Autentica usuarios con Cloud Identity-Aware Proxy para Python

En las aplicaciones que se ejecutan en las plataformas administradas de Google Cloud, como App Engine , puedes evitar la administración de la autenticación de usuarios y la administración de sesiones mediante el control de acceso de Identity-Aware Proxy (IAP). Con IAP, no solo se puede controlar el acceso a la aplicación, sino también proporcionar información sobre los usuarios autenticados, incluida la dirección de correo electrónico y un identificador persistente para la aplicación en la forma de nuevos encabezados HTTP.

Objetivos

• Solicita a los usuarios de tu aplicación de App Engine que se autentiquen mediante IAP.

• Accede a las identidades de los usuarios en la aplicación para mostrar la dirección de correo electrónico autenticada del usuario actual.

Costos

En este documento, usarás los siguientes componentes facturables de Google Cloud:

• App Engine
• IAP

Para generar una estimación de costos en función del uso previsto, usa la calculadora de precios. Es posible que los usuarios nuevos de Google Cloud califiquen para obtener una prueba gratuita.

Cuando finalices las tareas que se describen en este documento, puedes borrar los recursos que creaste para evitar que continúe la facturación. Para obtener más información, consulta Cómo realizar una limpieza.

Antes de comenzar

1. Accede a tu cuenta de Google Cloud. Si eres nuevo en Google Cloud, crea una cuenta para evaluar el rendimiento de nuestros productos en situaciones reales. Los clientes nuevos también obtienen $300 en créditos gratuitos para ejecutar, probar y, además, implementar cargas de trabajo.

2. En la página del selector de proyectos de la consola de Google Cloud, selecciona o crea un proyecto de Google Cloud.

   Nota: Si no planeas conservar los recursos que creaste durante este procedimiento, crea un proyecto en lugar de seleccionar uno existente. Cuando termines, puedes borrar el proyecto y quitar todos los recursos asociados con él.

   Ir al selector de proyectos

3. Instala Google Cloud CLI.

4. Para inicializar la CLI de gcloud, ejecuta el siguiente comando:

   gcloud init

5. En la página del selector de proyectos de la consola de Google Cloud, selecciona o crea un proyecto de Google Cloud.

   Nota: Si no planeas conservar los recursos que creaste durante este procedimiento, crea un proyecto en lugar de seleccionar uno existente. Cuando termines, puedes borrar el proyecto y quitar todos los recursos asociados con él.

   Ir al selector de proyectos

6. Instala Google Cloud CLI.

7. Para inicializar la CLI de gcloud, ejecuta el siguiente comando:

   gcloud init

Fondo

En este instructivo, se usa IAP para autenticar a los usuarios. Este es solo uno de varios de los enfoques posibles. Si deseas obtener más información sobre los distintos métodos para autenticar usuarios, consulta la sección Conceptos de autenticación.

La aplicación de Hello user-email-address

La aplicación en este instructivo es una aplicación Hello World de App Engine mínima, con una característica no típica: en lugar de "Hello World" muestra "Hello user-email-address", en la que user-email-address es la dirección de correo electrónico del usuario autenticado.

Esta funcionalidad es posible si se examina la información autenticada que se agrega con IAP a cada solicitud web que se pasa a tu aplicación. Hay tres encabezados de solicitud nuevos agregados a cada solicitud web que llega a tu aplicación. Los dos primeros encabezados son strings de texto sin formato que puedes usar para identificar al usuario. El tercer encabezado es un objeto firmado de manera criptográfica con esa misma información.

• X-Goog-Authenticated-User-Email: Es la dirección de correo electrónico de un usuario que lo identifica. No almacenes información personal si tu aplicación puede evitarla. Esta aplicación no almacena ningún dato; solo lo repite al usuario.

• X-Goog-Authenticated-User-Id: Con este ID de usuario que se asigna en Google no se muestra información sobre el usuario, pero se habilita a que en una aplicación se sepa que un usuario que accedió es el mismo que antes.

• X-Goog-Iap-Jwt-Assertion: Puedes configurar las aplicaciones de Google Cloud para aceptar solicitudes web de otras aplicaciones en la nube, mediante la omisión de IAP, además de las solicitudes web de Internet. Si una aplicación está configurada de esta manera, es posible que estas solicitudes tengan encabezados falsificados. En lugar de usar cualquiera de los encabezados de texto sin formato antes mencionados, puedes usar y verificar este encabezado firmado de manera criptográfica para verificar que se haya proporcionado la información mediante Google. Tanto la dirección de correo electrónico del usuario como un ID de usuario persistente están disponibles como parte de este encabezado firmado.

Si estás seguro de que la aplicación está configurada para que solo las solicitudes web de Internet puedan acceder a ella y que nadie pueda inhabilitar el servicio IAP para la aplicación, la recuperación de un ID de usuario único solo requiere la línea de código siguiente:

user_id = request.headers.get('X-Goog-Authenticated-User-ID')

Sin embargo, en una aplicación resistente se debería esperar que algo salga mal, incluida la configuración inesperada o problemas ambientales, por lo que recomendamos crear una función con la que se use y verifique el encabezado firmado de manera criptográfica. La firma de ese encabezado no se puede falsificar y, cuando se verifica, se puede utilizar para mostrar la identificación.

Crea el código fuente

1. Usa un editor de texto para crear un archivo llamado main.py y pega el código siguiente:

   authenticated-users/main.py

   Ver en GitHub

   import sys
   
   from flask import Flask
   app = Flask(__name__)
   
   CERTS = None
   AUDIENCE = None
   
   def certs():
       """Returns a dictionary of current Google public key certificates for
       validating Google-signed JWTs. Since these change rarely, the result
       is cached on first request for faster subsequent responses.
       """
       import requests
   
       global CERTS
       if CERTS is None:
           response = requests.get(
               'https://www.gstatic.com/iap/verify/public_key'
           )
           CERTS = response.json()
       return CERTS
   
   def get_metadata(item_name):
       """Returns a string with the project metadata value for the item_name.
       See https://cloud.google.com/compute/docs/storing-retrieving-metadata for
       possible item_name values.
       """
       import requests
   
       endpoint = 'http://metadata.google.internal'
       path = '/computeMetadata/v1/project/'
       path += item_name
       response = requests.get(
           '{}{}'.format(endpoint, path),
           headers={'Metadata-Flavor': 'Google'}
       )
       metadata = response.text
       return metadata
   
   def audience():
       """Returns the audience value (the JWT 'aud' property) for the current
       running instance. Since this involves a metadata lookup, the result is
       cached when first requested for faster future responses.
       """
       global AUDIENCE
       if AUDIENCE is None:
           project_number = get_metadata('numeric-project-id')
           project_id = get_metadata('project-id')
           AUDIENCE = '/projects/{}/apps/{}'.format(
               project_number, project_id
           )
       return AUDIENCE
   
   def validate_assertion(assertion):
       """Checks that the JWT assertion is valid (properly signed, for the
       correct audience) and if so, returns strings for the requesting user's
       email and a persistent user ID. If not valid, returns None for each field.
       """
       from jose import jwt
   
       try:
           info = jwt.decode(
               assertion,
               certs(),
               algorithms=['ES256'],
               audience=audience()
               )
           return info['email'], info['sub']
       except Exception as e:
           print('Failed to validate assertion: {}'.format(e), file=sys.stderr)
           return None, None
   
   @app.route('/', methods=['GET'])
   def say_hello():
       from flask import request
   
       assertion = request.headers.get('X-Goog-IAP-JWT-Assertion')
       email, id = validate_assertion(assertion)
       page = "<h1>Hello {}</h1>".format(email)
       return page

   Este archivo main.py se explica en detalle en la sección Comprende el código más adelante en este instructivo.

2. Crea otro archivo llamado requirements.txt y pégale lo siguiente:

   Authenticator-users/requirements.txt

   Ver en GitHub

   Flask==2.1.2
   cryptography==37.0.2
   python-jose[cryptography]==3.3.0
   requests==2.27.1

   En el archivo requirements.txt, se enumeran las bibliotecas de Python no estándar que debe cargar App Engine para ejecutar la app:

   • Flask es el framework web de Python que se usa para la app.

   • cryptography es un módulo que proporciona funciones criptográficas sólidas.

   • python-jose[cryptography] proporciona la función de verificación y decodificación de JWT.

   • requests recupera datos de sitios web.

3. Crea un archivo llamado app.yaml y colócale el texto siguiente:

   authenticated-users/app.yaml

   Ver en GitHub

   runtime: python37

   Con el archivo app.yaml se le indica a App Engine qué entorno de idioma se requiere para tu código.

Comprende el código

En esta sección se explica cómo funciona el código de main.py. Si solo deseas ejecutar la aplicación, puedes pasar a la sección Implementa la aplicación.

El siguiente código se encuentra en el archivo main.py. Cuando la app recibe una solicitud HTTP GET a la página principal, el framework de Flask invoca la función say_hello:

authenticated-users/main.py

Ver en GitHub

@app.route('/', methods=['GET'])
def say_hello():
    from flask import request

    assertion = request.headers.get('X-Goog-IAP-JWT-Assertion')
    email, id = validate_assertion(assertion)
    page = "<h1>Hello {}</h1>".format(email)
    return page

Con la función say_hello, se obtiene el valor del encabezado de aserción de JWT que se agregó con IAP desde la solicitud entrante y se llama a una función para validar ese valor firmado de manera criptográfica. El primer valor mostrado (correo electrónico) se utiliza en una página web mínima que se crea y muestra.

authenticated-users/main.py

Ver en GitHub

def validate_assertion(assertion):
    """Checks that the JWT assertion is valid (properly signed, for the
    correct audience) and if so, returns strings for the requesting user's
    email and a persistent user ID. If not valid, returns None for each field.
    """
    from jose import jwt

    try:
        info = jwt.decode(
            assertion,
            certs(),
            algorithms=['ES256'],
            audience=audience()
            )
        return info['email'], info['sub']
    except Exception as e:
        print('Failed to validate assertion: {}'.format(e), file=sys.stderr)
        return None, None

Con la función validate_assertion se usa la función jwt.decode de la biblioteca de terceros jose para verificar que la afirmación está correctamente firmada y extraer la información de carga útil de la aserción. Esa información es la dirección de correo electrónico del usuario autenticado y un ID único persistente para el usuario. Si la aserción no puede decodificarse, en esta función se muestra None para cada uno de esos valores y se imprime un mensaje a fin de registrar el error.

La validación de una aserción de JWT requiere conocer los certificados de clave pública de la entidad con la que se firmó la aserción (Google en este caso) y el público al que está destinado la aserción. En una aplicación de App Engine, el público es una string con información de identificación de proyecto de Google Cloud. Con esta función se obtienen esos certificados y la string de público de las funciones que lo preceden.

authenticated-users/main.py

Ver en GitHub

def audience():
    """Returns the audience value (the JWT 'aud' property) for the current
    running instance. Since this involves a metadata lookup, the result is
    cached when first requested for faster future responses.
    """
    global AUDIENCE
    if AUDIENCE is None:
        project_number = get_metadata('numeric-project-id')
        project_id = get_metadata('project-id')
        AUDIENCE = '/projects/{}/apps/{}'.format(
            project_number, project_id
        )
    return AUDIENCE

Puedes buscar el ID numérico y el nombre del proyecto de Google Cloud y ponerlos en el código fuente de forma manual, pero la función audience lo hace por ti cuando se consulta el servicio de metadatos estándar disponible para cada aplicación de App Engine. Debido a que el servicio de metadatos es externo al código de la app, ese resultado se guarda en una variable global que se muestra sin tener que buscar metadatos en las llamadas posteriores.

authenticated-users/main.py

Ver en GitHub

def get_metadata(item_name):
    """Returns a string with the project metadata value for the item_name.
    See https://cloud.google.com/compute/docs/storing-retrieving-metadata for
    possible item_name values.
    """
    import requests

    endpoint = 'http://metadata.google.internal'
    path = '/computeMetadata/v1/project/'
    path += item_name
    response = requests.get(
        '{}{}'.format(endpoint, path),
        headers={'Metadata-Flavor': 'Google'}
    )
    metadata = response.text
    return metadata

El servicio de metadatos de App Engine (y los servicios de metadatos similares de otros servicios de computación de Google Cloud) son similares a un sitio web y admiten consultas web estándar. Sin embargo, no es un sitio externo, sino una función interna que con la que se muestra la información solicitada sobre la aplicación en ejecución, por lo que es seguro usar http en lugar de solicitudes https. Se usa a fin de obtener los identificadores actuales de Google Cloud necesarios para definir el público previsto de la aserción de JWT.

authenticated-users/main.py

Ver en GitHub

def certs():
    """Returns a dictionary of current Google public key certificates for
    validating Google-signed JWTs. Since these change rarely, the result
    is cached on first request for faster subsequent responses.
    """
    import requests

    global CERTS
    if CERTS is None:
        response = requests.get(
            'https://www.gstatic.com/iap/verify/public_key'
        )
        CERTS = response.json()
    return CERTS

La verificación de una firma digital requiere el certificado de clave pública del firmante. En Google se proporciona un sitio web en el que se muestran todos los certificados de clave pública utilizados actualmente. Estos resultados se almacenan en caché en caso de que se necesiten nuevamente en la misma instancia de la aplicación.

Implementa la aplicación

Ahora puedes implementar la aplicación y, luego, habilitar IAP para solicitar a los usuarios que se autentiquen antes de que puedan acceder a la aplicación.

1. En la ventana de tu terminal, ve al directorio que contiene el archivo app.yaml y, luego, implementa la aplicación en App Engine con el comando siguiente:

   gcloud app deploy
   

2. Cuando se te solicite, selecciona una región cercana.

3. Cuando se te pregunte si deseas continuar con la operación de implementación, ingresa Y.

   En pocos minutos, tu aplicación estará en vivo en Internet.

4. Ve la aplicación con el comando siguiente:

   gcloud app browse
   

   En el resultado, copia web-site-url (la dirección web de la aplicación).

5. En una ventana del navegador, pega web-site-url para abrir la aplicación.

   No se muestra ningún correo electrónico porque todavía no usas IAP y, por lo tanto, no se envía información del usuario a la aplicación.

Habilitar IAP

Ahora que existe una instancia de App Engine, puedes protegerla con IAP de la manera siguiente:

1. En Google Cloud Console, ve a la página Identity-Aware Proxy.

   Ir a la página Identity-Aware Proxy

2. Dado a que es la primera vez que habilitas una opción de autenticación para este proyecto, aparece un mensaje en el que se indica que debes configurar tu pantalla de consentimiento de OAuth para poder usar IAP.

   Haz clic en Configurar pantalla de consentimiento.

3. En la pestaña Pantalla de consentimiento de OAuth de la página Credenciales, completa los campos siguientes:

   • Si tu cuenta es una organización de Google Workspace, selecciona Externa y haz clic en Crear. Para comenzar, la app solo estará disponible para los usuarios que permitas de forma explícita.

   • En el campo Nombre de la aplicación, ingresa IAP Example.

   • En el campo Correo de asistencia, ingresa tu dirección de correo electrónico.

   • En el campo Dominio autorizado, ingresa la parte del nombre de host de la URL de la aplicación, por ejemplo, iap-example-999999.uc.r.appspot.com. Presiona la tecla Enter después de ingresar el nombre de host en el campo.

   • En el campo Vínculo a la página principal de la aplicación, ingresa la URL de tu aplicación, como https://iap-example-999999.uc.r.appspot.com/.

   • En el campo Línea de Política de Privacidad de la aplicación, usa la misma URL del vínculo de la página principal para fines de prueba.

4. Haz clic en Guardar. Cuando se solicite que crees credenciales, puedes cerrar la ventana.

5. En Cloud Console, ve a la página Identity-Aware Proxy.

   Ir a la página Identity-Aware Proxy

6. Para actualizar la página, haz clic en Actualizar . En la página, se muestra una lista de recursos que puedes proteger.

7. En la columna IAP, haz clic a fin de activar IAP para la aplicación.

8. En tu navegador, dirígete a web-site-url nuevamente.

9. En lugar de la página web, hay una pantalla de acceso para autenticarse. Cuando accedes, se te niega el acceso porque IAP no tiene una lista de usuarios para permitir el acceso a la aplicación.

Agrega usuarios autorizados a la app

1. En Cloud Console, ve a la página Identity-Aware Proxy.

   Ir a la página Identity-Aware Proxy

2. Selecciona la casilla de verificación para la app de App Engine y, luego, haz clic en Agregar principal.

3. Ingresa allAuthenticatedUsers y, luego, selecciona la función Usuario de aplicación web protegida con IAP/Cloud IAP.

4. Haz clic en Guardar.

Ahora los usuarios que Google pueda autenticar tienen acceso a la app. Si lo deseas, puedes agregar solo algunas personas o grupos como principales para restringir aún más el acceso:

• Cualquier dirección de correo electrónico de Gmail o Google Workspace

• Una dirección de correo electrónico de Grupos de Google

• Un nombre de dominio de Google Workspace

Accede a la app

1. En el navegador, ve a web-site-url.

2. Para actualizar la página, haz clic en Actualizar .

3. En la pantalla de acceso, inicia sesión con tus credenciales de Google.

   En la página, se muestra una página "Hola, user-email-address" con tu dirección de correo electrónico.

   Si aún ves la misma página que antes, es posible que en el navegador no se hayan actualizado completamente las solicitudes nuevas después de la habilitación de IAP. Cierra todas las ventanas del navegador, vuelva a abrirlas y, luego, inténtalo nuevamente.

Conceptos de autenticación

Existen varias maneras con las que en una aplicación se puede autenticar a sus usuarios y restringir el acceso solo a usuarios autorizados. Los métodos de autenticación comunes, con los que se disminuye el nivel de esfuerzo para la aplicación, se enumeran en las secciones siguientes.

Opción	Ventajas	Desventajas
Autenticación de la aplicación	La app se puede ejecutar en cualquier plataforma, con o sin conexión a Internet Los usuarios no necesitan usar ningún otro servicio para administrar la autenticación.	La app debe administrar las credenciales de los usuarios de forma segura y evitar la divulgación. La app debe mantener los datos de sesiones de los usuarios que accedieron a sus cuentas La app debe proporcionar el registro de usuario, los cambios de contraseña y la recuperación de contraseña
OAuth2	La app se puede ejecutar en cualquier plataforma conectada a Internet, incluida una estación de trabajo para desarrolladores La app no necesita funciones de registro de usuario ni de cambio o recuperación de contraseña. El riesgo de divulgación de información del usuario se delega en otro servicio. Las nuevas medidas de seguridad en el acceso se gestionan fuera de la aplicación.	Los usuarios deben registrarse en el servicio de identidad. La app debe mantener los datos de sesiones de los usuarios que accedieron a sus cuentas
IAP	La app no necesita tener código para administrar los usuarios, la autenticación o el estado de la sesión. La app no tiene credenciales de usuario que puedan incumplirse	La aplicación solo se puede ejecutar en plataformas compatibles con el servicio. Específicamente, se trata de ciertos servicios de Google Cloud compatibles con IAP, como App Engine.

Autenticación administrada con la aplicación

Con este método, en la aplicación se administra cada uno de los aspectos de la autenticación de usuarios. En la aplicación, se mantiene la base de datos de las credenciales de usuarios y se administran las sesiones de usuarios. La aplicación se necesita para proporcionar funciones que permitan administrar cuentas de usuarios y contraseñas, verificar credenciales de usuarios y, además, iniciar, verificar y actualizar sesiones de usuarios con cada acceso autenticado. En el siguiente diagrama, se ilustra el método de autenticación administrado con la aplicación.

Como se muestra en el diagrama, una vez que el usuario accede, la app crea y guarda la información sobre la sesión. Cuando el usuario realiza una solicitud a la app, tiene que incluir la información de la sesión que la app debe verificar.

La principal ventaja de este enfoque es que es autónomo y está bajo el control de la aplicación. La aplicación ni siquiera necesita estar disponible en Internet. La principal desventaja es que con la aplicación ahora se deben proporcionar todas las funciones de administración de cuentas y proteger todos los datos confidenciales de las credenciales.

Autenticación externa con OAuth2

Una buena alternativa para manejar todo dentro de la aplicación es usar un servicio de identidad externo, como Google, con el que se maneja toda la información y funcionalidad de la cuenta del usuario y se protegen las credenciales sensibles. Cuando un usuario intenta acceder en la aplicación, la solicitud se redirecciona al servicio de identidad, en el que se autentica al usuario y, luego, se redirecciona la solicitud a la aplicación con la información de autenticación necesaria proporcionada. Consulta Autenticarse como usuario final para obtener más información.

En el siguiente diagrama, se ilustra la autenticación externa con el método OAuth2.

El flujo en el diagrama comienza cuando el usuario envía una solicitud para acceder a la aplicación. En lugar de responder directamente, en la aplicación se redirecciona el navegador del usuario a la plataforma de identidad de Google, en la que se muestra una página para acceder a Google. Después de acceder con éxito, con el navegador del usuario se vuelve a la aplicación. Esta solicitud incluye datos que con la aplicación se puede usar para buscar información sobre el usuario ahora autenticado y responder al usuario.

Este método tiene muchas ventajas para la aplicación. Permite delegar todas las funciones y riesgos de la administración de cuentas al servicio externo, lo que puede mejorar el acceso y la seguridad de la cuenta sin que se tenga que cambiar la aplicación. Sin embargo, como se muestra en el diagrama anterior, con la aplicación se debe tener acceso a Internet para usar este método. Con la aplicación, también se deben administrar las sesiones después de que el usuario se autentica.

Identity-Aware Proxy

El tercer enfoque que se analiza en este instructivo consiste en usar IAP para manejar toda la autenticación y la administración de sesiones con cualquier cambio en la aplicación. Con IAP, se interceptan todas las solicitudes web de tu aplicación, se bloquean las que no se autenticaron y las otras se pasan con datos de identidad del usuario agregados a cada solicitud.

El manejo de la solicitud se muestra en el diagrama siguiente.

Las solicitudes de los usuarios se interceptan con IAP y las solicitudes no autenticadas se bloquean. Las solicitudes autenticadas se pasan a la aplicación, siempre que el usuario autenticado esté en la lista de usuarios permitidos. Las solicitudes que se pasan por IAP tienen encabezados agregados en los que se identifica al usuario que realizó la solicitud.

En la aplicación, ya no es necesario manejar ninguna cuenta de usuario ni información de sesión. Si en la operación se necesita conocer un identificador único para el usuario, este se puede obtener directamente de cada solicitud web entrante. Sin embargo, solo se puede usar para los servicios de computación que admiten IAP, como App Engine y los balanceadores de cargas. No puedes usar IAP en una máquina de desarrollo local.

Realiza una limpieza

Para evitar que se apliquen cargos a tu cuenta de Google Cloud por los recursos usados en este instructivo, borra el proyecto que contiene los recursos o conserva el proyecto y borra los recursos individuales.

Precaución: Borrar un proyecto tiene estas consecuencias:

• Se borra todo en el proyecto. Si usaste un proyecto existente para las tareas de este documento, cuando lo borres, también se borrará cualquier otro trabajo que hayas realizado en el proyecto.
• Se pierden los ID personalizados de proyectos. Cuando creaste este proyecto, es posible que hayas creado un ID del proyecto personalizado que desees utilizar en el futuro. Para conservar las URL que utilizan el ID del proyecto, como una URL appspot.com, borra los recursos seleccionados dentro del proyecto en lugar de borrar todo el proyecto.

Si planeas explorar varias infraestructuras, instructivos y guías de inicio rápido la reutilización de proyectos puede ayudarte a evitar exceder los límites de las cuotas del proyecto.

1. En la consola de Google Cloud, ve a la página Administrar recursos.

   Ir a Administrar recursos

2. En la lista de proyectos, elige el proyecto que quieres borrar y haz clic en Borrar.
3. En el diálogo, escribe el ID del proyecto y, luego, haz clic en Cerrar para borrar el proyecto.