Como ativar o IAP para o App Engine

Nesta página, explicamos como proteger uma instância do App Engine com o Identity-Aware Proxy (IAP).

Antes de começar

Para ativar o IAP para o App Engine, você precisa do seguinte:

• Um projeto do console do Google Cloud com o faturamento ativado.

Se você ainda não configurou sua instância do App Engine, consulte Como implantar o App Engine para ver um tutorial completo.

O IAP usa um cliente OAuth gerenciado pelo Google para autenticar usuários. Somente usuários dentro da organização podem acessar o aplicativo habilitado para IAP. Se você quiser permitir o acesso a usuários de fora da sua organização, consulte Ativar o IAP para aplicativos externos.

Observação: a capacidade de autenticar usuários com um cliente OAuth gerenciado pelo Google está disponível em Pré-lançamento.

Como ativar o IAP

Console

O cliente OAuth gerenciado pelo Google não está disponível ao ativar o IAP usando o console do Google Cloud.

Se você ainda não tiver configurado a tela de consentimento do OAuth do seu projeto, precisará fazer isso. Para configurar a tela de consentimento do OAuth, consulte Como configurar a tela de consentimento do OAuth.

Como configurar o acesso do IAP

1. Acesse a página Identity-Aware Proxy.
   Acessar a página "Identity-Aware Proxy"
2. Selecione o projeto que você quer proteger com o IAP.
3. Marque a caixa de seleção ao lado do recurso que você quer conceder acesso.
4. No painel à direita, clique em Adicionar principal.
5. Na caixa de diálogo Adicionar membros que é exibida, insira os endereços de e-mail de grupos ou indivíduos que terão o papel Usuário do app da Web protegido pelo IAP no projeto.

   Os seguintes tipos de principais podem ter esse papel:

   • Conta do Google: [e-mail]
   • grupo do Google: [e-mail]
   • Conta de serviço: [e-mail]
   • Domínio do Google Workspace: example.com

   Inclua uma Conta do Google a que você tenha acesso.

6. Selecione Cloud IAP > Usuário do app da Web protegido pelo IAP na lista suspensa Papéis.
7. Clique em Salvar.

Ativando o IAP

1. Na página Identity-Aware Proxy, em APLICAÇÕES, encontre o aplicativo a que você quer restringir o acesso. Para ativar o IAP para um recurso, alterne a chave de ativação/desativação no IAP coluna.
   
2. Na janela Ativar IAP que é exibida, clique em Ativar para confirmar que você quer proteger seu recurso com o IAP. Depois disso, será necessário usar credenciais de login para todas as conexões com o balanceador de carga. O acesso será concedido apenas às contas com o papel usuário do app da Web protegido pelo IAP no projeto.

gcloud

Antes de configurar o projeto e o IAP, você precisa de uma versão atualizada da CLI gcloud. Para instruções sobre como instalar a CLI gcloud, consulte Instalar a CLI gcloud.

1. Para autenticar, use a Google Cloud CLI e execute o comando a seguir.

   gcloud auth login

2. Clique no URL que aparece e faça login.
3. Depois de fazer login, copie o código de verificação que aparece e cole-o na linha de comando.
4. Execute o comando abaixo para especificar o projeto que contém os aplicativos que você quer proteger com o IAP.

   gcloud config set project PROJECT_ID

5. Para ativar o IAP, execute o comando a seguir.

   gcloud iap web enable --resource-type=app-engine --versions=version

6. Adicione participantes que terão o papel de usuário do app da Web protegido pelo IAP ao projeto.

   gcloud projects add-iam-policy-binding PROJECT_ID \
          --member=PRINCIPAL_IDENTIFIER \
          --role=roles/iap.httpsResourceAccessor

   • Substitua PROJECT_ID pela ID do seu projeto.
   • Substitua PRINCIPAL_IDENTIFIER pelos princípios necessários. Pode ser um tipo de domínio, grupo, conta de serviço ou usuário. Por exemplo, user:[e-mail].

Depois de ativar o IAP, use a CLI gcloud para modificar Política de acesso do IAP usando o papel do IAM roles/iap.httpsResourceAccessor: Saiba mais sobre como gerenciar papéis e permissões.

API

1. Execute o comando a seguir para preparar um arquivo settings.json.

   cat << EOF > settings.json
   {
   "iap":
     {
       "enabled":true
     }
   }
   EOF
   

2. Execute o comando abaixo para ativar o IAP.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Accept: application/json" \
   -H "Content-Type: application/json" \
   -d @settings.json \
   "https://appengine.googleapis.com/v1/apps/PROJECT_ID?updateMask=iap"
   

Depois de ativar o IAP, use a Google Cloud CLI para modificar Política de acesso do IAP usando o papel do IAM roles/iap.httpsResourceAccessor: Saiba mais sobre como gerenciar papéis e permissões.

Observação: quando um aplicativo do App Engine consiste em vários serviços, para tornar alguns serviços acessíveis publicamente e manter outros restritos, ative o IAP em todo o aplicativo e conceda o papel Usuário do app da Web protegido pelo IAP a "allUsers" ou "allAuthenticatedUsers" nos serviços que precisam ser acessados publicamente.

Acesso com base em papéis:se você é o proprietário de um projeto, pode achar que tem acesso automático ao app. Esse não é o caso, porque apenas contas com o papel Usuário do app da Web protegido pelo IAP no projeto vão receber acesso. Imagine que você esteja na área de TI corporativa implementando o acesso do IAP ao sistema de folha de pagamento do RH. Na maioria dos cenários, apenas a equipe do Payroll tem acesso ao app. Esse é um dos motivos pelos quais o acesso baseado em papéis é mais seguro. O proprietário (ou editor etc.) de um projeto pode gerenciar todos os aspectos do projeto, mas não recebe automaticamente o acesso ao aplicativo.

Testar autenticação do usuário

1. Acesse o URL do app usando uma conta do Google que você adicionou ao IAP com o papel Usuário do app da Web protegido pelo IAP, conforme descrito acima. Você precisa ter acesso irrestrito a ele.

2. Use uma janela anônima no Chrome para acessar o app e faça login quando solicitado. Se você tentar acessar o app com uma conta que não está autorizada com o papel Usuário do app da Web protegido pelo IAP, será exibida uma mensagem informando que você não têm acesso.