapSettings:

accessSettings:
  reauthSettings:
    method: "ENROLLED_SECOND_FACTORS"
    maxAge: "3600s"
    policyType: "MINIMUM"

IapSettings de pasta:

accessSettings:
  reauthSettings:
    method: "ENROLLED_SECOND_FACTORS"
    maxAge: "1200s"
    policyType: "MINIMUM"

IapSettings Serviço ou aplicativo:

accessSettings:
  reauthSettings:
    method: "SECURE_KEY"
    maxAge: "1200s"
    policyType: "MINIMUM"

No exemplo, se o tipo de política de cada recurso for definido como DEFAULT, o reauthSettings do serviço ou aplicativo será usado.

MaxAge

Use o parâmetro MaxAge para especificar a frequência com que um usuário final precisa se autenticar novamente, indicado em segundos. Por exemplo, para definir uma política de reautenticação de uma hora, defina os segundos como 3600, como mostrado no exemplo a seguir:

accessSettings:
  reauthSettings:
    method: "LOGIN"
    maxAge: "3600s"
    policyType: "MINIMUM"

O valor mínimo para maxAge é de cinco minutos.

Para definir uma política de reautenticação, conclua as etapas a seguir.

Console

  1. Acesse a página Identity-Aware Proxy.
    Acessar a página "Identity-Aware Proxy"

  2. Selecione um projeto e o recurso em que você quer definir uma política de reautenticação.

  3. Abra as Configurações do recurso e, em Política de reautenticação, selecione Configurar a reautenticação.

  4. Especifique as configurações de reautenticação e clique em Salvar.

gcloud

É possível definir uma política de reautenticação em recursos e serviços nos níveis da organização, do projeto e da pasta. Confira a seguir alguns exemplos de comandos para definir uma política de reautenticação.

Para mais informações, consulte gcloud iap settings set.

Execute este comando:

gcloud iap settings set SETTING_FILE [--organization=ORGANIZATION --folder=FOLDER --project=/PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE --version=VERSION

Para definir uma política de reautenticação nos recursos de uma organização, execute o seguinte comando: 

gcloud iap settings set SETTING_FILE --organization=ORGANIZATION

Para definir uma política de reautenticação nos recursos de uma pasta, execute o seguinte comando: 

gcloud iap settings set SETTING_FILE --folder=FOLDER

Para definir uma política de reautenticação em todos os recursos de tipo da Web em um projeto, execute o seguinte comando: 

gcloud iap settings set SETTING_FILE --project=PROJECT --resource-type=iap_web

Para definir uma política de reautenticação em um serviço do App Engine dentro de um projeto, execute o seguinte comando:

gcloud iap settings set SETTING_FILE --project=PROJECT --resource-type=app-engine --service=SERVICE

Onde SETTING_FILE é:

accessSettings:
  reauthSettings:
    method: "LOGIN"
    maxAge: "3600s"
    policyType: "MINIMUM"

Substitua:

  • FOLDER: o ID da pasta.
  • ORGANIZATION: o ID da organização.
  • PROJECT: o ID do projeto.
  • RESOURCE_TYPE: o tipo de recurso do IAP. Precisa ser app-engine, iap_web, compute, organization ou folder.
  • SERVICE: o nome do serviço. Isso é opcional quando resource-type é compute ou app-engine.
  • VERSION: o nome da versão. Isso não é aplicável para compute e é opcional quando resource-type é app-engine.

API

Execute o comando a seguir para preparar um arquivo iap_settings.json. Atualize os valores conforme necessário.

cat << EOF > iap_settings.json
{
  "access_settings": {
      "reauth_settings": {
            "method": "LOGIN",
            "maxAge": "300s",
            "policy_type": "DEFAULT"
        }
    }
}
EOF

Encontre o nome do recurso executando o comando gcloud iap settings get. Copie o campo de nome da saída. Você precisará desse nome na próxima etapa.

gcloud iap settings get [--organization=ORGANIZATION --folder=FOLDER --project=/PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE --version=VERSION]

Substitua RESOURCE_NAME no comando a seguir pelo nome da etapa anterior. A tabela IapSettings vai ser atualizada.

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Accept: application/json" \
-H "Content-Type: application/json" \
-d @iap_settings.json \
"https://iap.googleapis.com/v1/RESOURCE_NAME:iapSettings?updateMask=iapSettings.accessSettings.reauthSettings"

Como entender as credenciais de reautenticação

Após uma reautenticação, o IAP cria um cookie no navegador do usuário final. Para evitar que os usuários precisem se autenticar outra vez com muita frequência ao usar aplicativos semelhantes, o cookie é definido no domínio particular de nível superior e é válido para todo o domínio de nível privado.

Por exemplo, foo.example.com é um recurso protegido pelo IAP e tem uma política de reautenticação. Após uma reautenticação, o IAP define um cookie em example.com porque esse é o domínio particular de nível superior. Os aplicativos do mesmo domínio particular de nível superior, como bar.example.com, usam as mesmas credenciais de reautenticação e não solicitarão que o usuário se autentique novamente, contanto que as credenciais sejam válidas.

Para URLs como myapp.appspot.com, appspot.com é um domínio público, portanto, o domínio particular de nível superior é myapp.appspot.com.

Limitações conhecidas

  • A reautenticação é compatível apenas com fluxos de navegador. O acesso programático à conta de usuário não é compatível. Por exemplo, não é possível autenticar novamente os usuários com apps para dispositivos móveis e computadores porque os recursos que exigem esse recurso não podem ser acessados.
  • As contas de serviço e o IAP-TCP estão isentos dos requisitos de reautenticação.
  • A reautenticação não funciona com o tipo de membro allUsers do IAM.
  • As identidades externas via Identity Platform não são compatíveis com a reautenticação porque os recursos que exigem a reautenticação não são acessíveis.