为 Cloud Run 启用 IAP

本页面介绍如何使用 Identity-Aware Proxy (IAP) 保护 Cloud Run 服务。

已知限制

使用 IAP 保护时，已启用 HTTP/2 的 Cloud Run 服务会在请求时遇到无限重定向循环。此行为并非预期行为，Google 预计在以后解决此问题。目前，为了避免这种行为，我们建议在服务位于 IAP 之后停用 HTTP/2 配置（默认设置）。
具有内部负载均衡器的 Cloud Run 需要订阅 BeyondCorp Enterprise。
IAP 使用 X-Serverless-Authorization 标头向 Cloud Run 进行身份验证。Cloud Run 会在删除签名后将其传递给您的服务。如果您的服务旨在将请求转发给需要 IAM 身份验证的其他 Cloud Run 服务，请先更新您的服务以移除此标头。
IAP 与 Cloud CDN 不兼容。

准备工作

如需为 Cloud Run 启用 IAP，您需要以下各项：

启用了结算功能的 Google Cloud 控制台项目。
由负载均衡器提供服务的一组（一个或多个）Cloud Run 服务。
- 了解如何设置外部 HTTPS 负载均衡器。
- 了解如何设置内部 HTTPS 负载均衡器。
- 已注册到负载均衡器地址的域名。
用于验证所有请求都拥有一个身份的应用代码。
- 了解如何获取用户的身份。

启用 IAP

控制台

如果您尚未配置项目的 OAuth 权限请求页面，则需要进行配置。您需要在 OAuth 权限请求页面上使用电子邮件地址和产品名称。

转到 OAuth 权限请求页面。
在支持电子邮件地址下，选择要显示为公开联系人的电子邮件地址。该电子邮件地址必须是您自己的电子邮件地址或您拥有的某一 Google 群组的电子邮件地址。
输入您要显示的应用名称。
添加任何可选详细信息。
点击保存。

如需稍后更改 OAuth 权限请求页面上的信息（例如产品名称或电子邮件地址），请重复上述步骤来配置权限请求页面。

设置 IAP 访问权限

转到 Identity-Aware Proxy 页面。
选择要使用 IAP 保护的项目。
在应用下，选中您要向其添加成员的负载均衡器后端服务旁边的复选框。
在右侧面板上，点击添加成员。
在添加成员对话框中，输入应具有项目的 IAP-secured Web App User 角色的群组或个人的帐号。可以添加以下种类的帐号作为成员：
- Google 帐号：user@gmail.com - 也可以是 Google Workspace 帐号，例如 user@google.com 或其他一些工作区网域。
- Google 群组：<管理员>@googlegroups.com
- 服务帐号：<服务器>@<示例>.gserviceaccount.com
- Google Workspace 网域：example.com
从角色下拉列表中选择 Cloud IAP > IAP-secured Web App Use。
点击保存。

启用 IAP

在IAP 页面的应用下，找到要限制访问的负载均衡器后端服务。如需为资源开启 IAP，请点击 IAP 切换开关。如需启用 IAP，请执行以下操作：
- 负载均衡器前端配置中至少有一个协议必须为 HTTPS。了解如何设置负载均衡器。
- 您需要 compute.backendServices.update、clientauthconfig.clients.create 和 clientauthconfig.clients.getWithSecret 权限。这些权限由 Project Editor 等角色授予。如需了解详情，请参阅管理对受 IAP 保护的资源的访问权限。
在出现的开启 IAP 窗口中，点击开启以确认您希望使用 IAP 保护资源。开启 IAP 后，它需要与负载均衡器的所有连接的登录凭据。只有具有项目的 IAP-Secured Web App User 角色的帐号才能获得访问权限。
按照 IAM 访问权限控制中的说明，授权 IAP 将流量发送到后端 Cloud Run 服务。
- 主帐号：service-[PROJECT-NUMBER]@gcp-sa-iap.iam.gserviceaccount.com
- 角色：Cloud Run Invoker

gcloud

按照以编程方式为 IAP 创建 OAuth 客户端中的说明配置 OAuth 权限请求页面和创建 OAuth 客户端。
保存 OAuth 客户端 ID 和 Secret。
如果您之前未创建过服务帐号，请运行以下命令创建一个。如果您之前创建服务帐号，则运行此命令不会创建重复的服务帐号。
```
gcloud beta services identity create --service=iap.googleapis.com --project=[PROJECT_ID]
```

运行以下命令，向调用方在上一步中创建的服务帐号授予权限：

gcloud run services add-iam-policy-binding [SERVICE-NAME] \
--member=`serviceAccount:service-[PROJECT-NUMBER]@gcp-sa-iap.iam.gserviceaccount.com`  \
--role=`roles/run.invoker`

通过运行全局范围或区域范围的命令来启用 IAP，具体取决于您的负载均衡器后端服务是全球性还是区域性。使用上一步中的 OAuth 客户端 ID 和 Secret。

全球范围：
```
gcloud compute backend-services update BACKEND_SERVICE_NAME --global --iap=enabled,oauth2-client-id=CLIENT_ID,oauth2-client-secret=CLIENT_SECRET
```
区域范围：
```
gcloud compute backend-services update BACKEND_SERVICE_NAME --region REGION_NAME --iap=enabled,oauth2-client-id=CLIENT_ID,oauth2-client-secret=CLIENT_SECRET
```
请替换以下内容：
- BACKEND_SERVICE_NAME：后端服务的名称。
- CLIENT_ID：上一步中的 OAuth 客户端 ID。
- CLIENT_SECRET：上一步中的 OAuth 客户端 Secret。
- REGION_NAME：要在其中启用 IAP 的区域。

启用 IAP 后，您可以使用 Google Cloud CLI 通过 Identity and Access Management 角色 roles/iap.httpsResourceAccessor 操纵 IAP 访问权限政策。如需了解详情，请参阅管理角色和权限。

配置 Cloud Run 以限制访问权限

您可以将 Cloud Run 服务配置为仅允许内部客户端和外部负载均衡器访问，这样会阻止来自公共互联网的所有直接请求。

按照限制 Cloud Run 的入站流量中的步骤，将 Cloud Run 服务的入站流量设置配置为内部和 Cloud Load Balancing。

排查错误

 The IAP service account is not provisioned

如果您看到此错误，说明您正在尝试通过 gcloud CLI 在 Cloud Run 服务上启用 IAP。通过 gcloud CLI 设置 IAP 包括使用以下命令在项目中预配 IAP 服务帐号的额外步骤： gcloud beta services identity create --service=iap.googleapis.com --project=[PROJECT_ID]

 Your client does not have permission to get URL from this server

IAP 使用 IAP 服务帐号权限来调用 Cloud Run 服务。确保已向以下服务帐号提供 Cloud Run 调用方权限： service-[PROJECT-NUMBER]@gcp-sa-iap.iam.gserviceaccount.com
如果您已为上述服务帐号提供 Cloud Run 调用方权限，但仍然遇到此问题，请重新部署您的 Cloud Run 服务。

后续步骤

为帮助使用 Terraform 为 Cloud Run 设置 IAP，请浏览 Terraform 代码示例。