为 Cloud Run 启用 IAP

控制台

使用 Google Cloud 控制台启用 IAP 时，无法使用 Google 管理的 OAuth 客户端。

如果您尚未配置项目的 OAuth 同意屏幕，系统将提示您执行此操作。如需配置 OAuth 同意屏幕，请参阅设置 OAuth 同意屏幕。

设置 IAP 访问权限

1. 转到 Identity-Aware Proxy 页面。
2. 选择要使用 IAP 保护的项目。
3. 在应用下，选中您要向其添加成员的负载均衡器后端服务旁边的复选框。
4. 在右侧面板上，点击添加主账号。

5. 在添加主账号对话框中，输入应具有项目的 IAP-secured Web App User 角色的群组或个人的账号。可以添加以下种类的账号作为成员：

   • Google 账号：user@gmail.com - 也可以是 Google Workspace 账号，例如 user@google.com 或其他一些工作区网域。
   • Google 群组：<管理员>@googlegroups.com
   • 服务账号：server@example.iam.gserviceaccount.com
   • Google Workspace 网域：example.com

6. 从角色下拉列表中选择 Cloud IAP > IAP-secured Web App Use。

7. 点击保存。

启用 IAP

1. 在 IAP 页面上的应用下，找到您要限制访问的负载均衡器后端服务。如需为某资源开启 IAP，请点击 IAP 切换开关。 如需启用 IAP，需要满足以下条件：
   • 负载均衡器前端配置中至少一个协议必须是 HTTPS。了解设置负载均衡器。
   • 您需要 compute.backendServices.update、clientauthconfig.clients.create 和 clientauthconfig.clients.getWithSecret 权限。这些权限由 Project Editor 等角色授予。 如需了解详情，请参阅管理对受 IAP 保护的资源的访问权限。
2. 在出现的开启 IAP 窗口中，点击开启以确认您希望使用 IAP 保护资源。开启 IAP 后，它需要与负载均衡器的所有连接的登录凭据。只有具有项目的 IAP-Secured Web App User 角色的账号才能获得访问权限。

3. 按照使用 IAM 进行访问权限控制中的说明，授权 IAP 向后端 Cloud Run 服务发送流量。

   • Principal：service-[PROJECT-NUMBER]@gcp-sa-iap.
   • 角色：Cloud Run Invoker

   启用 IAP 时，系统会创建 IAP 服务账号。如果 IAP 服务账号不在主账号列表中，您可以运行以下 gcloud 命令来创建该账号：

   gcloud beta services identity create
       --service=iap.googleapis.com
       --project=PROJECT_ID
   

gcloud

1. 如果您之前未在项目中执行此操作，请运行以下命令创建 IAP 服务代理。如果您之前已创建服务代理，则运行该命令不会重复创建服务代理。

   gcloud beta services identity create --service=iap.googleapis.com --project=[PROJECT_ID]

2. 运行以下命令，向在上一步中创建的服务账号授予调用方权限。

   gcloud run services add-iam-policy-binding [SERVICE-NAME] \
   --member='serviceAccount:service-[PROJECT-NUMBER]@gcp-sa-iap.'  \
   --role='roles/run.invoker'
   

3. 通过运行全局范围或区域范围的命令来启用 IAP，具体取决于您的负载均衡器后端服务是全球性还是区域性。使用上一步中的 OAuth 客户端 ID 和 Secret。

   全局范围

   gcloud compute backend-services update BACKEND_SERVICE_NAME --global --iap=enabled
   

   区域范围

   gcloud compute backend-services update BACKEND_SERVICE_NAME --region REGION_NAME --iap=enabled
   

   请替换以下内容：
   • BACKEND_SERVICE_NAME：后端服务的名称。
   • REGION_NAME：要在其中启用 IAP 的区域。

启用 IAP 后，您可以使用 Google Cloud CLI 通过 Identity and Access Management 角色 roles/iap.httpsResourceAccessor 操纵 IAP 访问权限政策。如需了解详情，请参阅管理对受 IAP 保护的资源的访问权限。

Terraform

1. 如果您之前未在项目中创建 IAP 服务代理，请运行以下命令进行创建。如果您之前已创建服务代理，则运行该命令不会重复创建服务代理。

   resource "google_project_service" "project" {
     project = "your-project-id"
     service = "iap.googleapis.com"
   }
   

2. 运行以下命令，向在上一步中创建的服务代理授予调用者权限。

   resource "google_cloud_run_service_iam_binding" "binding" {
     location = google_cloud_run_v2_service.default.location
     service  = google_cloud_run_v2_service.default.name
     role = "roles/run.invoker"
     members = [
       "serviceAccount:service-[PROJECT-NUMBER]@gcp-sa-iap.iam.gserviceaccount.com",
     ]
   }
   

3. 通过运行全局命令或区域命令来启用 IAP，具体取决于您的负载均衡器。使用上一步中的 OAuth 客户端 ID 和 Secret。

   • 全局范围

     resource "google_compute_backend_service" "default" {
       name                  = "tf-test-backend-service-external"
       protocol              = "HTTPS"
       load_balancing_scheme = "EXTERNAL_MANAGED"
       iap {
         enabled              = true
         oauth2_client_id     = "abc"
         oauth2_client_secret = "xyz"
       }
     }
     

   • 区域范围

     resource "google_compute_region_backend_service" "default" {
       name                  = "tf-test-backend-service-external"
       protocol              = "HTTPS"
       load_balancing_scheme = "EXTERNAL_MANAGED"
       iap {
         enabled              = true
         oauth2_client_id     = "abc"
         oauth2_client_secret = "xyz"
       }
     }