Passo 4: configure o Identity-Aware Proxy (IAP)

Neste passo, configura o Identity-Aware Proxy (IAP) para aprovisionar uma camada de autorização centralizada para a app implementada no Cloud Run, fazendo o seguinte:

1. Configure o ecrã de consentimento OAuth: o ecrã de consentimento OAuth é um pedido que inclui um resumo do seu projeto, das respetivas políticas e dos âmbitos de autorização de acesso pedidos. Ao configurar o ecrã de consentimento OAuth para a sua app, define o que está disponível para os utilizadores e os revisores de apps, e também regista a sua app para a poder publicar mais tarde. Para saber mais acerca do ecrã de consentimento OAuth, consulte o artigo Configure o ecrã de consentimento OAuth e escolha âmbitos.

2. Crie credenciais de acesso OAuth: tem de criar um ID de cliente OAuth para a sua app e domínio, para que a app possa chamar as APIs necessárias. Para saber mais acerca das credenciais OAuth, consulte o artigo Crie credenciais de acesso.

3. Ative o IAP no equilibrador de carga: use o ID de cliente OAuth e o segredo para ativar o IAP no equilibrador de carga que criou para a sua app.

4. Ative as CNAs: proteja a sua app criando diretores que possam aceder à sua app e, em seguida, ativando as CNAs.

Configure o ecrã de consentimento OAuth

1. Na Google Cloud consola, aceda ao ecrã de consentimento OAuth.

   Aceda ao ecrã de consentimento OAuth

2. Selecione um dos seguintes tipos de utilizadores para a sua app:

   • Externo: qualquer utilizador com uma Conta Google pode fazer pedidos de autorização. Para concluir este tutorial, recomendamos que selecione Externo.

   • Interno: apenas os membros da sua Google Cloud organização podem fazer pedidos de autorização à app.

3. Clique em Criar.

4. Na secção Domínios autorizados, adicione o domínio e especifique o nome do domínio usado durante a criação do certificado.

5. Na secção Informações de contacto do programador, introduza o seu endereço de email.

6. Clique em Guardar e continuar.

7. Na página Âmbitos, clique em Guardar e continuar.

8. Opcional: se selecionou Externo como o tipo de utilizador, adicione utilizadores de teste na página Utilizadores de teste, da seguinte forma:

   1. Clique em Adicionar utilizadores.

   2. Introduza o seu endereço de email e o de quaisquer outros utilizadores de teste autorizados e, de seguida, clique em Guardar e continuar.

9. Reveja o resumo do registo da app. Para fazer alterações, clique em Editar. Se o registo da app lhe parecer correto, clique em Voltar ao painel de controlo.

Crie credenciais de acesso OAuth

1. Na Google Cloud consola, aceda a Credenciais.

   Aceder a Credenciais

2. Clique em Criar credenciais e, de seguida, em ID de cliente OAuth.

3. Na lista Tipo de aplicação, clique em Aplicação Web.

4. No campo Nome, introduza gemini-streamlit-app.

5. Na secção Origens JavaScript autorizadas, clique em Adicionar URI e, de seguida, introduza o seguinte URI:

   https://DOMAIN_NAME
   

   Substitua DOMAIN_NAME pelo nome do domínio usado durante a criação do certificado.

6. Clique em Criar.

   É apresentado o ecrã Cliente OAuth criado, que apresenta o ID de cliente e o segredo do cliente.

7. Copie o ID de cliente e o segredo do cliente. Precisa de detalhes no passo seguinte do tutorial.

Ative o IAP no equilibrador de carga

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. No terminal do Cloud Shell, execute o seguinte comando:
   

   
         gcloud compute backend-services update gemini-streamlit-app-backend \
         --iap=enabled,oauth2-client-id=CLIENT_ID,oauth2-client-secret=CLIENT_SECRET \
         --global
         

   Substitua o seguinte

   • CLIENT_ID: o ID do cliente OAuth das credenciais OAuth que acabou de criar.
   • CLIENT_SECRET: o segredo do cliente OAuth das credenciais OAuth que acabou de criar.

Configure e use a IAP

Aviso: quando a IAP está desativada, um recurso é acessível a qualquer pessoa com o URL. Certifique-se de que a IAP está ativada para que o recurso só seja acessível pelos diretores configurados.

1. Aceda à página Identity-Aware Proxy.

   Aceda à página Identity-Aware Proxy

2. Selecione o seu projeto.

3. Selecione a caixa de verificação junto a gemini-streamlit-app-backend.

4. Clique em Adicionar principal.

5. Introduza os detalhes nos seguintes campos:

   • Novos responsáveis: introduza os endereços de email de grupos ou indivíduos para lhes conceder acesso à sua app. Qualquer um dos seguintes pode ser um responsável:

     • Conta Google

     • Grupo Google

     • Conta de serviço

     • Domínio do Google Workspace

     Certifique-se de que inclui uma Conta Google à qual tem acesso.

6. Na lista Função, selecione Cloud IAP > Utilizador da app Web protegida pelo IAP.

7. Clique em Guardar.

8. Na página Identity-Aware Proxy, em Aplicações, clique no botão IAP para o ativar na linha correspondente ao recurso gemini-streamlit-app-backend.

9. Na janela Ativar IAP apresentada, selecione a caixa de verificação para confirmar que leu os requisitos de configuração e configurou o seu back-end em conformidade.

10. Clique em Ativar. Depois de ativar o IAP, este requer credenciais de início de sessão para todas as ligações ao seu equilibrador de carga. Apenas as contas com a função utilizador da app Web protegida pelo IAP no projeto têm acesso.