Activer l'IAP pour Cloud Run

Console

Si vous n'avez pas configuré l'écran de consentement OAuth de votre projet, vous êtes invité à le faire. Pour configurer l'écran de consentement OAuth, consultez Configurer votre écran de consentement OAuth.

Configurer l'accès à IAP

1. Accédez à la page Identity-Aware Proxy.
2. Sélectionnez le projet que vous souhaitez sécuriser avec IAP.
3. Sous APPLICATIONS, cochez la case à côté du service de backend de l'équilibreur de charge auquel vous souhaitez ajouter des membres.
4. Dans le panneau latéral de droite, cliquez sur Ajouter un compte principal.

5. Dans la boîte de dialogue Ajouter un compte principal, saisissez les comptes des groupes ou des personnes auxquels vous souhaitez accorder le rôle Utilisateur de l'application Web sécurisée par IAP pour le projet. Les types de comptes suivants peuvent être ajoutés en tant que membres :

   • Compte Google : utilisateur@gmail.com. Il peut également s'agir d'un compte Google Workspace, tel que utilisateur@google.com ou un autre domaine Workspace.
   • Groupe Google : admins@googlegroups.com
   • Compte de service : server@example.iam.gserviceaccount.com
   • Domaine Google Workspace : example.com

6. Sélectionnez Cloud IAP > Utilisateur de l'application Web sécurisée par IAP dans la liste déroulante Rôles.

7. Cliquez sur Enregistrer.

Autoriser l'accès aux utilisateurs externes à votre organisation

Par défaut, lorsque vous activez IAP, il utilise un client OAuth géré par Google pour authentifier les utilisateurs. Par conséquent, seuls les utilisateurs de l'organisation peuvent accéder à l'application compatible avec IAP.

Pour autoriser l'accès aux utilisateurs externes à votre organisation ou qui n'en font pas partie, mettez à jour la configuration du client OAuth afin d'utiliser un client OAuth personnalisé, comme décrit dans Activer IAP pour les applications externes.

Activer IAP

1. Sur la page IAP, sous APPLICATIONS, recherchez le service de backend de l'équilibreur de charge auquel vous souhaitez restreindre l'accès. Pour activer IAP pour une ressource, cliquez sur le bouton IAP. Pour activer IAP :
   • Au moins un protocole de la configuration de l'interface d'équilibrage de charge doit correspondre à HTTPS. En savoir plus sur la configuration d'un équilibreur de charge
   • Vous avez besoin des autorisations compute.backendServices.update, clientauthconfig.clients.create et clientauthconfig.clients.getWithSecret. Ces autorisations sont accordées par des rôles (par exemple, Éditeur de projet). Pour en savoir plus, consultez Gérer l'accès aux ressources sécurisées par IAP.
2. Dans la fenêtre Activer IAP qui s'affiche, cliquez sur Activer pour confirmer que vous souhaitez qu'IAP sécurise votre ressource. Une fois IAP activé, des identifiants de connexion sont requis pour toutes les connexions à votre équilibreur de charge. Seuls les comptes disposant du rôle Utilisateur de l'application Web sécurisée par IAP sur le projet y ont accès.

3. Suivez les instructions de la section Contrôle des accès avec IAM pour autoriser IAP à envoyer du trafic au service Cloud Run de backend.

   • Principal : service-[PROJECT-NUMBER]@gcp-sa-iap.iam.gserviceaccount.com
   • Rôle : Demandeur Cloud Run

   Le compte de service IAP est créé lorsque IAP est activé. Si le compte de service IAP ne figure pas dans la liste des principaux, vous pouvez le créer en exécutant la commande gcloud suivante :

   gcloud beta services identity create
       --service=iap.googleapis.com
       --project=PROJECT_ID
   

gcloud

1. Si vous ne l'avez pas encore fait dans le projet, créez l'agent de service IAP en exécutant la commande suivante. Si vous avez déjà créé l'agent de service, l'exécution de la commande ne le duplique pas.

   gcloud beta services identity create --service=iap.googleapis.com --project=[PROJECT_ID]

2. Accordez à l'appelant l'autorisation d'accéder au compte de service créé à l'étape précédente en exécutant la commande suivante.

   gcloud run services add-iam-policy-binding [SERVICE-NAME] \
   --member='serviceAccount:service-[PROJECT-NUMBER]@gcp-sa-iap.iam.gserviceaccount.com'  \
   --role='roles/run.invoker'
   

3. Activez IAP en exécutant la commande à portée globale ou régionale, selon que le service de backend de votre équilibreur de charge est global ou régional. Utilisez l'ID client et le code secret OAuth de l'étape précédente.

   Champ d'application global

   gcloud compute backend-services update BACKEND_SERVICE_NAME --global --iap=enabled
   

   Champ d'application régional

   gcloud compute backend-services update BACKEND_SERVICE_NAME --region REGION_NAME --iap=enabled
   

   Remplacez les éléments suivants :
   • BACKEND_SERVICE_NAME : nom du service de backend.
   • REGION_NAME : région dans laquelle vous souhaitez activer IAP.

Une fois que vous avez activé IAP, vous pouvez modifier une stratégie d'accès IAP à l'aide du rôle Identity and Access Management roles/iap.httpsResourceAccessor via Google Cloud CLI. Pour en savoir plus, consultez Gérer l'accès aux ressources sécurisées par IAP.

Terraform

1. Si vous ne l'avez pas déjà fait, créez l'agent de service IAP dans un projet en exécutant la commande suivante. Si vous avez déjà créé l'agent de service, l'exécution de la commande ne le duplique pas.

   resource "google_project_service" "project" {
     project = "your-project-id"
     service = "iap.googleapis.com"
   }
   

2. Ajoutez les éléments suivants pour attribuer le rôle roles/run.invoker à l'agent de service IAP.

   resource "google_cloud_run_v2_service_iam_member" "iap_invoker" {
     project = google_cloud_run_v2_service.default.project
     location = google_cloud_run_v2_service.default.location
     name = google_cloud_run_v2_service.default.name
     role   = "roles/run.invoker"
     member = "serviceAccount:service-"PROJECT_NUMBER@gcp-sa-iap.iam.gserviceaccount.com"
   }
   

   Remplacez PROJECT_NUMBER par votre numéro de projet.

3. Activez IAP en exécutant la commande globale ou régionale en fonction de votre équilibreur de charge. Utilisez l'ID client et le code secret OAuth de l'étape précédente.

   • Champ d'application global

     resource "google_compute_backend_service" "default" {
       name                  = "tf-test-backend-service-external"
       protocol              = "HTTPS"
       load_balancing_scheme = "EXTERNAL_MANAGED"
       iap {
         enabled              = true
         oauth2_client_id     = "abc"
         oauth2_client_secret = "xyz"
       }
     }
     

   • Champ d'application régional