IAP für App Engine aktivieren

Auf dieser Seite wird erläutert, wie Sie eine App Engine-Instanz mit Identity-Aware Proxy (IAP) sichern.

Hinweise

Zum Aktivieren von IAP für App Engine benötigen Sie Folgendes:

• Ein Google Cloud Console-Projekt mit aktivierter Abrechnung.

Wenn Sie Ihre App Engine-Instanz noch nicht eingerichtet haben, finden Sie unter App Engine bereitstellen eine vollständige Schritt-für-Schritt-Anleitung.

IAP verwendet zum Authentifizieren von Nutzern einen von Google verwalteten OAuth-Client. Nur Nutzer innerhalb der Organisation können auf die IAP-fähige Anwendung zugreifen. Wenn Sie den Zugriff für Nutzer außerhalb Ihrer Organisation zulassen möchten, lesen Sie IAP für externe Anwendungen aktivieren.

Hinweis: Die Möglichkeit, Nutzer mit einem von Google verwalteten OAuth-Client zu authentifizieren, ist in der Vorschau verfügbar.

IAP aktivieren

Console

Der von Google verwaltete OAuth-Client ist nicht verfügbar, wenn IAP über die Google Cloud Console aktiviert wird.

Wenn Sie den OAuth-Zustimmungsbildschirm Ihres Projekts nicht konfiguriert haben, dazu aufgefordert werden. Informationen zum Konfigurieren des OAuth-Zustimmungsbildschirms finden Sie unter OAuth-Zustimmungsbildschirm einrichten

IAP-Zugriff einrichten

1. Rufen Sie die Seite Identity-Aware Proxy auf.
   Zur Seite "Identity-Aware Proxy"
2. Wählen Sie das Projekt aus, das Sie mit IAP sichern möchten.
3. Klicken Sie auf das Kästchen neben der Ressource, auf die Sie Zugriff gewähren möchten.
4. Klicken Sie im rechten Bereich auf Hauptkonto hinzufügen.
5. Geben Sie im Dialogfeld Hauptkonten hinzufügen die E-Mail-Adressen von Gruppen oder Personen, die die Rolle Nutzer von IAP-gesicherten Web-Apps für das Projekt haben sollten

   Diese Rolle können die folgenden Arten von Hauptkonten haben:

   • Google-Konto: [e-mail]
   • Google Group: [e-mail]
   • Dienstkonto: [e-mail]
   • Google Workspace-Domain: beispiel.de

   Fügen Sie unbedingt ein Google-Konto hinzu, auf das Sie zugreifen können.

6. Wählen Sie in der Drop-down-Liste Rollen den Eintrag Cloud IAP > Nutzer von IAP-gesicherten Web-Apps aus.
7. Klicken Sie auf Speichern.

IAP aktivieren

1. Suchen Sie auf der Seite Identity-Aware Proxy unter ANwendungen nach der Anwendung, für die der Zugriff beschränkt werden soll. Verwenden Sie den Schieberegler in der Spalte IAP, um IAP für eine Ressource zu aktivieren.
   
2. Klicken Sie im angezeigten Fenster IAP aktivieren auf Aktivieren, um zu bestätigen, dass die Ressource durch IAP gesichert werden soll. Nachdem Sie IAP aktiviert haben, sind für alle Verbindungen zu Ihrem Load-Balancer Anmeldedaten erforderlich. Zugriff erhalten nur Konten mit der Rolle Nutzer von IAP-gesicherten Web-Apps für das Projekt.

gcloud

Before you set up your project and IAP, you need an up-to-date version of the gcloud CLI. For instructions on how to install the gcloud CLI, see Install the gcloud CLI.

1. To authenticate, use the Google Cloud CLI and run the following command.

   gcloud auth login

2. Click the URL that appears and sign in.
3. After you sign in, copy the verification code that appears and paste it in the command line.
4. Run the following command to specify the project that contains the applications that you want to protect with IAP.

   gcloud config set project PROJECT_ID

5. To enable IAP, run the following command.

   gcloud iap web enable --resource-type=app-engine --versions=version

6. Add principals who should have the IAP-secured Web App user role to the project.

   gcloud projects add-iam-policy-binding PROJECT_ID \
          --member=PRINCIPAL_IDENTIFIER \
          --role=roles/iap.httpsResourceAccessor

   • Replace PROJECT_ID with your project ID.
   • Replace PRINCIPAL_IDENTIFIER with the necessary principals. This can be a type of domain, group, serviceAccount, or user. For example, user:[e-mail].

After you enable IAP, you can use the gcloud CLI to modify the IAP access policy using the IAM role roles/iap.httpsResourceAccessor. Learn more about managing roles and permissions.

API

1. Run the following command to prepare a settings.json file.

   cat << EOF > settings.json
   {
   "iap":
     {
       "enabled":true
     }
   }
   EOF
   

2. Run the following command to enable IAP.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Accept: application/json" \
   -H "Content-Type: application/json" \
   -d @settings.json \
   "https://appengine.googleapis.com/v1/apps/PROJECT_ID?updateMask=iap"
   

After you enable IAP, you can use the Google Cloud CLI to modify the IAP access policy using the IAM role roles/iap.httpsResourceAccessor. Learn more about managing roles and permissions.

Hinweis: Wenn eine App Engine-Anwendung aus mehreren Diensten besteht, um einige Dienste öffentlich zugänglich zu machen und andere einzuschränken, aktivieren Sie IAP für die gesamte Anwendung und weisen dann die Rolle Nutzer von IAP-gesicherten Webanwendungen für die Dienste „allUsers“ oder „allAuthenticatedUsers“ für die Dienste zu, die öffentlich zugänglich sein sollen.

Rollenbasierter Zugriff: Wenn Sie Projektinhaber sind, gehen Sie vielleicht davon aus, dass Sie automatisch auf die Anwendung zugreifen. Das ist nicht der Fall, da nur Konten mit der Rolle Nutzer von IAP-gesicherten Web-Apps für dieses Projekt Zugriff erhalten. Angenommen, Sie arbeiten in einer Unternehmens-IT, die IAP-Zugriff auf das Personalabteilung-Abrechnungssystem implementiert. In den meisten Fällen sollten nur die Mitarbeiter des Abrechnungs-Teams Zugriff auf die Anwendung haben. Dies ist einer der Gründe, warum der rollenbasierte Zugriff sicherer ist. Der Inhaber oder Bearbeiter, etc. eines Projekts kann alle Aspekte des Projekts verwalten, aber erhält nicht automatisch Zugriff auf die Anwendung.

Nutzerauthentifizierung testen

1. Rufen Sie die App-URL über ein Google-Konto auf, das Sie IAP unter Einsatz der oben beschriebenen Rolle Nutzer von IAP-gesicherten Web-Apps hinzugefügt haben. Sie müssen dazu uneingeschränkten Zugriff auf die Anwendung haben.

2. Für den Zugriff auf die Anwendung verwenden Sie ein Inkognitofenster in Chrome. Melden Sie sich an, wenn Sie dazu aufgefordert werden. Wenn Sie versuchen, mit einem Konto, das nicht mit der Rolle Nutzer von IAP-gesicherten Web-Apps autorisiert ist, auf die Anwendung zuzugreifen, werden Sie in einer Meldung darauf hingewiesen, dass Sie keinen Zugriff haben.