Activer IAP pour Compute Engine

Cette page explique comment sécuriser une instance Compute Engine avec Identity-Aware Proxy (IAP).

Avant de commencer

Pour activer IAP pour Compute Engine, vous devez disposer des éléments suivants :

  • Un projet Cloud Console avec la facturation activée
  • Un groupe d'une ou de plusieurs instances Compute Engine desservies par un équilibreur de charge HTTPS
  • Un nom de domaine enregistré à l'adresse de l'équilibreur de charge
  • Un code d'application pour vérifier que toutes les requêtes ont une identité

Si votre instance Compute Engine n'est pas déjà configurée, consultez la page Configurer IAP pour Compute Engine pour obtenir une présentation complète.

Activer IAP à l'aide de Cloud Console

Configurer l'écran d'autorisation OAuth

Si vous n'avez pas configuré l'écran d'autorisation OAuth de votre projet, cette étape est obligatoire. Vous devez saisir une adresse e-mail et un nom de produit.

  1. Accédez à l'écran d'autorisation OAuth.
    Configurer l'écran d'autorisation
  2. Sous Adresse e-mail d'assistance, sélectionnez l'adresse e-mail que vous souhaitez afficher en tant que contact public. Celle-ci doit correspondre à votre adresse e-mail ou à un groupe Google dont vous êtes le propriétaire.
  3. Saisissez le nom de l'application que vous souhaitez afficher.
  4. Ajoutez des détails, si nécessaire.
  5. Cliquez sur Save.

Pour modifier ultérieurement les informations affichées sur l'écran d'autorisation OAuth, comme le nom du produit ou l'adresse e-mail, répétez les étapes de configuration précédentes.

Créer des identifiants OAuth

  1. Accédez à la page Identifiants.
    Accéder à la page "Identifiants"
  2. Dans la liste déroulante Créer des identifiants, sélectionnez l'ID client OAuth.
  3. Sous Type d'application, sélectionnez Application Web.
  4. Ajoutez un nom pour votre ID client OAuth.
  5. Cliquez sur Créer. Votre ID client OAuth et votre secret client sont générés et affichés dans la fenêtre Client OAuth.
  6. Cliquez sur OK.
  7. Sélectionnez le client que vous avez créé.
  8. Copiez l'ID client dans le presse-papiers.
  9. Ajoutez l'URL de redirection universelle au champ URI de redirection autorisés au format suivant :
    https://iap.googleapis.com/v1/oauth/clientIds/CLIENT_ID:handleRedirect

    CLIENT_ID correspond à l'ID client OAuth.

  10. En haut de la page, cliquez sur Télécharger JSON. Ces identifiants vous seront utiles lors d'une prochaine étape.

Configurer l'accès à IAP

  1. Accédez à la page Identity-Aware Proxy.
    Accéder à la page "Identity-Aware Proxy"
  2. Sélectionnez le projet que vous souhaitez sécuriser avec IAP.
  3. Cochez la case à côté de la ressource à laquelle vous souhaitez ajouter des membres.
  4. Dans le panneau d'informations situé à droite, cliquez sur Ajouter un membre.
  5. Dans la boîte de dialogue Ajouter des membres qui s'affiche, ajoutez les adresses e-mail des groupes ou des personnes auxquels vous souhaitez accorder le rôle Utilisateur de l'application Web sécurisée par IAP dans le cadre du projet.

    Les types de comptes suivants peuvent être ajoutés en tant que membres :

    • Compte Google : user@gmail.com
    • Groupe Google : admins@googlegroups.com
    • Compte de service : server@example.gserviceaccount.com
    • Domaine Google Workspace : example.com

    Veillez à ajouter un compte Google auquel vous avez accès.

  6. Sélectionnez Cloud IAP > Utilisateur de l'application Web sécurisée par IAP dans la liste déroulante Rôles.
  7. Cliquez sur Save.

Activer IAP

  1. Sur la page Identity-Aware Proxy, sous Ressources HTTPS, recherchez l'équilibreur de charge qui diffuse l'élément instance group dont vous souhaitez restreindre l'accès. Pour activer IAP pour une ressource,
    Pour activer IAP, procédez comme suit :
    • Au moins un protocole de la configuration de l'interface d'équilibrage de charge doit correspondre à HTTPS. En savoir plus sur la configuration d'un équilibreur de charge
    • Vous avez besoin des autorisations compute.backendServices.update, clientauthconfig.clients.create et clientauthconfig.clients.getWithSecret. Ces autorisations sont accordées par des rôles (par exemple, Éditeur de projet). Pour en savoir plus, consultez la page Gérer les accès aux ressources sécurisées par IAP.
  2. Dans la fenêtre Activer IAP qui s'affiche, cliquez sur Activer pour confirmer que vous souhaitez qu'IAP sécurise votre ressource. Une fois IAP activé, des identifiants de connexion sont requis pour toutes les connexions à votre équilibreur de charge. Seuls les comptes disposant du rôle Utilisateur de l'application Web sécurisée par IAP sur le projet y ont accès.

Activer IAP à l'aide du SDK Cloud

Cette section décrit comment activer IAP pour les applications Compute Engine à l'aide de l'outil de ligne de commande gcloud. Il n'est pas encore possible d'utiliser cet outil afin d'activer IAP pour App Engine. À la place, suivez le tutoriel Démarrage rapide avec App Engine.

Installer le SDK Cloud

Pour pouvoir configurer votre projet et IAP, vous devez disposer d'une version à jour du SDK Cloud. Obtenir le SDK Cloud

Configurer le projet

Sélectionnez le projet pour lequel vous souhaitez activer IAP, puis configurez-le comme suit :

  1. Accédez à la page Groupes d'instances pour vous assurer que vos instances appartiennent à un groupe d'instances.
  2. Définissez les services backend.
  3. Configurez l'équilibrage de charge.
  4. Configurez un client OAuth :
    1. Accédez à API > Identifiants, puis sélectionnez le projet pour lequel vous souhaitez activer IAP.
    2. Configurez l'écran d'autorisation OAuth :
      1. Accédez à l'écran d'autorisation OAuth.
        Configurer l'écran d'autorisation
      2. Sous Adresse e-mail d'assistance, sélectionnez l'adresse e-mail que vous souhaitez afficher en tant que contact public. Celle-ci doit correspondre à votre adresse e-mail ou à un groupe Google dont vous êtes le propriétaire.
      3. Saisissez le nom de l'application que vous souhaitez afficher.
      4. Ajoutez des détails, si nécessaire.
      5. Cliquez sur Save.

      Pour modifier ultérieurement les informations affichées sur l'écran d'autorisation OAuth, comme le nom du produit ou l'adresse e-mail, répétez les étapes de configuration précédentes.

    3. Sous Identifiants, cliquez sur Créer des identifiants > ID client OAuth.
    4. Sous Type d'application, sélectionnez Application Web, puis ajoutez un nom.
    5. Une fois les détails renseignés, cliquez sur Créer.
    6. Dans la fenêtre du client OAuth qui s'affiche, notez l'ID client et le code secret du client.
    7. Sélectionnez à nouveau le client. Ajoutez l'URL de redirection universelle au champ URI de redirection autorisés au format suivant : https://iap.googleapis.com/v1/oauth/clientIds/CLIENT_ID:handleRedirect, où CLIENT_ID correspond à l'ID client OAuth.

Activer IAP

  1. Exécutez gcloud auth login à l'aide de l'outil de ligne de commande gcloud.
  2. Suivez l'URL qui s'affiche pour vous connecter.
  3. Une fois la connexion effectuée, copiez le code de validation qui s'affiche et collez-le dans la ligne de commande.
  4. Exécutez gcloud config set project project_id pour le projet pour lequel vous souhaitez activer IAP.
  5. Pour activer IAP, servez-vous du code secret et de l'ID client OAuth créés ci-dessus, puis exécutez gcloud compute backend-services update backend_service_name --global --iap=enabled,oauth2-client-id=client_id,oauth2-client-secret=client_secret.

Après avoir activé IAP, vous pouvez utiliser l'outil de ligne de commande gcloud pour manipuler les règles d'accès IAP à l'aide du rôle IAM roles/iap.httpsResourceAccessor. Découvrez comment gérer les rôles et les autorisations.