本页面介绍了如何将 Identity-Aware Proxy (IAP) 配置为使用 员工身份联合。
使用 IAP 配置员工身份联合时,您可以 可以使用外部身份提供方 (IdP) 对 员工(员工、合作伙伴和承包商等)的一组用户, Identity and Access Management (IAM),以便用户安全地访问部署在 Google Cloud 还是本地。
通过使用员工身份联合配置 IAP,您可以针对通过 IAP 保护的应用执行以下操作:
- 将最终用户重定向到外部 IdP(如 Okta)以登录。
- 将登录会话时长配置为介于 15 分钟到 12 小时之间。
- 仅允许 IdP 中的特定最终用户或最终用户组访问您的 应用。
- 指定最终用户可在什么情境下访问应用。对于 例如,仅允许在一天中的特定时段访问。
您可以在 IAP 支持的所有现有资源和负载均衡器上将 IAP 与员工身份联合搭配使用。
为应用使用员工身份联合配置 IAP
使用员工身份联合配置 IAP 包括: 完成以下主要任务:
- 设置员工池和提供方。
- 创建 OAuth 客户端 ID 和 Secret。
- 启用 IAP 并将其配置为使用员工身份联合。
设置员工池和提供方
如需设置员工池和提供方,请按照 员工身份联合,以及何时 如需设置会话时长,请参阅使用员工身份联合会话管理 IAP。
如果您想将第三方 IdP 中的电子邮件地址映射到 Google Cloud,则必须在员工池提供方中为 google.email
添加属性映射。示例:google.email=assertion.email
。
创建 OAuth 客户端 ID 和 Secret
按照说明在与要用于此配置的员工池所属的组织相同的项目下创建 OAuth 客户端 ID 和密钥。该项目不一定与受 IAP 保护的资源所属的项目相同。创建 OAuth 客户端 ID 和 Secret 时,请执行以下操作:
创建客户端 ID 时,为重定向 URI 使用占位符。创建客户端 ID 后,运行
describe
OAuth 客户端以获取生成的clientID
。获取
clientID
后,运行update
OAuth 客户端,将allowed-redirect-uris
更新为以下内容:https://iap.googleapis.com/v1/oauth/clientIds/$CLIENT_ID:handleRedirect
。其中
CLIENT_ID
是在上一步中检索到的clientID
。创建客户端密钥后,运行
describe
OAuth 客户端 凭据 以获取生成的clientSecret
。
保存
clientId
和clientSecret
,因为您需要在后续步骤中使用它们。
允许 IAP 使用员工身份联合
控制台
- 在 Google Cloud 控制台中,打开 IAP 页面。
前往 IAP 页面 - 选择一个项目。该项目必须与您之前创建的员工池位于同一组织中。项目不必是 您在其中创建 OAuth 客户端 ID 和密钥的项目。
- 点击应用程序标签,然后找到您要 希望仅限使用 IAP 进行访问。
- 在 IAP 列中,将开关切换为开启。
gcloud
如需使用 gcloud CLI 启用 IAP,请按照 的以下操作步骤:
API
创建
settings.json
文件。cat << EOF > settings.json { "iap": { "enabled":true, } } EOF
在 App Engine 上启用 IAP。
curl -X PATCH \ -H "Authorization: Bearer $(gcloud auth print-access-token)" \ -H "Accept: application/json" \ -H "Content-Type: application/json" \ -d @settings.json \ "https://appengine.googleapis.com/v1/apps/PROJECT_ID?updateMask=iap.enabled"
如需在 Compute Engine 上启用 IAP,请使用以下网址:
https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/REGION/backendServices/BACKEND_SERVICE_NAME?updateMask=iap.enabled
。
更新 IAP 设置
如需将 IAP 配置为使用员工身份联合,您必须 配置以下设置:
WorkforceIdentitySettings
:之前创建的 OAuth 客户端 ID 和密钥。IdentitySources
:身份源。
如需了解详情,请参阅 IAP API。
gcloud
请参考以下示例,创建一个
iap_settings.yaml
文件。CLIENT_ID=clientId CLIENT_SECRET=clientSecret WORKFORCE_POOL_NAME=locations/global/workforcePools/test-pool cat <<EOF > iap_settings.yaml access_settings: identity_sources: ["WORKFORCE_IDENTITY_FEDERATION"] workforce_identity_settings: workforce_pools: ["$WORKFORCE_POOL_NAME"] oauth2: client_id: "$CLIENT_ID" client_secret: "$CLIENT_SECRET" EOF
运行以下命令以更新资源的 IAP 设置。
gcloud iap settings set iap_settings.yaml --project=PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE
替换以下内容:
- PROJECT:项目 ID。
- RESOURCE_TYPE:IAP 资源类型。资源类型必须为
app-engine
、iap_web
、compute
、organization
或folder
。 - SERVICE:服务名称。
app-engine
和compute
的可选参数。
如需详细了解该命令,请参阅 gcloud iap settings set。
API
请参考以下示例,创建一个
iap_settings.json
设置文件。CLIENT_ID=clientId CLIENT_SECRET=clientSecret WORKFORCE_POOL_NAME=locations/global/workforcePools/test-pool cat <<EOF > iap_settings.json { "access_settings": { "identity_sources": ["WORKFORCE_IDENTITY_FEDERATION"], "workforce_identity_settings": { "workforce_pools": ["$WORKFORCE_POOL_NAME"], "oauth2": { "client_id": "$CLIENT_ID", "client_secret": "$CLIENT_SECRET", } } } } EOF
使用 gcloud CLI 获取资源的名称,然后 从输出中复制
RESOURCE_NAME
,因为您需要在 。gcloud iap settings get \ --project=PROJECT \ --resource-type=RESOURCE_TYPE \ --service=SERVICE
替换以下内容:
- PROJECT:项目 ID。
- RESOURCE_TYPE:IAP 资源类型。资源类型必须为
app-engine
、iap_web
、compute
、organization
或folder
。 - SERVICE:服务名称。
app-engine
和compute
的可选参数。
将以下命令中的
RESOURCE_NAME
替换为上一步中的RESOURCE_NAME
。curl -X PATCH \ -H "Authorization: Bearer $(gcloud auth print-access-token)" \ -H "Accept: application/json" \ -H "Content-Type: application/json" \ -d @iap_settings.json \ "https://iap.googleapis.com/v1/RESOURCE_NAME:iapSettings?updateMask=iapSettings.accessSettings.identitySources,iapSettings.accessSettings.workforceIdentitySettings.workforcePools,iapSettings.accessSettings.workforceIdentitySettings.oauth2.clientId,iapSettings.accessSettings.workforceIdentitySettings.oauth2.clientSecret"
授予对受 IAP 保护的资源的访问权限
要访问受 IAP 保护的资源,最终用户必须拥有 受 IAP 保护的 Web 应用用户 角色。 您可以向单个用户授予 IAP-Secured Web App User 角色 (主账号)或一组用户 (主账号集、 (映射到群组、特定属性或整个用户池)。
不支持对受 IAP 保护的资源进行无限制访问。
控制台
gcloud
运行以下命令:
gcloud iap web add-iam-policy-binding \
--member=PRINCIPAL_IDENTIFIER \
--role='roles/iap.httpsResourceAccessor' \
--project=PROJECT_ID \
--resource-type=RESOURCE_TYPE \
--service=SERVICE \
--condition=CONDITION
请替换以下内容:
- PRINCIPAL_IDENTIFIER:主要标识符。
- PROJECT_ID:项目 ID。
- RESOURCE_TYPE:IAP 资源类型,
为
app-engine
或backend-services
。 - SERVICE:(可选)服务名称。
- CONDITION:(可选)IAM Conditions。 以下是使用访问权限级别配置的条件示例:
expression="accessPolicies/12345678/accessLevels/iap_test_access_level" in request.auth.access_levels,title=iap-test-access-level,description=only access in weekdays
API
不推荐使用此方法,因为它会影响 资源的 IAM 政策。错误可能会导致从资源中移除政策。
获取现有的 IAM 政策绑定。
curl -X POST \ -H "Authorization: Bearer $(gcloud auth print-access-token)" \ -H "Accept: application/json" \ -H "Content-Type: application/json" \ -d {} \ "https://iap.googleapis.com/v1/RESOURCE_NAME:getIamPolicy" -o iam_policy_bindings.json
将 RESOURCE_NAME 替换为 RESOURCE_NAME是您在 上一步。
在您从上一步中获取的
iam_policy_bindings.json
文件中,移除版本和 etag 行,然后添加要为主账号标识符添加的绑定。如需了解详情,请参阅 了解允许政策。{ "bindings": [ { // existing bindings }, { "role": "roles/iap.httpsResourceAccessor", "members": [ "principal://iam.googleapis.com/locations/global/workforcePools/iap-test-pool/subject/iap-test-subject" ], "condition": { "expression": "\"accessPolicies/12345678/accessLevels/iap_test_access_level\" in request.auth.access_levels", "title": "iap-test-access-level", "description": "only access in week days" } } ] }
更新 IAM 政策绑定。
curl -X POST \ -H "Authorization: Bearer $(gcloud auth print-access-token)" \ -H "Accept: application/json" \ -H "Content-Type: application/json" \ -d "{"policy":$(cat iam_policy_bindings.json)}" \ "https://iap.googleapis.com/v1/RESOURCE_NAME:setIamPolicy"
将 RESOURCE_NAME 替换为您在前面的步骤中获取的 RESOURCE_NAME。
如需了解详情,请参阅 GetIamPolicy 和 SetIamPolicy。
(可选)设置情境感知访问权限
(可选)您可以为高级授权设置情境感知访问权限规则。
如需设置访问权限级别,请参阅 创建和应用访问权限级别。 使用员工身份联合时,无法使用基于设备信息的访问权限级别。您仍然可以使用基于请求的情境的访问权限 以 IP 地址、时间和日期等条件为基础进行监控。
使用员工池时的限制
- 对于每个启用 IAP 的应用,只能配置一个员工池,并且员工池只能包含一个提供方。
- 员工池、OAuth 客户端 ID 和密钥,以及 支持 IAP 的应用必须都属于同一组织。
- 设备相关信息的访问权限级别不受支持。
- 仅支持以下 IAP 设置配置:
- 不支持通过员工身份联合进行程序化访问。