Como ativar o IAP para o Cloud Run

Esta página explica como proteger um serviço do Cloud Run com o Identity-Aware Proxy (IAP).

Limitações conhecidas

• O IAP não protege o domínio fornecido pelo Cloud Run para um serviço implantado. Para garantir que apenas o IAP tenha permissão para acessar o serviço, use a autenticação do IAM no serviço do Cloud Run. Para permitir que o IAP acesse o serviço do Cloud Run, conceda o papel service-[PROJECT_NUMBER]@gcp-sa-iap.iam.gserviceaccount.com da conta de serviço do IAP com o papel Invocador do Cloud Run. O IAP gera um token de ID e o usa para fazer a autenticação no Cloud Run usando o cabeçalho X-Serverless-Authorization.

• O IAP autentica no Cloud Run usando o cabeçalho X-Serverless-Authorization. O Cloud Run transmite esse cabeçalho ao seu serviço depois de remover a assinatura. Se o serviço for projetado para encaminhar a solicitação a outro serviço do Cloud Run que exija autenticação do IAM, atualize o serviço para remover esse cabeçalho primeiro.

• O IAP é incompatível com o Cloud CDN.

Antes de começar

Para ativar o IAP para o Cloud Run, você precisa destes elementos:

• Um projeto do console do Google Cloud com o faturamento ativado.
• Um grupo de um ou mais serviços do Cloud Run, exibido por um balanceador de carga.
  • Saiba mais sobre Como configurar um balanceador de carga HTTPS externo.
  • Saiba mais sobre como configurar um balanceador de carga HTTPS interno.
  • um nome de domínio registrado no endereço do balanceador de carga.
• o código do aplicativo para verificar se todas as solicitações têm uma identidade.
  • Saiba mais sobre como conseguir a identidade do usuário.

O IAP usa um cliente OAuth gerenciado pelo Google para autenticar usuários. Somente os usuários da organização podem acessar o aplicativo ativado para IAP. Se você quiser permitir o acesso a usuários de fora da sua organização, consulte Ativar o IAP para aplicativos externos.

Observação: a capacidade de autenticar usuários com um cliente OAuth gerenciado pelo Google está disponível na pré-visualização.

Como ativar o IAP

Console

O cliente OAuth gerenciado pelo Google não está disponível ao ativar o IAP usando o console do Google Cloud.

Se você ainda não tiver configurado a tela de consentimento do OAuth do seu projeto, precisará fazer isso. Para configurar a tela de consentimento do OAuth, consulte Como configurar a tela de consentimento do OAuth.

Como configurar o acesso do IAP

1. Acesse a página Identity-Aware Proxy.
2. Selecione o projeto que você quer proteger com o IAP.
3. Em APLICAÇÕES, marque a caixa de seleção ao lado do serviço de back-end do balanceador de carga em que você quer adicionar membros.
4. No painel lateral à direita, clique em Adicionar membro.

5. Na caixa de diálogo Adicionar membros, insira as contas de grupos ou indivíduos que terão o papel Usuário do app da Web protegido pelo IAP no projeto. Os seguintes tipos de contas podem ser membros:

   • Conta do Google: [e-mail]. Também pode ser uma conta do Google Workspace, como [e-mail] ou algum outro domínio do Workspace.
   • grupo do Google: [e-mail]
   • Conta de serviço: [e-mail]
   • Domínio do Google Workspace: example.com

6. Selecione Cloud IAP > Usuário do app da Web protegido pelo IAP na lista suspensa Papéis.

7. Clique em Salvar.

Ativando o IAP

1. Na página IAP, em APLICAÇÕES, encontre o serviço de back-end do balanceador de carga para o qual você quer restringir o acesso. Para ativar o IAP para um recurso, clique na chave IAP. Para ativar o IAP:
   • Pelo menos um protocolo na configuração de front-end do balanceador de carga precisa ser HTTPS. Saiba mais sobre como configurar um balanceador de carga.
   • Você precisa ter as permissões compute.backendServices.update, clientauthconfig.clients.create e clientauthconfig.clients.getWithSecret. Elas são concedidas por papéis como o de editor do projeto. Para saber mais, consulte Como gerenciar o acesso a recursos protegidos pelo IAP.
2. Na janela Ativar IAP que aparece, clique em Ativar para confirmar que você quer proteger seu recurso com o IAP. Depois disso, será necessário usar credenciais de login para todas as conexões com o balanceador de carga. O acesso será concedido apenas às contas com o papel Usuário do app da Web protegido pelo IAP no projeto.

3. Siga as instruções em Controle de acesso com o IAM para autorizar o IAP a enviar tráfego para o serviço de back-end do Cloud Run.

   • Principal: service-[PROJECT-NUMBER]@gcp-sa-iap.iam.gserviceaccount.com
   • Função: Chamador do Cloud Run

gcloud

1. Se você ainda não fez isso, crie uma conta de serviço executando o comando a seguir. Se você já criou uma conta de serviço, a execução do comando não cria contas de serviço duplicadas.

   gcloud beta services identity create --service=iap.googleapis.com --project=[PROJECT_ID]

2. Conceda a permissão de invocação à conta de serviço criada na etapa anterior executando o comando a seguir.

   gcloud run services add-iam-policy-binding [SERVICE-NAME] \
   --member='serviceAccount:service-[PROJECT-NUMBER]@gcp-sa-iap.iam.gserviceaccount.com'  \
   --role='roles/run.invoker'
   

3. Ative o IAP executando o comando de escopo global ou regional, dependendo se o serviço de back-end do balanceador de carga é global ou regional. Use o ID e a chave secreta do cliente OAuth da etapa anterior.

   Escopo global

   gcloud compute backend-services update BACKEND_SERVICE_NAME --global --iap=enabled
   

   Escopo regional

   gcloud compute backend-services update BACKEND_SERVICE_NAME --region REGION_NAME --iap=enabled
   

   Substitua:
   • BACKEND_SERVICE_NAME: o nome do serviço de back-end.
   • REGION_NAME: a região em que você quer ativar o IAP.

Depois de ativar o IAP, será possível usar a Google Cloud CLI para manipular uma política de acesso do IAP usando a função roles/iap.httpsResourceAccessor do Identity and Access Management. Consulte Como gerenciar papéis e permissões para mais informações.

Como configurar o Cloud Run para limitar o acesso

É possível configurar o serviço do Cloud Run para permitir apenas o acesso de clientes internos e do balanceador de carga externo, que bloqueia todas as solicitações diretas da Internet pública.

Siga as etapas em Como restringir a entrada do Cloud Run para configurar a configuração de entrada do serviço do Cloud Run para Interna e Cloud Load Balancing.

Como solucionar erros

 The IAP service account is not provisioned 

Se você receber esse erro, está tentando ativar o IAP em um serviço do Cloud Run pela CLI gcloud. A configuração do IAP pela CLI gcloud inclui a etapa adicional de provisionamento de uma conta de serviço do IAP no projeto usando o seguinte comando: gcloud beta services identity create --service=iap.googleapis.com --project=[PROJECT_ID]

 Your client does not have permission to get URL from this server 

• O IAP usa as permissões da conta de serviço do IAP para invocar seu serviço do Cloud Run. Verifique se você concedeu o papel de invocador do Cloud Run à seguinte conta de serviço: service-[PROJECT-NUMBER]@gcp-sa-iap.iam.gserviceaccount.com.

• Se você tiver concedido o papel de invocador do Cloud Run à conta de serviço anterior e ainda estiver enfrentando esse problema, implante novamente o serviço do Cloud Run.

A conta de serviço do IAP não precisa da permissão run.routes.invoke

Durante a prévia do IAP com o Cloud Run, o Cloud Run não realizava a verificação de permissão run.routes.invoke para chamadas do IAP que usam o papel do invocador do Cloud Run. Com a disponibilidade geral (GA), o Cloud Run executa essa verificação de permissão.

Para evitar mudanças importantes, alguns projetos de clientes que dependiam desse comportamento durante a visualização foram colocados em uma lista de permissões permitidas para que a permissão não fosse verificada. Entre em contato com o suporte do Cloud Run para remover esses projetos da lista de permissões somente de visualização.

A seguir

Para ajudar a configurar o IAP para o Cloud Run com o Terraform, confira um exemplo de código do Terraform.