Habilita IAP para Cloud Run

En esta página, se explica cómo proteger un servicio de Cloud Run con Identity-Aware Proxy (IAP).

Limitaciones conocidas

• Los servicios de Cloud Run con HTTP/2 habilitado tienen un bucle de redireccionamiento infinito a pedido cuando se protegen con IAP. Este comportamiento no es intencional y Google anticipa que se abordará en el futuro. Por ahora, para evitar este comportamiento, Google recomienda inhabilitar la configuración HTTP/2 (configuración predeterminada) cuando un servicio está protegido por IAP.

• Cloud Run con un balanceador de cargas interno requiere una suscripción a BeyondCorp Enterprise.

• IAP se autentica en Cloud Run mediante el encabezado X-Serverless-Authorization. Cloud Run pasa este encabezado a su servicio después de quitar su firma. Si tu servicio está diseñado para reenviar la solicitud a otro servicio de Cloud Run que requiere autenticación de IAM, primero actualiza tu servicio a fin de quitar este encabezado.

• IAP no es compatible con Cloud CDN.

Antes de comenzar

A fin de habilitar IAP para Cloud Run, necesitas lo siguiente:

• Un proyecto de la consola de Google Cloud con la facturación habilitada
• Un grupo de uno o más servicios de Cloud Run, entregados por un balanceador de cargas.
  • Obtén información sobre cómo configurar un balanceador de cargas HTTPS externo.
  • Obtén más información sobre cómo configurar un balanceador de cargas de HTTPS interno.
  • Un nombre de dominio registrado con la dirección de tu balanceador de cargas
• Un código de aplicación para verificar que todas las solicitudes tengan una identidad
  • Aprender cómo obtener la identidad del usuario

Habilita IAP

Consola

Si aún no configuraste la pantalla de consentimiento de OAuth de tu proyecto, debes hacerlo con una dirección de correo electrónico y un nombre de producto.

Precaución: No ingreses información confidencial en la pantalla de consentimiento de OAuth. Cualquier persona que acceda a tu URL podrá ver toda la información que guardes en la pantalla de consentimiento de OAuth. Los detalles del correo electrónico y del producto se muestran en la pantalla de acceso y cuando alguien intenta acceder a un recurso para el cual no tiene permiso.

1. Ve a la pantalla de consentimiento de OAuth.
2. En Correo electrónico de asistencia, selecciona la dirección de correo electrónico que deseas mostrar como contacto público. Esta debe ser tu dirección de correo electrónico o un Grupo de Google de tu propiedad.
3. Ingresa el Nombre de la aplicación que deseas mostrar.
4. Agrega cualquier detalle opcional.
5. Haz clic en Guardar.

Para cambiar la información de la pantalla de consentimiento de OAuth más tarde, como el nombre del producto o la dirección de correo electrónico, repite los pasos anteriores para configurar esa pantalla.

Configura el acceso de IAP

1. Ve a la página Identity-Aware Proxy.
2. Selecciona el proyecto que deseas proteger con IAP.
3. En Aplicaciones, selecciona la casilla de verificación junto al servicio de backend del balanceador de cargas al que deseas agregar miembros.
4. En el panel de la derecha, haz clic en Agregar miembro.

5. En el cuadro de diálogo Agregar miembros, ingresa las cuentas de los grupos o personas a quienes se debe asignar la función Usuario de app web protegida con IAP para el proyecto. Las siguientes cuentas pueden ser miembros:

   • Cuenta de Google: [e-mail] (también puede ser una cuenta de Google Workspace, como [e-mail] o algún otro dominio de Workspace)
   • Grupo de Google: [e-mail]
   • Cuenta de servicio: [e-mail]
   • Dominio de Google Workspace: example.com

6. Selecciona Cloud IAP > Usuario de aplicación web protegida con IAP en la lista desplegable Funciones.

7. Haz clic en Guardar.

Activa IAP

1. En la página de IAP, en Aplicaciones, busque el servicio de backend del balanceador de cargas al que desea restringir el acceso. Para activar IAP para un recurso, haz clic en el botón de activación IAP. Para habilitar IAP, haz lo siguiente:
   • Al menos un protocolo en la configuración del frontend del balanceador de cargas debe ser HTTPS. Obtén más información sobre cómo configurar un balanceador de cargas.
   • Necesitas los permisos compute.backendServices.update, clientauthconfig.clients.create y clientauthconfig.clients.getWithSecret. Estos permisos se otorgan por funciones, como la función de Editor de proyectos. Para obtener más información, consulta Administra el acceso a los recursos protegidos con IAP.
2. En la ventana Activar IAP que aparece, haz clic en Activar para confirmar que deseas que IAP proteja tu recurso. Después de activar IAP, se requieren credenciales de acceso para todas las conexiones al balanceador de cargas. Solo las cuentas con la función Usuario de la aplicación web protegida con IAP en el proyecto tendrán acceso.

3. Sigue las instrucciones en Control de acceso con IAM para autorizar a IAP a enviar tráfico al servicio de backend de Cloud Run.

   • Principal: service-[PROJECT-NUMBER]@gcp-sa-iap.iam.gserviceaccount.com
   • Función: Invocador de Cloud Run

gcloud

1. Sigue las instrucciones de la página sobre cómo crear clientes de OAuth de forma programática para IAP a fin de configurar la pantalla de consentimiento de OAuth y crear el cliente de OAuth.
2. Guarda el secreto y el ID de cliente de OAuth.
3. Si aún no lo hiciste, crea una cuenta de servicio con el siguiente comando. Si creaste una cuenta de servicio con anterioridad, la ejecución del comando no crea cuentas de servicio duplicadas.

   gcloud beta services identity create --service=iap.googleapis.com --project=[PROJECT_ID]

4. Otorga el permiso de invocador a la cuenta de servicio creada en el paso anterior mediante la ejecución del siguiente comando:

   gcloud run services add-iam-policy-binding [SERVICE-NAME] \
   --member=`serviceAccount:service-[PROJECT-NUMBER]@gcp-sa-iap.iam.gserviceaccount.com`  \
   --role=`roles/run.invoker`
   

5. Habilita IAP mediante la ejecución del comando con alcance global o regional, según si el servicio de backend del balanceador de cargas es global o regional. Usa el ID de cliente y el secreto de OAuth del paso anterior.

   Alcance global:

   gcloud compute backend-services update BACKEND_SERVICE_NAME --global --iap=enabled,oauth2-client-id=CLIENT_ID,oauth2-client-secret=CLIENT_SECRET
   

   Alcance regional:

   gcloud compute backend-services update BACKEND_SERVICE_NAME --region REGION_NAME --iap=enabled,oauth2-client-id=CLIENT_ID,oauth2-client-secret=CLIENT_SECRET
   

   Reemplaza lo siguiente:
   • BACKEND_SERVICE_NAME: el nombre del servicio de backend.
   • CLIENT_ID: Es el ID de cliente de OAuth del paso anterior.
   • CLIENT_SECRET: Es el secreto del cliente de OAuth del paso anterior.
   • REGION_NAME: Es la región en la que deseas habilitar IAP.

Después de habilitar IAP, puedes usar Google Cloud CLI para manipular una política de acceso de IAP con la función de Identity and Access Management roles/iap.httpsResourceAccessor. Consulta Cómo administrar funciones y permisos para obtener más información.

Configura Cloud Run para limitar el acceso

Puedes configurar el servicio de Cloud Run para permitir el acceso solo a los clientes internos y al balanceador de cargas externo, que bloquea todas las solicitudes directas de la Internet pública.

Sigue los pasos en Restringe la entrada para Cloud Run a fin de configurar la entrada del servicio de Cloud Run en Uso interno y en Cloud Load Balancing.

Solución de errores

 The IAP service account is not provisioned 

Si ves este error, intentas habilitar IAP en un servicio de Cloud Run a través de la CLI de gcloud. La configuración de IAP a través de la CLI de gcloud incluye el paso adicional de aprovisionar una cuenta de servicio de IAP en tu proyecto con el siguiente comando: gcloud beta services identity create --service=iap.googleapis.com --project=[PROJECT_ID] .

 Your client does not have permission to get URL from this server 

• IAP usa los permisos de la cuenta de servicio de IAP para invocar tu servicio de Cloud Run. Asegúrate de haber otorgado los permisos de invocador de Cloud Run para la siguiente cuenta de servicio: service-[PROJECT-NUMBER]@gcp-sa-iap.iam.gserviceaccount.com

• Si otorgaste permisos de invocador de Cloud Run a la cuenta de servicio anterior y aún tienes este problema, vuelve a implementar tu servicio de Cloud Run.

¿Qué sigue?

A fin de ayudar a configurar IAP para Cloud Run con Terraform, explora una muestra de código de Terraform.