Le app in esecuzione sulle piattaforme gestite da Google Cloud come App Engine possono evitare di gestire l'autenticazione degli utenti e la gestione delle sessioni utilizzando Identity-Aware Proxy (IAP) per controllare l'accesso alla loro. IAP non solo può controllare l'accesso all'app, ma anche fornire informazioni sugli utenti autenticati, inclusi l'indirizzo email e un identificatore persistente all'app sotto forma di nuove intestazioni HTTP.
Obiettivi
Richiedi agli utenti della tua app App Engine di autenticarsi utilizzando IAP.
Accedi alle identità degli utenti nell'app per visualizzare l'indirizzo email autenticato dell'utente.
Costi
In questo documento vengono utilizzati i seguenti componenti fatturabili di Google Cloud:
Per generare una stima dei costi basata sull'utilizzo previsto,
utilizza il Calcolatore prezzi.
Una volta completate le attività descritte in questo documento, puoi evitare la fatturazione continua eliminando le risorse che hai creato. Per ulteriori informazioni, consulta la pagina Pulizia.
Prima di iniziare
- Accedi al tuo account Google Cloud. Se non conosci Google Cloud, crea un account per valutare le prestazioni dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $di crediti gratuiti per l'esecuzione, il test e il deployment dei carichi di lavoro.
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
Premesse
Questo tutorial utilizza IAP per autenticare gli utenti. Questo è solo uno dei diversi approcci possibili. Per scoprire di più sui vari metodi per l'autenticazione degli utenti, consulta la sezione Concetti di autenticazione.
App Hello user-email-address
L'app di questo tutorial è un'applicazione minima di App Engine in Hello World, con una funzionalità non tipica: al posto di "Hello World", mostra "Hello user-email-address
", dove user-email-address
è l'indirizzo email dell'utente autenticato.
Questa funzionalità è possibile esaminando le informazioni autenticate che IAP aggiunge a ogni richiesta web trasmessa all'app. Esistono tre nuove intestazioni di richiesta aggiunte a ogni richiesta web che raggiunge l'app. Le prime due intestazioni sono stringhe di testo normale che puoi utilizzare per identificare l'utente. La terza intestazione è un oggetto firmato tramite crittografia con le stesse informazioni.
X-Goog-Authenticated-User-Email
: l'indirizzo email di un utente lo identifica. Non memorizzare informazioni personali se la tua app può evitarle. Questa app non memorizza alcun dato, ma lo fa eco all'utente.X-Goog-Authenticated-User-Id
: questo ID utente assegnato da Google non mostra le informazioni relative all'utente, ma consente all'app di sapere che un utente che ha eseguito l'accesso è lo stesso visualizzato in precedenza.X-Goog-Iap-Jwt-Assertion
: puoi configurare le app Google Cloud in modo che accetti richieste web da altre app cloud, ignorando IAP e le richieste web Internet. Se un'app è così configurata, è possibile che tali richieste abbiano intestazioni falsificate. Anziché utilizzare una delle intestazioni di testo normale menzionate in precedenza, puoi utilizzare e verificare questa intestazione firmata crittograficamente per verificare che le informazioni siano state fornite da Google. Nell'intestazione firmata sono disponibili sia l'indirizzo email dell'utente sia un ID utente permanente.
Se hai la certezza che l'app sia configurata in modo che possa essere raggiunta solo dalle richieste web Internet e che nessuno possa disattivare il servizio IAP per l'app, il recupero di un ID utente univoco richiede una sola riga di codice:
userId = req.header('X-Goog-Authenticated-User-ID') :? null;
Tuttavia, un'app resiliente dovrebbe presentare problemi, inclusi problemi ambientali o di configurazione imprevisti, quindi consigliamo di creare una funzione che utilizzi e verifichi l'intestazione con firma crittografica. La firma di quell'intestazione non può essere falsificata e, una volta verificata, può essere utilizzata per restituire l'identificazione.
Crea il codice sorgente
Utilizza un editor di testo per creare un file denominato
app.js
e incolla il seguente codice al suo interno:Questo file
app.js
è descritto in dettaglio nella sezione Informazioni sul codice più avanti di questo tutorial.Crea un altro file denominato
package.json
e incolla al suo interno quanto segue:Il file
package.json
elenca tutte le dipendenze Node.js necessarie per la tua app.jsonwebtoken
offre la funzione di controllo e decodifica JWT.Crea un file denominato
app.yaml
e inserisci il seguente testo al suo interno:Il file
app.yaml
indica ad App Engine quale ambiente della lingua richiede il tuo codice.
Nozioni di base sul codice
Questa sezione spiega come funziona il codice nel file app.js
. Se vuoi eseguire l'app, puoi andare direttamente alla sezione Esegui il deployment dell'app.
Il seguente codice è presente nel file app.js
. Quando l'app riceve un HTTP GET
, viene richiamata la richiesta di trasferimento per /
:
La funzione ottiene il valore di intestazione JWT dell'asserzione che IAP ha aggiunto dalla richiesta in entrata e chiama una funzione per convalidare il valore della firma con crittografia. Il primo valore restituito (indirizzo email) viene quindi utilizzato in una pagina web minima che viene creata e restituita.
La funzione validateAssertion
utilizza la funzione verifySignedJwtWithCertsAsync()
di google-auth-library
per verificare che la dichiarazione sia stata firmata correttamente e per estrarre le informazioni del payload dall'asserzione. Si tratta dell'indirizzo email dell'utente autenticato e di un ID univoco permanente per l'utente.
Se l'asserzione non può essere decodificata, questa funzione genera e stampa un messaggio per registrare l'errore.
La convalida di un'asserzione JWT richiede la conoscenza dei certificati di chiave pubblica dell'entità che ha firmato la dichiarazione (Google in questo caso) e il pubblico a cui è destinata. Per un'app App Engine, il pubblico è costituito da una stringa contenente informazioni di identificazione del progetto Google Cloud. Questa funzione riceve i certificati e la stringa di pubblico dalle funzioni che lo precedono.
Puoi cercare l'ID numerico e il nome del progetto Google Cloud e inserirli autonomamente nel codice sorgente, ma la funzione audience
lo fa eseguendo una query sul servizio di metadati standard reso disponibile a ogni app App Engine. Poiché il servizio metadati è esterno al codice dell'app, il risultato viene salvato in una variabile globale restituita senza dover cercare i metadati nelle chiamate successive.
Il servizio di metadati di App Engine (e servizi di metadati simili per altri servizi di computing di Google Cloud) sembra un sito web ed è oggetto di query da parte di query web standard. Tuttavia, il servizio di metadati non è in realtà un sito esterno, ma una funzionalità interna che restituisce informazioni richieste sull'app in esecuzione, pertanto è sicuro utilizzare http
invece delle richieste https
.
Viene utilizzato per ottenere gli identificatori Google Cloud attuali necessari per definire il pubblico di destinazione dell'asserzione JWT.
La verifica di una firma digitale richiede il certificato di chiave pubblica del firmatario. Google fornisce un sito web che restituisce tutti i certificati di chiave pubblica attualmente utilizzati. Questi risultati vengono memorizzati nella cache nel caso in cui siano nuovamente necessari nella stessa istanza dell'app.
Deployment dell'app
Ora puoi eseguire il deployment dell'app e abilitare IAP per richiedere agli utenti di autenticarsi prima che possano accedere all'app.
Nella finestra del terminale, vai alla directory contenente il file
app.yaml
ed esegui il deployment dell'app in App Engine:gcloud app deploy
Quando richiesto, seleziona un'area geografica nelle vicinanze.
Quando ti viene chiesto se vuoi continuare l'operazione di deployment, inserisci
Y
.Entro pochi minuti, la tua app è attiva su Internet.
Visualizza l'app:
gcloud app browse
Nell'output, copia
web-site-url
, l'indirizzo web dell'app.In
web-site-url
, apri l'app in una finestra del browser.Nessuna email viene visualizzata perché non stai ancora utilizzando IAP, quindi non vengono inviate informazioni sull'utente all'app.
Abilita IAP
Ora che esiste un'istanza di App Engine, puoi proteggerla con IAP:
Nella console Google Cloud, vai alla pagina Identity-Aware Proxy.
Poiché è la prima volta che attivi un'opzione di autenticazione per questo progetto, viene visualizzato un messaggio che ti chiede di configurare la schermata per il consenso OAuth prima di poter utilizzare IAP.
Fai clic su Configure Consent Screen (Configura schermata per consenso).
Nella scheda Schermata Consenso OAuth della pagina Credenziali, completa i seguenti campi:
Se il tuo account è in un'organizzazione Google Workspace, seleziona Esterno e fai clic su Crea. Per iniziare, l'app sarà disponibile soltanto agli utenti che consenti esplicitamente.
Nel campo Nome applicazione, inserisci
IAP Example
.Inserisci il tuo indirizzo email nel campo Email dell'assistenza.
Nel campo Dominio autorizzato, inserisci la parte del nome host dell'URL dell'app, ad esempio
iap-example-999999.uc.r.appspot.com
. Premi il tastoEnter
dopo aver inserito il nome host nel campo.Nel campo Link alla home page dell'applicazione, inserisci l'URL della tua app, ad esempio
https://iap-example-999999.uc.r.appspot.com/
.Nel campo Riga per le norme sulla privacy dell'applicazione, utilizza lo stesso URL del link alla home page a scopo di test.
Fai clic su Salva. Quando ti viene chiesto di creare le credenziali, puoi chiudere la finestra.
Nella console Google Cloud, vai alla pagina Identity-Aware Proxy.
Per aggiornare la pagina, fai clic su Aggiorna refresh. Nella pagina viene visualizzato un elenco di risorse che puoi proteggere.
Nella colonna IAP, fai clic per attivare IAP per l'app.
Nel browser, vai di nuovo a
web-site-url
.Per l'autenticazione devi usare una schermata di accesso anziché la pagina web. Quando accedi, ti viene negato l'accesso perché IAP non dispone di un elenco di utenti a cui permettere l'accesso all'app.
Aggiungi utenti autorizzati all'app
Nella console Google Cloud, vai alla pagina Identity-Aware Proxy.
Seleziona la casella di controllo per l'app App Engine e fai clic su Aggiungi entità.
Inserisci
allAuthenticatedUsers
e seleziona il ruolo Utente applicazione web con protezione IAP/IAP.Fai clic su Salva.
Ora qualsiasi utente che Google può autenticare può accedere all'app. Se vuoi, puoi limitare ulteriormente l'accesso aggiungendo solo una o più persone o gruppi come entità:
Qualsiasi indirizzo email Gmail o Google Workspace
Indirizzo email di un gruppo Google
Un nome di dominio di Google Workspace
Accedi all'app
Nel browser, vai a
web-site-url
.Per aggiornare la pagina, fai clic su Aggiorna refresh.
Nella schermata di accesso, accedi con le tue credenziali Google.
Viene visualizzata la pagina "Hello
user-email-address
" con il tuo indirizzo email.Se visualizzi ancora la stessa pagina di prima, potrebbe esserci un problema con il browser che non aggiorna completamente le nuove richieste ora che hai attivato IAP. Chiudi tutte le finestre del browser, riaprile e riprova.
Concetti di autenticazione
Esistono diversi modi in cui un'app può autenticare i propri utenti e limitare l'accesso solo agli utenti autorizzati. Nelle sezioni seguenti sono elencati i metodi di autenticazione più comuni, che consentono di ridurre il livello di impegno per l'app.
Opzione | Vantaggi | Svantaggi |
---|---|---|
Autenticazione app |
|
|
OAuth2 |
|
|
IAP |
|
|
Autenticazione gestita dall'app
Con questo metodo, l'app gestisce autonomamente ogni aspetto dell'autenticazione utente. L'app deve mantenere il proprio database di credenziali utente e gestire le sessioni utente e deve fornire funzioni per gestire gli account utente e le password, controllare le credenziali utente, nonché emettere, controllare e aggiornare le sessioni utente a ogni accesso autenticato. Il seguente diagramma illustra il metodo di autenticazione gestito dall'app.
Come mostrato nel diagramma, dopo che l'utente ha eseguito l'accesso, l'app crea e gestisce le informazioni sulla sessione dell'utente. Quando l'utente invia una richiesta all'app, quest'ultima deve includere le informazioni sulla sessione che l'app è responsabile della verifica.
Il vantaggio principale di questo approccio è che è indipendente e sotto il controllo dell'app. Inoltre, l'app non deve necessariamente essere disponibile su Internet. Lo svantaggio principale è che l'app è ora responsabile di fornire tutte le funzionalità di gestione degli account e di proteggere tutti i dati sensibili delle credenziali.
Autenticazione esterna con OAuth2
Un'alternativa valida per gestire tutto all'interno dell'app è usare un servizio di identità esterno, come Google, che gestisce tutte le informazioni e le funzionalità dell'account utente ed è responsabile della salvaguardia delle credenziali sensibili. Quando un utente tenta di accedere all'app, la richiesta viene reindirizzata al servizio di identità, che autentica l'utente, quindi reindirizza la richiesta all'app con le informazioni di autenticazione necessarie. Per saperne di più, consulta Utilizzo di OAuth 2.0 per applicazioni server web.
Il seguente diagramma illustra l'autenticazione esterna con il metodo OAuth2.
Il flusso nel diagramma inizia quando l'utente invia una richiesta di accesso all'app. Invece di rispondere direttamente, l'app reindirizza il browser dell'utente alla piattaforma dell'identità di Google, che mostra una pagina per accedere a Google. Dopo l'accesso, il browser dell'utente viene reindirizzato all'app. Questa richiesta include informazioni che l'app può utilizzare per cercare informazioni sull'utente ora autenticato e che l'app risponde ora all'utente.
Questo metodo presenta molti vantaggi per l'app: delega tutte le funzionalità di gestione dell'account e i rischi al servizio esterno, il che può migliorare l'accesso e la sicurezza dell'account senza che l'app debba essere modificata. Tuttavia, come mostrato nel diagramma precedente, l'app deve avere accesso a Internet per poter utilizzare questo metodo. L'app è anche responsabile della gestione delle sessioni dopo che l'utente è stato autenticato.
Identity-Aware Proxy
Il terzo approccio, che tratta di questo tutorial, consiste nell'utilizzare IAP per gestire tutta l'autenticazione e la gestione delle sessioni con eventuali modifiche all'app. IAP intercetta tutte le richieste web alla tua app, blocca tutte quelle non autenticate e le altre passa attraverso i dati sull'identità degli utenti aggiunti a ogni richiesta.
La gestione delle richieste è mostrata nel diagramma seguente.
Le richieste degli utenti vengono intercettate da IAP, che blocca le richieste non autenticate. Le richieste autenticate vengono trasferite all'app, a condizione che l'utente autenticato sia nell'elenco degli utenti consentiti. Alle richieste trasmesse tramite IAP vengono aggiunte intestazioni che identificano l'utente che ha effettuato la richiesta.
L'app non deve più gestire le informazioni dell'account utente o della sessione. Qualsiasi operazione che richieda la conoscenza di un identificatore univoco per l'utente può recuperarla direttamente da ogni richiesta web in entrata. Tuttavia, questo può essere utilizzato solo per i servizi di computing che supportano IAP, ad esempio App Engine e bilanciatori del carico. Non puoi utilizzare IAP su una macchina di sviluppo locale.
Esegui la pulizia
Per evitare che al tuo Account Google Cloud vengano addebitati costi relativi alle risorse utilizzate in questo tutorial, elimina il progetto che contiene le risorse oppure mantieni il progetto ed elimina le singole risorse.
- Nella console Google Cloud, vai alla pagina Gestisci risorse.
- Nell'elenco dei progetti, seleziona il progetto che vuoi eliminare, quindi fai clic su Elimina.
- Nella finestra di dialogo, digita l'ID del progetto e fai clic su Chiudi per eliminare il progetto.