Como ativar o IAP para o App Engine

Esta página explica como proteger uma instância do App Engine com o Identity-Aware Proxy (IAP).

Antes de começar

Para ativar o IAP para o App Engine, você precisará destes elementos:

• Um projeto do console do Google Cloud com o faturamento ativado.

Se você ainda não configurou a instância do App Engine, consulte Como implantar o App Engine para um tutorial completo.

O IAP usa um cliente OAuth gerenciado pelo Google para autenticar usuários. Somente os usuários da organização podem acessar o aplicativo com IAP ativado. Se você quiser permitir o acesso de usuários de fora da sua organização, consulte Ativar o IAP para aplicativos externos.

Observação: a capacidade de autenticar usuários com um cliente OAuth gerenciado pelo Google está disponível na pré-visualização.

Como ativar o IAP

Console

O cliente OAuth gerenciado pelo Google não está disponível ao ativar o IAP usando o console do Google Cloud.

Se você ainda não tiver configurado a tela de consentimento do OAuth do seu projeto, precisará fazer isso. Para configurar a tela de consentimento do OAuth, consulte Como configurar a tela de consentimento do OAuth.

Como configurar o acesso do IAP

1. Acesse a página Identity-Aware Proxy.
   Acessar a página "Identity-Aware Proxy"
2. Selecione o projeto que você quer proteger com o IAP.
3. Marque a caixa de seleção ao lado do recurso que você quer conceder acesso.
4. No painel à direita, clique em Adicionar principal.
5. Na caixa de diálogo Adicionar membros que é exibida, insira os endereços de e-mail de grupos ou indivíduos que terão o papel Usuário do app da Web protegido pelo IAP no projeto.

   Os seguintes tipos de administradores podem ter esse papel:

   • Conta do Google: [e-mail]
   • grupo do Google: [e-mail]
   • Conta de serviço: [e-mail]
   • Domínio do Google Workspace: example.com

   Inclua uma Conta do Google a que você tenha acesso.

6. Selecione Cloud IAP > Usuário do app da Web protegido pelo IAP na lista suspensa Papéis.
7. Clique em Salvar.

Ativando o IAP

1. Na página Identity-Aware Proxy, em APLICAÇÕES, encontre o aplicativo a que você quer restringir o acesso. Para ativar o IAP para um recurso, alterne a chave para ativado ou desativado na coluna IAP.
   
2. Na janela Ativar IAP que é exibida, clique em Ativar para confirmar que você quer proteger seu recurso com o IAP. Depois disso, será necessário usar credenciais de login para todas as conexões com o balanceador de carga. O acesso será concedido apenas às contas com o papel usuário do app da Web protegido pelo IAP no projeto.

gcloud

Antes de configurar o projeto e o IAP, você precisa de uma versão atualizada da CLI gcloud. Para instruções sobre como instalar a CLI gcloud, consulte Instalar a CLI gcloud.

1. Para fazer a autenticação, use a Google Cloud CLI e execute o comando a seguir.

   gcloud auth login

2. Clique no URL que aparece e faça login.
3. Depois de fazer login, copie o código de verificação que aparece e cole-o na linha de comando.
4. Execute o comando abaixo para especificar o projeto que contém os aplicativos que você quer proteger com o IAP.

   gcloud config set project PROJECT_ID

5. Para ativar o IAP, execute o comando a seguir.

   gcloud iap web enable --resource-type=app-engine --versions=version

6. Adicione participantes que terão o função do usuário do app da Web protegido pelo IAP ao projeto.

   gcloud projects add-iam-policy-binding PROJECT_ID \
          --member=PRINCIPAL_IDENTIFIER \
          --role=roles/iap.httpsResourceAccessor

   • Substitua PROJECT_ID pela ID do seu projeto.
   • Substitua PRINCIPAL_IDENTIFIER pelos princípios necessários. Pode ser um tipo de domínio, grupo, conta de serviço ou usuário. Por exemplo, user:[e-mail].

Depois de ativar o IAP, será possível usar a CLI gcloud para modificar a política de acesso do IAP usando o papel do IAM roles/iap.httpsResourceAccessor. Saiba mais sobre como gerenciar papéis e permissões.

API

1. Execute o comando a seguir para preparar um arquivo settings.json.

   cat << EOF > settings.json
   {
   "iap":
     {
       "enabled":true
     }
   }
   EOF
   

2. Execute o comando abaixo para ativar o IAP.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Accept: application/json" \
   -H "Content-Type: application/json" \
   -d @settings.json \
   "https://appengine.googleapis.com/v1/apps/PROJECT_ID?updateMask=iap"
   

Depois de ativar o IAP, será possível usar a Google Cloud CLI para modificar a política de acesso do IAP usando o papel roles/iap.httpsResourceAccessor do IAM. Saiba mais sobre como gerenciar papéis e permissões.

Observação:quando um aplicativo do App Engine consiste em vários serviços, para tornar alguns deles acessíveis publicamente e manter outros restritos, ative o IAP em todo o aplicativo e conceda o papel Usuário do app da Web protegido pelo IAP a "allUsers" ou "allAuthenticatedUsers" nos serviços que precisam ser acessíveis publicamente.

Acesso baseado em função:se você é proprietário de um projeto, pode achar que tem acesso automático ao app. Esse não é o caso, pois apenas contas com o papel Usuário de app da Web protegido pelo IAP nesse projeto terão acesso. Imagine que você esteja na área de TI corporativa implementando o acesso do IAP ao sistema de folha de pagamento do RH. Na maioria dos cenários, apenas a equipe do Payroll tem acesso ao app. Esse é um dos motivos pelos quais o acesso baseado em papéis é mais seguro. O proprietário (ou editor etc.) de um projeto pode gerenciar todos os aspectos do projeto, mas não recebe automaticamente o acesso ao aplicativo.

Testar a autenticação do usuário

1. Acesse o URL do app usando uma conta do Google que você adicionou ao IAP com o papel Usuário do app da Web protegido pelo IAP, conforme descrito acima. Você precisa ter acesso irrestrito a ele.

2. Use uma janela anônima no Chrome para acessar o app e faça login quando solicitado. Se você tentar acessar o app com uma conta que não está autorizada com o papel Usuário do app da Web protegido pelo IAP, será exibida uma mensagem informando que você não têm acesso.