Personalizzazione di IAP

Questo articolo descrive come personalizzare le impostazioni di Identity-Aware Proxy (IAP). Con queste impostazioni, puoi controllare comportamenti tra cui:

• Compatibilità con GKE Enterprise e Istio su Google Kubernetes Engine.
• La gestione delle richieste preflight CORS.
• Come vengono autenticati gli utenti.
• La pagina di errore mostrata agli utenti quando l'accesso viene negato.

Gestione delle impostazioni

Puoi visualizzare e aggiornare le impostazioni IAP su bilanciatori del carico e app App Engine utilizzando la console Google Cloud , l'API IAP o Google Cloud CLI.

Per aggiornare le impostazioni IAP su tutte le risorse, incluse cartelle, progetti e organizzazioni, utilizza Google Cloud CLI o l'API.

Per gestire le impostazioni in IAP:

Console

Per visualizzare e modificare le impostazioni utilizzando la console Google Cloud :

1. Vai alla pagina Identity-Aware Proxy.
   Vai alla pagina Identity-Aware Proxy
2. Trova la risorsa nella scheda APPLICAZIONI.
3. Apri il menu Altre azioni e fai clic su Impostazioni.
4. Fai clic su Salva.

gcloud

Per ottenere e modificare le impostazioni utilizzando Google Cloud CLI, utilizza i comandi gcloud iap settings get e gcloud iap settings set come mostrato di seguito:

• Per ottenere le impostazioni per un progetto, una cartella o un'organizzazione, utilizza i seguenti comandi. Per configurare le impostazioni di IAP utilizzando la console Google Cloud o gcloud CLI, consulta Personalizzazione di IAP.

gcloud iap settings get --project=PROJECT-ID

gcloud iap settings get --folder=FOLDER-ID

gcloud iap settings get --organization=ORGANIZATION-ID

• Per ottenere le impostazioni per un tipo di risorsa IAP specifico in un progetto:

gcloud iap settings get --project=PROJECT-ID \
  --resource-type=RESOURCE-TYPE-NAME

• Per impostare le impostazioni per un progetto, una cartella o un'organizzazione oppure per un tipo di risorsa IAP in un progetto, crea un file JSON o YAML contenente le nuove impostazioni desiderate e specifica il percorso del file. Per saperne di più, consulta l'argomento gcloud iap settings set:

gcloud iap settings set SETTING_FILE --project=PROJECT-ID \
  --resource-type=RESOURCE-TYPE-NAME

API

Per ottenere e modificare le impostazioni utilizzando l'API IAP, effettua richieste utilizzando i verbi HTTP GET o PATCH all'endpoint della risorsa desiderata in Google Cloud. Combina il suffisso del percorso :iapSettings, un percorso della risorsa (come descritto in Risorse e autorizzazioni) e un metodo HTTP appropriato per ottenere o modificare un'impostazione. Per saperne di più, consulta getIapSettings() e updateIapSettings():

• Per ottenere o impostare le impostazioni per un tipo di risorsa IAP specifico in un progetto:

https://iap.googleapis.com/v1/projects/PROJECT-ID/iap_web/appengine-APP-ID/services/SERVICE-ID/versions/VERSION-ID:iapSettings

• Per ottenere o impostare le impostazioni di un progetto:

https://iap.googleapis.com/v1/projects/PROJECT-ID:iapSettings

• Per ottenere o impostare le impostazioni di una cartella:

https://iap.googleapis.com/v1/folders/FOLDER-ID:iapSettings

• Per ottenere o impostare le impostazioni per un'organizzazione:

https://iap.googleapis.com/v1/organizations/ORGANIZATION-ID:iapSettings

Informazioni sul controllo dell'accesso per le impostazioni

Per visualizzare e modificare le impostazioni di IAP sono necessarie autorizzazioni specifiche. La tabella seguente elenca le autorizzazioni necessarie per leggere e modificare le impostazioni per ogni tipo di risorsa. Consulta la sezione Risorse e autorizzazioni per una descrizione dei diversi tipi di risorse.

Risorsa	Autorizzazione per la visualizzazione delle impostazioni	Autorizzazione per la modifica delle impostazioni
Organizzazione	iap.organizations.getSettings	iap.organizations.updateSettings
Cartella	iap.folders.getSettings	iap.folders.updateSettings
Progetto	iap.projects.getSettings	iap.projects.updateSettings
Tutti i servizi web	iap.web.getSettings	iap.web.updateSettings
Tipo di servizio web	iap.webTypes.getSettings	iap.webTypes.updateSettings
Servizio web	iap.webServices.getSettings	iap.webServices.updateSettings
Versione del servizio web	iap.webServiceVersions.getSettings	iap.webServiceVersions.updateSettings

Il ruolo IAP Settings Admin (roles/iap.settingsAdmin) concede tutte queste autorizzazioni, così come Editor progetto (roles/editor). Visualizzatore progetto (roles/viewer) concede tutte le autorizzazioni getSettings.

Per saperne di più sulla concessione dei ruoli IAM, consulta Concessione, modifica e revoca dell'accesso.

Personalizzazione delle impostazioni di IAP

IAP fornisce le seguenti impostazioni di personalizzazione:

Campo	Descrizione
access_settings.cors_settings.allow_http_options	Controlla le opzioni HTTP (preflight CORS)
access_settings.oauth_settings.login_hint	Semplificare l'accesso per gli utenti di un dominio G Suite
application_settings.access_denied_page_settings.access_denied_page_uri	Mostrare una pagina di errore personalizzata quando l'accesso viene negato
application_settings.csm_settings.rctoken_aud	Emetti RCToken GKE Enterprise e Istio
access_settings.gcip_settings	Autenticarsi con Identity Platform
access_settings.ReauthSettings	Imposta un criterio di riautenticazione. Per maggiori dettagli, vedi Configurare la riautenticazione.

Puoi applicare le impostazioni a livello di progetto o a qualsiasi livello inferiore delle risorse IAP.

Puoi configurare le impostazioni per le risorse IAP basate sul web, ma non per le risorse a cui si accede con IAP per l'inoltro TCP.

Utilizzando access_settings.cors_settings.allow_http_options come esempio, puoi configurare le impostazioni di personalizzazione nel seguente modo:

YAML

access_settings:
  cors_settings:
    allow_http_options: "false"

JSON

{
  "access_settings": {
    "cors_settings": {
      "allow_http_options": "false"
    }
  }
}

Le sezioni seguenti forniscono maggiori informazioni su ciascuna impostazione.

Consentire le richieste HTTP OPTIONS (preflight CORS)

Campo	Valore predefinito
access_settings.cors_settings.allow_http_options	false

Il criterio della stessa origine del web impedisce ai browser di inviare richieste AJAX tra siti web. Per impostazione predefinita, JavaScript su una pagina pubblicata da un'origine non può utilizzare AJAX per inviare una richiesta a un'app protetta con IAP ospitata su un'origine diversa.

In alcuni casi, i browser tentano automaticamente una richiesta, ma scartano i contenuti della risposta se non include un'intestazione Access-Control-Allow-Origin. Per consentire questi tipi di richieste, includi questa intestazione nelle risposte della tua app.

In altri casi, il browser invierà una richiesta preflight CORS, un tipo di richiesta HTTP OPTIONS, prima di inviare la richiesta multiorigine. Se la tua app non risponde con una risposta preflight appropriata (contenente le intestazioni di risposta Access-Control-* richieste), il browser bloccherà la richiesta con un errore. Inoltre, poiché le richieste preflight non vengono inviate con credenziali di autenticazione (ad esempio un cookie di sessione IAP), IAP risponderà anche con un errore.

Per consentire queste richieste:

1. Aggiungi alla tua app il codice che risponde alle richieste OPTIONS.

2. Modifica l'impostazione access_settings.cors_settings.allow_http_options in true in modo che i pass IAP OPTIONS vengano richiesti alla tua applicazione.

Autenticazione tramite un dominio Google Workspace

Nota: questa funzionalità è disponibile solo nell'ambito di un abbonamento a pagamento per la sicurezza aziendale. Se ti interessa, puoi registrarti.

Campo	Valore predefinito
access_settings.oauth_settings.login_hint	""

Se solo i membri di un dominio Google Workspace specifico utilizzeranno la tua app, puoi configurare IAP per ottimizzare il flusso di autenticazione. Questo approccio offre diversi vantaggi:

• Se un utente ha eseguito l'accesso con più account (ad esempio un account di lavoro e un account personale), il sistema selezionerà automaticamente il suo account di lavoro anziché visualizzare l'interfaccia utente di selezione dell'account.

• Se un utente non ha eseguito l'accesso al proprio Account Google, l'interfaccia utente di accesso compila automaticamente la parte del dominio del suo indirizzo email (ovvero l'utente deve digitare solo alice anziché [e-mail], ad esempio).

• Se il tuo dominio Google Workspace è configurato per utilizzare un provider di Single Sign-On (SSO) di terze parti, il sistema mostrerà la pagina di accesso personalizzata anziché quella di Google.

Per attivare questo comportamento, imposta il valore di access_settings.oauth_settings.login_hint sul nome del tuo dominio Google Workspace (ad esempio example.com). La proprietà del dominio deve essere stata verificata: non puoi utilizzare domini DNS internet arbitrari di tua proprietà. I domini aggiunti come domini principali o secondari di Google Workspace sono verificati e possono quindi essere utilizzati qui.

Se devi autenticare utenti esterni al dominio, puoi utilizzare l'autenticazione programmatica.

Avviso :l'impostazione login_hint non sostituisce il controllo dell'accesso. Applica sempre una policy di accesso appropriata se vuoi limitare l'accesso al tuo dominio da parte di utenti esterni.

Per saperne di più, consulta la documentazione di OpenID Connect.

Impostazione di una pagina di errore di accesso negato personalizzata

Nota: questa funzionalità è disponibile solo nell'ambito di un abbonamento a pagamento per la sicurezza aziendale. Se ti interessa, puoi registrarti.

Campo	Valore predefinito
application_settings.access_denied_page_settings.access_denied_page_uri	""

Puoi impostare un URL in questo campo che reindirizza gli utenti a una pagina personalizzata anziché alla pagina di errore IAP predefinita ogni volta che l'accesso viene negato da un criterio.

Puoi anche incorporare l'URL per la risoluzione dei problemi con questa funzionalità. Per saperne di più, consulta la sezione Attivare l'URL per la risoluzione dei problemi per la pagina di errore Accesso negato personalizzata.

Emissione degli ID mesh RCToken di GKE Enterprise e Istio

Beta

Questa funzionalità è soggette ai "Termini delle Offerte pre-GA" nella sezione Termini di servizio generali dei Termini specifici dei servizi. Le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per saperne di più, consulta le descrizioni della fase di lancio.

Campo	Valore predefinito
application_settings.csm_settings.rctoken_aud	""

Se utilizzi Istio su GKE, puoi configurare IAP per generare un RCToken compatibile con Istio. Se questo campo è impostato su una stringa non vuota, IAP aggiungerà un'intestazione HTTP Ingress-Authorization contenente un RCToken. L'attestazione aud sarà impostata sul valore del campo.

Autenticazione con Identity Platform

Avviso: l'attivazione dell'impostazione gcip_settings modifica in modo significativo la modalità di autenticazione degli utenti da parte di IAP. Identity Platform non supporta IAM, quindi IAP non applicherà nessuna policy IAM per le richieste alla tua applicazione.

Campo	Valore predefinito
access_settings.gcip_settings	null

Per impostazione predefinita, IAP utilizza il sistema di identità nativo di Google. Se questo campo è impostato, IAP utilizzerà Identity Platform per autenticare gli utenti.

Nota: questo campo non può essere impostato utilizzando la console Google Cloud .

Informazioni sull'ereditarietà delle impostazioni nella gerarchia delle risorse

IAP valuta sempre le richieste per una versione specifica del servizio web. Questo tipo di risorsa si trova al livello più basso della gerarchia delle risorse, che si presenta così:

- Organization
  - Folder
    - Project
      - All web services
        - Web service type
          - Web service
            - Web service version

Per determinare le impostazioni da applicare a una versione del servizio web, IAP inizia con un insieme predefinito di valori, quindi percorre la gerarchia dall'alto verso il basso. Le impostazioni vengono applicate così come vengono trovate, quindi i valori impostati a un livello inferiore hanno la precedenza su quelli impostati a un livello superiore. Ad esempio, se access_settings.cors_settings.allow_http_options è impostato su true a livello di progetto, ma su false a livello di servizio, il valore effettivo sarà false.

Consulta Risorse e autorizzazioni per scoprire di più sulla gerarchia delle risorse IAP.