Créer des clients OAuth personnalisés pour les IAP

Cette page explique comment créer un client OAuth lorsque vous utilisez la configuration OAuth personnalisée pour activer IAP avec les identités Google.

Si vous souhaitez utiliser un client OAuth géré par Google pour activer IAP, consultez Activer IAP à l'aide d'un client OAuth géré par Google.

Créer un client OAuth

Vous pouvez créer jusqu'à 36 clients OAuth pour chaque projet avec la consoleGoogle Cloud . Vous pouvez créer jusqu'à 500 clients OAuth par projet avec la Google Cloud CLI.

Console

Suivez les étapes ci-dessous pour créer un client OAuth à l'aide de la consoleGoogle Cloud .

  1. Configurez l'écran de consentement OAuth en suivant les instructions de la page Configurer votre écran de consentement OAuth.

  2. Créez un client OAuth en suivant les instructions de la section Configurer OAuth 2.0.

gcloud

Limitations connues

Voici les limites applicables aux clients OAuth créés par programmation à l'aide de l'API :

  • Les clients OAuth créés par l'API ne peuvent être modifiés qu'à l'aide de l'API. Vous ne pouvez pas modifier un client OAuth à l'aide de la console Google Cloud s'il a été créé à l'aide de l'API.
  • Les clients OAuth créés par l'API sont verrouillés pour une utilisation IAP uniquement. Par conséquent, l'API n'autorise aucune modification de l'URI de redirection ni d'autres attributs.
  • L'API ne fonctionne pas sur les clients OAuth créés à l'aide de la console Google Cloud .
  • Seuls 500 clients OAuth sont autorisés par projet lors de l'utilisation de l'API.
  • Les marques d'écran d'autorisation OAuth créées par l'API ont des limitations spécifiques. Pour en savoir plus, consultez la section.

Comprendre les marques et leur état

L'l'écran d'autorisation OAuth, qui contient des informations sur les marques pour les utilisateurs, est appelé marque. Les marques peuvent être limitées aux utilisateurs internes ou publics. Une marque interne rend le flux OAuth accessible à une personne qui appartient à la même organisation Google Workspace que le projet. Une marque publique rend le flux OAuth disponible à tous sur Internet.

Les marques peuvent être créées manuellement ou par programmation à l'aide d'une API. Les marques créées à l'aide d'une API sont automatiquement configurées avec les paramètres suivants :

  • Interne. Vous devez les définir manuellement sur "Public".

  • Non examinée. Vous devez déclencher un examen de la marque.

Pour définir une marque interne sur "publique" :

  1. Ouvrez l'écran d'autorisation OAuth.
  2. Sélectionnez un projet dans le menu déroulant.
  3. Sur l'écran d'autorisation OAuth, notez que le Type d'utilisateur est automatiquement défini sur Interne. Pour le définir sur Public, cliquez sur Modifier l'application. D'autres options de configuration sont disponibles.
  4. Sous Type d'application, cliquez sur Public.

Pour déclencher une révision de marque pour une marque non révisée créée par l'API :

  1. Ouvrez l'écran d'autorisation OAuth.
  2. Sélectionnez un projet dans le menu déroulant.
  3. Sur la page Écran d'autorisation OAuth, saisissez les informations requises, puis cliquez sur Soumettre pour validation.

Le processus de validation peut prendre plusieurs semaines. Vous recevrez des informations concernant la progression de l'opération par e-mail. En savoir plus sur la validation. Tant que le processus de validation est en cours, vous pouvez toujours utiliser l'application dans votre organisation Google Workspace. En savoir plus sur le comportement de votre application avant sa validation.

Autorisations requises

Avant de créer le client, assurez-vous que l'appelant a reçu les autorisations suivantes :

  • clientauthconfig.brands.list
  • clientauthconfig.brands.create
  • clientauthconfig.brands.get
  • clientauthconfig.clients.create
  • clientauthconfig.clients.listWithSecrets
  • clientauthconfig.clients.getWithSecret
  • clientauthconfig.clients.delete
  • clientauthconfig.clients.update

Ces autorisations sont incluses dans les rôles de base d'éditeur (roles/editor) et de propriétaire (roles/owner), mais nous vous recommandons de créer un rôle personnalisé qui contient ces autorisations et les accorde à l'appelant à la place.

Configurer OAuth pour IAP

Les étapes suivantes décrivent comment configurer l'écran d'autorisation et créer et autoriser un client pour IAP.

  1. Check if you already have an existing brand by using the list command. You may only have one brand per project.

    gcloud iap oauth-brands list

    The following is an example gcloud response, if the brand exists:

    name: projects/[PROJECT_NUMBER]/brands/[BRAND_ID]
applicationTitle: [APPLICATION_TITLE]
supportEmail: [SUPPORT_EMAIL]
orgInternalOnly: true

  2. If no brand exists, use the create command:

    gcloud iap oauth-brands create --application_title=APPLICATION_TITLE --support_email=SUPPORT_EMAIL

    The above fields are required when calling this API:

    • supportEmail: The support email displayed on the OAuth consent screen. This email address can either be a user's address or a Google Groups alias. While service accounts also have an email address, they are not actual valid email addresses, and cannot be used when creating a brand. However, a service account can be the owner of a Google Group. Either create a new Google Group or configure an existing group and set the desired service account as an owner of the group.

    • applicationTitle: The application name displayed on OAuth consent screen.

    The response contains the following fields:

    name: projects/[PROJECT_NUMBER]/brands/[BRAND_ID]
applicationTitle: [APPLICATION_TITLE]
supportEmail: [SUPPORT_EMAIL]
orgInternalOnly: true

Creating an IAP OAuth Client

  1. Use the create command to create a client. Use the brand name from previous step.

    gcloud iap oauth-clients create projects/PROJECT_NUMBER/brands/BRAND-ID --display_name=NAME

    The response contains the following fields:

    name: projects/[PROJECT_NUMBER]/brands/[BRAND_NAME]/identityAwareProxyClients/[CLIENT_ID]
secret: [CLIENT_SECRET]
displayName: [NAME]