Proteger una aplicación con encabezados firmados

En esta página se describe cómo proteger tu aplicación con encabezados de IAP firmados. Cuando se configura, Identity-Aware Proxy (IAP) usa JSON Web Tokens (JWT) para asegurarse de que una solicitud a tu aplicación esté autorizada. De esta forma, tu aplicación estará protegida frente a los siguientes riesgos:

  • Se ha inhabilitado por error la compra en la aplicación
  • Cortafuegos mal configurados
  • Acceso no autorizado desde el proyecto

Para proteger tu aplicación, debes usar encabezados firmados en todos los tipos de aplicaciones.

Si tienes una aplicación del entorno estándar de App Engine, también puedes usar la API Users.

Las comprobaciones del estado de Compute Engine y GKE no incluyen encabezados JWT y IAP no procesa las comprobaciones del estado. Si la comprobación del estado devuelve errores de acceso, asegúrate de que la comprobación del estado esté configurada correctamente en la consola y de que la validación del encabezado JWT permita la ruta de comprobación del estado. Google Cloud Para obtener más información, consulta el artículo Crear una excepción de comprobación de estado.

Antes de empezar

Para proteger tu aplicación con encabezados firmados, necesitarás lo siguiente:

Proteger una aplicación con encabezados de IAP

Para proteger tu aplicación con el JWT de IAP, verifica el encabezado, la carga útil y la firma del JWT. El JWT se encuentra en el encabezado de la solicitud HTTP x-goog-iap-jwt-assertion. Si un atacante elude IAP, puede falsificar los encabezados de identidad sin firmar de IAP. x-goog-authenticated-user-{email,id} El JWT de IAP ofrece una alternativa más segura.

Los encabezados firmados proporcionan seguridad secundaria en caso de que alguien eluda IAP. Cuando la compra en la aplicación está habilitada, IAP elimina los encabezados x-goog-* proporcionados por el cliente cuando la solicitud pasa por la infraestructura de servicio de IAP.

Verificar el encabezado JWT

Verifica que el encabezado del JWT cumpla las siguientes restricciones:

Reclamaciones de encabezado JWT
alg Algoritmo ES256
kid ID de clave Debe corresponderse con una de las claves públicas que aparecen en el archivo de claves de IAP, disponible en dos formatos: https://www.gstatic.com/iap/verify/public_key y https://www.gstatic.com/iap/verify/public_key-jwk.

Asegúrate de que el JWT se haya firmado con la clave privada que corresponde a la reclamación kid del token. Primero, obtén la clave pública de uno de estos dos sitios:

  • https://www.gstatic.com/iap/verify/public_key. Esta URL contiene un diccionario JSON que asigna las reclamaciones kid a los valores de clave pública.
  • https://www.gstatic.com/iap/verify/public_key-jwk. Esta URL contiene las claves públicas de las compras en aplicaciones en formato JWK.

Una vez que tengas la clave pública, usa una biblioteca JWT para verificar la firma.

IAP rota periódicamente sus claves públicas. Para asegurarte de que siempre puedes verificar los JWTs, consulta Automatizar el almacenamiento en caché de claves públicas.

Verificar la carga útil del JWT

Verifica que la carga útil del JWT cumpla las siguientes restricciones:

Claims de la carga útil de JWT
exp Plazo de vencimiento Debe ser una fecha posterior a la actual. El tiempo se mide en segundos desde el inicio del registro de tiempo de UNIX. Espera 30 segundos para que se produzca la desviación. El tiempo de vida máximo de un token es de 10 minutos + 2 * skew.
iat Hora de emisión Debe ser una fecha anterior a la actual. El tiempo se mide en segundos desde el inicio del registro de tiempo de UNIX. Espera 30 segundos para que se produzca la desviación.
aud Audiencia Debe ser una cadena con los siguientes valores:
  • App Engine: /projects/PROJECT_NUMBER/apps/PROJECT_ID
  • Compute Engine y GKE: /projects/PROJECT_NUMBER/global/backendServices/SERVICE_ID
  • Cloud Run: /projects/PROJECT_NUMBER/locations/REGION/services/SERVICE_NAME
iss Emisor Debe ser https://cloud.google.com/iap.
hd Dominio de la cuenta Si una cuenta pertenece a un dominio alojado, se proporciona la reclamación hd para diferenciar el dominio al que está asociada la cuenta.
google Reclamación de Google Si se aplican uno o varios niveles de acceso a la solicitud, sus nombres se almacenan en el objeto JSON de la reclamación google, en la clave access_levels, como una matriz de cadenas.

Cuando especificas una política de dispositivos y la organización tiene acceso a los datos del dispositivo, el DeviceId también se almacena en el objeto JSON. Ten en cuenta que es posible que una solicitud dirigida a otra organización no tenga permiso para ver los datos del dispositivo.

Puedes obtener los valores de la cadena aud mencionada anteriormente accediendo a laGoogle Cloud consola o usando la herramienta de línea de comandos gcloud.

Para obtener valores de cadena aud Google Cloud de la consola, vaya a la configuración de Identity-Aware Proxy de su proyecto, haga clic en Más junto al recurso de balanceador de carga y, a continuación, seleccione Audiencia de JWT de encabezado firmado. En el cuadro de diálogo JWT de encabezado firmado que aparece, se muestra la reclamación aud del recurso seleccionado.

Si quieres usar la herramienta de línea de comandos gcloud CLI para obtener los valores de cadena aud, debes saber el ID del proyecto. Puedes encontrar el ID de proyecto en la tarjeta Google Cloud consola Información del proyecto y, a continuación, ejecutar los comandos especificados para cada valor.

Número de proyecto

Para obtener el número de tu proyecto con la herramienta de línea de comandos gcloud, ejecuta el siguiente comando:

gcloud projects describe PROJECT_ID

El comando devuelve un resultado como el siguiente:

createTime: '2016-10-13T16:44:28.170Z'
lifecycleState: ACTIVE
name: project_name
parent:
  id: '433637338589'
  type: organization
projectId: PROJECT_ID
projectNumber: 'PROJECT_NUMBER'

ID de servicio

Para obtener el ID de tu servicio con la herramienta de línea de comandos gcloud, ejecuta el siguiente comando:

gcloud compute backend-services describe SERVICE_NAME --project=PROJECT_ID --global

El comando devuelve un resultado como el siguiente:

affinityCookieTtlSec: 0
backends:
- balancingMode: UTILIZATION
  capacityScaler: 1.0
  group: https://www.googleapis.com/compute/v1/projects/project_name/regions/us-central1/instanceGroups/my-group
connectionDraining:
  drainingTimeoutSec: 0
creationTimestamp: '2017-04-03T14:01:35.687-07:00'
description: ''
enableCDN: false
fingerprint: zaOnO4k56Cw=
healthChecks:
- https://www.googleapis.com/compute/v1/projects/project_name/global/httpsHealthChecks/my-hc
id: 'SERVICE_ID'
kind: compute#backendService
loadBalancingScheme: EXTERNAL
name: my-service
port: 8443
portName: https
protocol: HTTPS
selfLink: https://www.googleapis.com/compute/v1/projects/project_name/global/backendServices/my-service
sessionAffinity: NONE
timeoutSec: 3610

Recuperar la identidad del usuario

Si todas las verificaciones anteriores se realizan correctamente, recupera la identidad del usuario. La carga útil del token de ID contiene la siguiente información del usuario:

Identidad de usuario de la carga útil del token de ID
sub Asunto Identificador único y estable del usuario. Usa este valor en lugar del encabezado x-goog-authenticated-user-id.