Activer IAP pour Compute Engine

Cette page explique comment sécuriser une instance Compute Engine avec Identity-Aware Proxy (IAP).

Avant de commencer

Pour activer IAP pour Compute Engine, vous devez disposer des éléments suivants :

Si votre instance Compute Engine n'est pas déjà configurée, consultez la page Configurer IAP pour Compute Engine pour obtenir une présentation complète.

Activer IAP à l'aide de Google Cloud Console

Configurer l'écran d'autorisation OAuth

Si vous n'avez pas configuré l'écran d'autorisation OAuth de votre projet, cette étape est obligatoire. Vous devez saisir une adresse e-mail et un nom de produit.

  1. Accédez à l'écran d'autorisation OAuth.
    Configurer l'écran d'autorisation
  2. Sous Adresse e-mail d'assistance, sélectionnez l'adresse e-mail que vous souhaitez afficher en tant que contact public. L'adresse e-mail doit appartenir au compte utilisateur actuellement connecté ou à un groupe Google auquel appartient l'utilisateur actuellement connecté.
  3. Saisissez le nom de l'application que vous souhaitez afficher.
  4. Ajoutez des détails, si nécessaire.
  5. Cliquez sur Save.

Pour modifier ultérieurement les informations affichées sur l'écran d'autorisation OAuth, comme le nom du produit ou l'adresse e-mail, répétez les étapes de configuration précédentes.

Créer des identifiants OAuth

  1. Accédez à la page Identifiants.
    Accéder à la page "Identifiants"
  2. Dans la liste déroulante Créer des identifiants, sélectionnez l'ID client OAuth.
  3. Sous Type d'application, sélectionnez Application Web.
  4. Ajoutez un nom pour votre ID client OAuth.
  5. Cliquez sur Créer. Votre ID client OAuth et votre secret client sont générés et affichés dans la fenêtre Client OAuth.
  6. Cliquez sur OK.
  7. Sélectionnez le client que vous avez créé.
  8. Copiez l'ID client dans le presse-papiers.
  9. Ajoutez l'URL de redirection universelle au champ URI de redirection autorisés au format suivant :
    https://iap.googleapis.com/v1/oauth/clientIds/CLIENT_ID:handleRedirect

    CLIENT_ID correspond à l'ID client OAuth.

  10. En haut de la page, cliquez sur Télécharger JSON. Ces identifiants vous seront utiles lors d'une prochaine étape.

Configurer l'accès à IAP

  1. Accédez à la page Identity-Aware Proxy.
    Accéder à la page "Identity-Aware Proxy"
  2. Sélectionnez le projet que vous souhaitez sécuriser avec IAP.
  3. Cochez la case à côté de la ressource à laquelle vous souhaitez accorder l'accès.
  4. Dans le panneau latéral de droite, cliquez sur Ajouter un compte principal.
  5. Dans la boîte de dialogue Ajouter des comptes principaux qui s'affiche, saisissez les adresses e-mail des groupes ou des personnes qui doivent disposer du rôle Utilisateur de l'application Web sécurisée par IAP pour le projet.

    Les types de comptes principaux suivants peuvent avoir ce rôle:

    • Compte Google : user@gmail.com
    • Groupe Google : admins@googlegroups.com
    • Compte de service : server@example.gserviceaccount.com
    • Domaine Google Workspace : example.com

    Veillez à ajouter un compte Google auquel vous avez accès.

  6. Sélectionnez Cloud IAP > Utilisateur de l'application Web sécurisée par IAP dans la liste déroulante Rôles.
  7. Cliquez sur Save.

Activer IAP

  1. Sur la page Identity-Aware Proxy, sous Ressources HTTPS, recherchez l'équilibreur de charge qui diffuse l'élément instance group dont vous souhaitez restreindre l'accès. Pour activer IAP pour une ressource,
    Pour activer IAP, procédez comme suit :
    • Au moins un protocole de la configuration de l'interface d'équilibrage de charge doit correspondre à HTTPS. En savoir plus sur la configuration d'un équilibreur de charge
    • Vous avez besoin des autorisations compute.backendServices.update, clientauthconfig.clients.create et clientauthconfig.clients.getWithSecret. Ces autorisations sont accordées par des rôles (par exemple, Éditeur de projet). Pour en savoir plus, consultez la page Gérer les accès aux ressources sécurisées par IAP.
  2. Dans la fenêtre Activer IAP qui s'affiche, cliquez sur Activer pour confirmer que vous souhaitez qu'IAP sécurise votre ressource. Une fois IAP activé, des identifiants de connexion sont requis pour toutes les connexions à votre équilibreur de charge. Seuls les comptes disposant du rôle Utilisateur de l'application Web sécurisée par IAP sur le projet y ont accès.

Activer IAP à l'aide du SDK Google Cloud

Cette section décrit comment activer IAP pour les applications Compute Engine à l'aide de l'outil de ligne de commande gcloud. Il n'est pas encore possible d'utiliser cet outil afin d'activer IAP pour App Engine. À la place, suivez le tutoriel Démarrage rapide avec App Engine.

Obtenir la CLI Google Cloud

Avant de configurer votre projet et IAP, vous devez disposer d'une version à jour de la CLI gcloud. Obtenir la CLI gcloud

Configurer le projet

Sélectionnez le projet pour lequel vous souhaitez activer IAP, puis configurez-le comme suit :

  1. Accédez à la page Groupes d'instances pour vous assurer que vos instances appartiennent à un groupe d'instances.
  2. Définissez les services backend.
  3. Configurez un équilibrage de charge externe ou interne.
  4. Configurez un client OAuth :
    1. Accédez à API > Identifiants, puis sélectionnez le projet pour lequel vous souhaitez activer IAP.
    2. Configurez l'écran d'autorisation OAuth :
      1. Accédez à l'écran d'autorisation OAuth.
        Configurer l'écran d'autorisation
      2. Sous Adresse e-mail d'assistance, sélectionnez l'adresse e-mail que vous souhaitez afficher en tant que contact public. L'adresse e-mail doit appartenir au compte utilisateur actuellement connecté ou à un groupe Google auquel appartient l'utilisateur actuellement connecté.
      3. Saisissez le nom de l'application que vous souhaitez afficher.
      4. Ajoutez des détails, si nécessaire.
      5. Cliquez sur Save.

      Pour modifier ultérieurement les informations affichées sur l'écran d'autorisation OAuth, comme le nom du produit ou l'adresse e-mail, répétez les étapes de configuration précédentes.

    3. Sous Identifiants, cliquez sur Créer des identifiants > ID client OAuth.
    4. Sous Type d'application, sélectionnez Application Web, puis ajoutez un nom.
    5. Une fois les détails renseignés, cliquez sur Créer.
    6. Dans la fenêtre du client OAuth qui s'affiche, notez l'ID client et le code secret du client.
    7. Sélectionnez à nouveau le client. Ajoutez l'URL de redirection universelle au champ URI de redirection autorisés au format suivant : https://iap.googleapis.com/v1/oauth/clientIds/CLIENT_ID:handleRedirect, où CLIENT_ID correspond à l'ID client OAuth.

Activer IAP

  1. Utilisez la CLI Google Cloud pour exécuter gcloud auth login.
  2. Suivez l'URL qui s'affiche pour vous connecter.
  3. Une fois la connexion effectuée, copiez le code de validation qui s'affiche et collez-le dans la ligne de commande.
  4. Exécutez gcloud config set project PROJECT_ID pour le projet pour lequel vous souhaitez activer IAP.
  5. Pour activer IAP, utilisez l'ID client OAuth et le secret que vous avez créés précédemment, puis exécutez la commande globalement ou régionale.
    • Champ d'application global : gcloud compute backend-services update BACKEND_SERVICE_NAME --global --iap=enabled,oauth2-client-id=CLIENT_ID,oauth2-client-secret=CLIENT_SECRET.
    • Champ d'application régional : gcloud compute backend-services update BACKEND_SERVICE_NAME --region REGION_NAME --iap=enabled,oauth2-client-id=CLIENT_ID,oauth2-client-secret=CLIENT_SECRET.

Après avoir activé IAP, vous pouvez utiliser l'outil de ligne de commande gcloud pour manipuler les règles d'accès IAP à l'aide du rôle IAM roles/iap.httpsResourceAccessor. Découvrez comment gérer les rôles et les autorisations.