Restez organisé à l'aide des collections
Enregistrez et classez les contenus selon vos préférences.
Cet article explique comment configurer Identity-Aware Proxy (IAP) pour utiliser des identités externes. En combinant IAP et Identity Platform, vous pouvez authentifier les utilisateurs avec un large éventail de fournisseurs d'identité (par exemple, OAuth, SAML, OIDC, et d'autres encore) au lieu d'utiliser simplement des comptes Google.
Si vous souhaitez utiliser plusieurs locataires, vous devez également suivre la procédure décrite sur la page Premiers pas avec l'architecture mutualisée.
Si vous n'avez pas besoin d'isoler des ressources, vous pouvez ignorer cette étape et configurer tous vos fournisseurs au niveau du projet. Si vous ne savez pas si vous devez activer l'architecture mutualisée, consultez la présentation sur les identités externes.
Et enfin, vous devez activer les fournisseurs. Le guide de démarrage rapide indique comment utiliser l'authentification simple par nom d'utilisateur et mot de passe, mais Identity Platform est compatible avec de nombreux types de fournisseurs, parmi lesquels :
Adresse e-mail et mot de passe
OAuth (par exemple, Google, Facebook, Twitter, etc.)
SAML
OIDC
Numéro de téléphone
Anonyme
Consultez les autres documents sur Identity Platform pour savoir comment configurer d'autres fournisseurs. Notez que les méthodes d'authentification par numéro de téléphone et anonyme ne sont pas compatibles avec l'architecture mutualisée.
La connexion sans mot de passe à l'aide d'un lien envoyé par e-mail n'est pas prise en charge avec l'IAP.
Autoriser IAP à utiliser des identités externes
Une fois que vous avez configuré Identity Platform, vous pouvez configurer IAP afin de l'utiliser pour l'authentification.
Sélectionnez le projet avec lequel vous avez configuré Identity Platform. Il n'est pas possible d'utiliser des projets différents.
Sélectionnez l'onglet Applications.
Recherchez le service auquel vous souhaitez restreindre l'accès à l'aide de IAP.
Dans la colonne "IAP", basculez le bouton sur Activer.
Dans le panneau latéral, cliquez sur Démarrer dans la zone intitulée Utiliser des identités externes pour l'autorisation.
Confirmez votre sélection.
Dans le panneau latéral d'Identity Platform :
Indiquez si vous comptez créer votre propre page de connexion ou laisser IAP en créer une pour vous.
Permettre à IAP de créer la page de connexion est la méthode la plus rapide pour commencer. Vous n'avez pas besoin de déployer de services supplémentaires, ni d'écrire de nouveau code. Vous pouvez spécifier des personnalisations mineures à l'aide de JSON.
Pour en savoir plus, consultez la section Héberger une UI d'authentification sur Cloud Run.
Si vous avez choisi de créer votre propre interface utilisateur, saisissez une URL d'authentification.
IAP redirigera les requêtes non authentifiées qu'il reçoit vers cette URL.
L'inclusion de votre clé API dans l'URL est facultative. Si vous ne fournissez pas de clé, la console Google Cloud ajoute automatiquement votre clé par défaut.
Indiquez si vous souhaitez utiliser des locataires ou des fournisseurs de projets.
Cochez les cases des fournisseurs ou des locataires pour les activer. Sélectionnez Configurer les fournisseurs si vous devez modifier vos fournisseurs ou vos locataires.
Cliquez sur Save.
Félicitations ! IAP est configuré pour authentifier les utilisateurs avec des identités externes.
Revenir aux identités Google
Vous ne pouvez pas utiliser IAM pour l'autorisation lorsque vous utilisez des identités externes. Si vous souhaitez revenir aux identités Google afin de pouvoir bénéficier de IAM, procédez comme suit :
Sauf indication contraire, le contenu de cette page est régi par une licence Creative Commons Attribution 4.0, et les échantillons de code sont régis par une licence Apache 2.0. Pour en savoir plus, consultez les Règles du site Google Developers. Java est une marque déposée d'Oracle et/ou de ses sociétés affiliées.
Dernière mise à jour le 2025/09/09 (UTC).
[[["Facile à comprendre","easyToUnderstand","thumb-up"],["J'ai pu résoudre mon problème","solvedMyProblem","thumb-up"],["Autre","otherUp","thumb-up"]],[["Difficile à comprendre","hardToUnderstand","thumb-down"],["Informations ou exemple de code incorrects","incorrectInformationOrSampleCode","thumb-down"],["Il n'y a pas l'information/les exemples dont j'ai besoin","missingTheInformationSamplesINeed","thumb-down"],["Problème de traduction","translationIssue","thumb-down"],["Autre","otherDown","thumb-down"]],["Dernière mise à jour le 2025/09/09 (UTC)."],[[["\u003cp\u003eThis guide outlines how to configure Identity-Aware Proxy (IAP) to authenticate users using external identity providers like OAuth, SAML, OIDC, and others, beyond just Google accounts, by integrating with Identity Platform.\u003c/p\u003e\n"],["\u003cp\u003eIdentity Platform must be enabled and configured in the same project as IAP, and multi-tenancy setup may be necessary for resource isolation, depending on specific requirements.\u003c/p\u003e\n"],["\u003cp\u003eOnce Identity Platform is set up, IAP can be enabled for external identity authentication through the Google Cloud console, allowing users to choose between using a default IAP sign-in page or building a custom one.\u003c/p\u003e\n"],["\u003cp\u003eUsers can choose to use project providers or tenants and select which providers or tenants to enable within the IAP configuration settings to tailor the authentication experience.\u003c/p\u003e\n"],["\u003cp\u003eSwitching back from external identities to Google identities for IAP authentication is possible, but note that doing so will clear the authentication URL and any project or tenants settings.\u003c/p\u003e\n"]]],[],null,["# Enabling external identities\n\nThis article shows you how to configure Identity-Aware Proxy\n(IAP) to use external identities. By combining\nIAP and Identity Platform, you can authenticate users with a\nwide range of identity providers (such as OAuth, SAML, OIDC, and more),\ninstead of just Google accounts.\n\nEnabling and configuring Identity Platform\n------------------------------------------\n\nIAP uses Identity Platform to authenticate external identities.\nSee the [Quickstart for Identity Platform](/identity-platform/docs/quickstart-cicp)\nto learn how to enable it.\n\nIf you want to utilize multiple tenants, you'll also need to follow the steps in\n[Getting started with multi-tenancy](/identity-platform/docs/multi-tenancy-quickstart).\nIf you don't need to isolate resources, you can skip this step and configure\nall your providers at the project level. Consult the\n[overview on external identities](/iap/docs/external-identities) if you're unsure if you\nshould turn on multi-tenancy.\n\nFinally, you'll need to enable providers. The\n[quickstart](/identity-platform/docs/quickstart-cicp) shows how to use simple\nusername and password authentication, but Identity Platform supports a wide\nrange of provider types, including:\n\n- Email and password\n- OAuth (such as Google, Facebook, Twitter, and more)\n- SAML\n- OIDC\n- Phone number\n- Anonymous\n\nSee the rest of the [Identity Platform documentation](/identity-platform/docs)\nto learn how to configure other providers. Note that phone number and anonymous\nauthentication are not supported for use with multi-tenancy.\nPasswordless sign-in using an email link is not supported with\nIAP.\n\nEnabling IAP to use external identities\n---------------------------------------\n\nOnce you've set up Identity Platform, you can configure IAP\nto use it for authentication.\n\n1. Open the IAP page in the Google Cloud console. \n\n [Open the IAP page](https://console.cloud.google.com/security/iap)\n\n2. Select the same project that you configured Identity Platform with. Using\n different projects is not supported.\n\n3. Select the **Applications** tab.\n\n4. Locate the service you want to restrict access to by using\n IAP.\n\n5. Toggle the switch in the IAP column to **On**.\n\n6. In the side panel, click **Start** in the box labeled\n **Use external identities for authorization**.\n\n7. Confirm your selection.\n\n8. In the Identity Platform side panel:\n\n 1. Choose whether to build your own sign-in page, or have\n IAP create one for you.\n\n Letting IAP create the sign-in page is the fastest\n way to get started. You don't need to deploy additional services or\n write any new code, and can specify minor customizations using JSON.\n See [Hosting an authentication UI on Cloud Run](/iap/docs/cloud-run-sign-in)\n to learn more.\n\n **Domain restricted sharing:**\n If the project is subject to the [domain restricted sharing constraint in\n an organization policy](/resource-manager/docs/organization-policy/restricting-domains),\n you will be unable to create public services by\n default. You can use [tags](/run/docs/configuring/tags)\n and a conditional policy to exempt specific services from this constraint.\n For more information, see the blog post about\n [creating public Cloud Run services](https://cloud.google.com/blog/topics/developers-practitioners/how-create-public-cloud-run-services-when-domain-restricted-sharing-enforced)\n when domain restricted sharing is enforced.\n\n Building your own page is more complex, but gives you full control of\n the authentication flow and experience. See\n [Creating an authentication UI with FirebaseUI](/iap/docs/using-firebaseui) and\n [Creating a custom authentication UI](/iap/docs/create-custom-auth-ui)\n for more information.\n 2. If you chose to build your own UI, enter an **Authentication URL**.\n IAP will redirect unauthenticated requests it\n receives to this URL.\n\n Including your API key in the URL is optional. If you don't provide a\n key, the Google Cloud console will append your default key\n automatically.\n 3. Select whether to use **project providers** or **tenants**.\n\n 4. Check the boxes of the providers or tenants to enable. Select\n **Configure providers** if you need to modify your providers or tenants.\n\n9. Click **Save**.\n\nCongratulations! IAP is configured to authenticate users\nwith external identities.\n\nSwitching back to Google identities\n-----------------------------------\n\nYou cannot use IAM for authorization when using external\nidentities. If you want to switch back to Google identities so you can\nleverage IAM, follow these steps:\n\n1. Return to the IAP page in the Google Cloud console. \n\n [Open the IAP page](https://console.cloud.google.com/security/iap)\n\n2. Select the resource configured to use IAP.\n\n3. Open the Identity Platform information panel.\n\n4. Select **Use IAM to manage this resource**.\n\nNote that switching back to Google identities will clear your authentication URL\nand associated project and tenants.\n\nWhat's next\n-----------\n\n- [Host a sign-in page on Cloud Run](/iap/docs/cloud-run-sign-in).\n- [Create a sign-in page with FirebaseUI](/iap/docs/using-firebaseui).\n- [Create a custom sign-in page](/iap/docs/create-custom-auth-ui).\n- Gain a deeper understanding of how [external identities work with IAP](/iap/docs/external-identities)."]]
