OAuth-Clients für IAP erstellen

Auf dieser Seite wird beschrieben, wie Sie einen OAuth-Client erstellen, der zum Aktivieren von IAP erforderlich ist.

OAuth-Client erstellen

Mit der Google Cloud Console können Sie für jedes Projekt maximal 36 OAuth-Clients erstellen. Mit der Google Cloud CLI können Sie für jedes Projekt maximal 500 OAuth-Clients erstellen.

Console

Führen Sie die folgenden Schritte aus, um einen OAuth-Client mit der Google Cloud Console zu erstellen.

1. Konfigurieren Sie den OAuth-Zustimmungsbildschirm. Folgen Sie dazu der Anleitung unter OAuth-Zustimmungsbildschirm einrichten.

2. Erstellen Sie einen OAuth-Client, indem Sie der Anleitung unter OAuth 2.0 einrichten folgen.

gcloud

Bekannte Einschränkungen

Für OAuth-Clients, die programmatisch mithilfe der API erstellt werden, gelten folgende Einschränkungen:

• Von der API erstellte OAuth-Clients können nur unter Einsatz der API geändert werden. OAuth-Clients, die mit der API erstellt wurden, können nicht über die Google Cloud Console geändert werden.
• Die von der API erstellten OAuth-Clients sind nur für die IAP-Nutzung gesperrt. Daher lässt die API keine Aktualisierungen des Weiterleitungs-URI oder anderer Attribute zu.
• Die API funktioniert nicht auf den OAuth-Clients, die mit der Google Cloud Console erstellt wurden.
• Wenn Sie die API verwenden, sind pro Projekt nur 500 OAuth-Clients zulässig.
• Von der API erstellte OAuth-Zustimmungsbildschirm-Marken haben bestimmte Beschränkungen. Weitere Informationen finden Sie im Abschnitt.

Marken und Branding-Status verstehen

Der OAuth-Zustimmungsbildschirm, der Markeninformationen für Nutzer enthält, wird als eine Marke bezeichnet. Marken können auf interne oder öffentliche Nutzer beschränkt sein. Eine interne Marke macht den OAuth-Ablauf für eine Person zugänglich, die zur selben Google Workspace-Organisation wie das Projekt gehört. Eine öffentliche Marke macht den OAuth-Ablauf für jeden im Internet verfügbar.

Marken können manuell oder programmatisch mithilfe einer API erstellt werden. Marken, die mit einer API erstellt wurden, werden automatisch mit den folgenden Einstellungen konfiguriert:

• Intern Sie müssen die Einstellung manuell auf „Öffentlich“ setzen.

• Nicht überprüft. Sie müssen eine Markenüberprüfung auslösen.

So setzen Sie eine interne Marke auf „Öffentlich“:

1. Öffnen Sie den OAuth-Zustimmungsbildschirm.
2. Wählen Sie ein Projekt aus dem Drop-down-Menü aus.
3. Beachten Sie, dass auf der Seite OAuth-Zustimmungsbildschirm der Wert für Nutzertyp automatisch als Intern bestimmt wird. Klicken Sie auf App bearbeiten, um eine App auf öffentlich zu setzen. Im Anschluss werden weitere Konfigurationsoptionen verfügbar.
4. Klicken Sie unter Anwendungstyp auf öffentlich.

Hinweis Wenn eine von API erstellte interne Marke auf "öffentlich" eingestellt ist, funktioniert die API identityAwareProxyClients.create() nicht mehr, da die Marke dafür auf "intern" eingestellt sein muss. Daher können Sie keine neuen OAuth-Clients über die API erstellen, nachdem eine interne Marke öffentlich gemacht wurde.

So lösen Sie eine Markenprüfung für eine ungeprüfte, API-erstellte Marke aus:

1. Öffnen Sie den OAuth-Zustimmungsbildschirm.
2. Wählen Sie das gewünschte Projekt aus dem Dropdown-Menü aus.
3. Geben Sie auf der Seite OAuth-Zustimmungsbildschirm alle erforderlichen Informationen ein und klicken Sie auf Zur Prüfung einreichen.

Die Prüfung kann mehrere Tage dauern. Sie werden per E-Mail über den Fortschritt informiert. Weitere Informationen zur Prüfung. Während der Prüfungsprozess läuft können Sie die Anwendung weiter innerhalb Ihrer Google Workspace-Organisation nutzen. Weitere Informationen über das Verhalten Ihrer Anwendung vor der Bestätigung.

Erforderliche Berechtigungen

Stellen Sie vor dem Erstellen des Clients sicher, dass dem Aufrufer die folgenden Berechtigungen gewährt wurden:

• clientauthconfig.brands.list
• clientauthconfig.brands.create
• clientauthconfig.brands.get
• clientauthconfig.clients.create
• clientauthconfig.clients.listWithSecrets
• clientauthconfig.clients.getWithSecret
• clientauthconfig.clients.delete
• clientauthconfig.clients.update

Diese Berechtigungen sind in den einfachen Rollen Editor (roles/editor) und Inhaber (roles/owner) enthalten. Wir empfehlen jedoch, eine benutzerdefinierte Rolle zu erstellen, die diese Berechtigungen enthält und sie stattdessen dem Aufrufer zu erteilen.

OAuth für IAP einrichten

In den folgenden Schritten wird beschrieben, wie Sie den Zustimmungsbildschirm konfigurieren und einen Oauth-Client für IAP erstellen.

Zustimmungsbildschirm konfigurieren

1. Prüfen Sie mit dem Befehl list, ob bereits eine Marke vorhanden ist. Sie können nur eine Marke pro Projekt haben.

   gcloud iap oauth-brands list
   

   Hier sehen Sie ein Beispiel für eine gcloud-Antwort, wenn die Marke vorhanden ist:

   name: projects/[PROJECT_NUMBER]/brands/[BRAND_ID]
   applicationTitle: [APPLICATION_TITLE]
   supportEmail: [SUPPORT_EMAIL]
   orgInternalOnly: true
   

   Hinweis: Wenn bereits eine Marke für ein Projekt vorhanden ist und für externe Nutzer (orgInternalOnly: false) konfiguriert wurde, sie aber auf interne Nutzer beschränkt werden soll, müssen Sie diese Änderung manuell über den OAuth-Zustimmungsbildschirm vornehmen, um OAuth-Clients mit dieser API zu erstellen.

2. Wenn keine Marke vorhanden ist, verwenden Sie den Befehl create:

   gcloud iap oauth-brands create --application_title=APPLICATION_TITLE --support_email=SUPPORT_EMAIL
   

   Die obigen Felder sind für den Aufruf dieser API erforderlich:

   • supportEmail: Die Support-E-Mail-Adresse, die auf dem OAuth-Zustimmungsbildschirm angezeigt wird. Diese E-Mail-Adresse kann entweder die Adresse eines Nutzers oder ein Google Groups-Alias sein. Dienstkonten haben auch eine E-Mail-Adresse. Sie sind aber keine tatsächlich gültigen E-Mail-Adressen und können nicht beim Erstellen einer Marke verwendet werden. Ein Dienstkonto kann jedoch der Inhaber einer Google-Gruppe sein. Erstellen Sie entweder eine neue Google-Gruppe oder konfigurieren Sie eine vorhandene Gruppe und legen Sie das gewünschte Dienstkonto als Inhaber der Gruppe fest.

     Hinweis: Der Nutzer, der die Anfrage stellt, muss ein Inhaber der angegebenen Support-E-Mail-Adresse sein.

   • applicationTitle: Der Anwendungsname, der auf dem OAuth-Zustimmungsbildschirm angezeigt wird.

   Die Antwort umfasst die folgenden Felder:

   name: projects/[PROJECT_NUMBER]/brands/[BRAND_ID]
   applicationTitle: [APPLICATION_TITLE]
   supportEmail: [SUPPORT_EMAIL]
   orgInternalOnly: true
   

IAP-OAuth-Client erstellen

1. Verwenden Sie den Befehl "create", um einen Client zu erstellen. Verwenden Sie die Marke name aus dem vorherigen Schritt.

   gcloud iap oauth-clients create projects/PROJECT_NUMBER/brands/BRAND-ID --display_name=NAME
   

   Die Antwort umfasst die folgenden Felder:

   name: projects/[PROJECT_NUMBER]/brands/[BRAND_NAME]/identityAwareProxyClients/[CLIENT_ID]
   secret: [CLIENT_SECRET]
   displayName: [NAME]