Mengaktifkan IAP untuk Cloud Run

Konsol

Klien OAuth yang dikelola Google tidak tersedia saat mengaktifkan IAP menggunakan konsol Google Cloud .

Jika belum mengonfigurasi layar izin OAuth project Anda, Anda akan diminta untuk melakukannya. Untuk mengonfigurasi layar izin OAuth, lihat Menyiapkan layar izin OAuth.

Menyiapkan akses IAP

1. Buka halaman Identity-Aware Proxy.
2. Pilih project yang ingin Anda amankan dengan IAP.
3. Di bagian APLIKASI, pilih kotak centang di samping layanan backend load balancer yang ingin Anda tambahi anggota.
4. Di panel samping kanan, klik Tambahkan Principal.

5. Di dialog Add Principal, masukkan akun grup atau individu yang harus memiliki peran IAP-secured Web App User untuk project tersebut. Jenis akun berikut dapat menjadi anggota:

   • Akun Google: user@gmail.com - Akun ini juga dapat berupa akun Google Workspace, seperti user@google.com atau domain Workspace lainnya.
   • Google Grup: admin@googlegroups.com
   • Akun layanan: server@example.
   • Domain Google Workspace: example.com

6. Pilih Cloud IAP > IAP-secured Web App User dari menu drop-down Roles.

7. Klik Simpan.

Mengaktifkan IAP

1. Di halaman IAP, di bagian APLIKASI, temukan layanan backend load balancer yang aksesnya ingin Anda batasi. Untuk mengaktifkan IAP bagi resource, klik tombol IAP. Untuk mengaktifkan IAP:
   • Setidaknya satu protokol dalam konfigurasi frontend load balancer harus berupa HTTPS. Pelajari cara menyiapkan load balancer.
   • Anda memerlukan izin compute.backendServices.update, clientauthconfig.clients.create, dan clientauthconfig.clients.getWithSecret. Izin ini diberikan oleh peran, seperti peran Project Editor. Untuk mempelajari lebih lanjut, lihat Mengelola akses ke resource yang diamankan IAP.
2. Di jendela Aktifkan IAP yang muncul, klik Aktifkan untuk mengonfirmasi bahwa Anda ingin IAP mengamankan resource Anda. Setelah Anda mengaktifkan IAP, IAP akan memerlukan kredensial login untuk semua koneksi ke load balancer Anda. Hanya akun dengan peran IAP-Secured Web App User di project yang akan diberi akses.

3. Ikuti petunjuk di Kontrol akses dengan IAM untuk memberi otorisasi IAP mengirim traffic ke layanan Cloud Run backend.

   • Kepala Sekolah: service-[PROJECT-NUMBER]@gcp-sa-iap.
   • Peran: Cloud Run Invoker

   Akun layanan IAP dibuat saat IAP diaktifkan. Jika akun layanan IAP tidak ada dalam daftar principal, Anda dapat membuatnya dengan menjalankan perintah gcloud berikut:

   gcloud beta services identity create
       --service=iap.googleapis.com
       --project=PROJECT_ID
   

gcloud

1. Jika Anda belum melakukannya di project, buat agen layanan IAP dengan menjalankan perintah berikut. Jika Anda sebelumnya telah membuat agen layanan, menjalankan perintah tidak akan menduplikasinya.

   gcloud beta services identity create --service=iap.googleapis.com --project=[PROJECT_ID]

2. Berikan izin pemanggil ke akun layanan yang dibuat pada langkah sebelumnya dengan menjalankan perintah berikut.

   gcloud run services add-iam-policy-binding [SERVICE-NAME] \
   --member='serviceAccount:service-[PROJECT-NUMBER]@gcp-sa-iap.'  \
   --role='roles/run.invoker'
   

3. Aktifkan IAP dengan menjalankan perintah yang tercakup secara global atau regional, bergantung pada apakah layanan backend load balancer Anda bersifat global atau regional. Gunakan ID dan rahasia klien OAuth dari langkah sebelumnya.

   Cakupan global

   gcloud compute backend-services update BACKEND_SERVICE_NAME --global --iap=enabled
   

   Cakupan regional

   gcloud compute backend-services update BACKEND_SERVICE_NAME --region REGION_NAME --iap=enabled
   

   Ganti kode berikut:
   • BACKEND_SERVICE_NAME: nama layanan backend.
   • REGION_NAME: region tempat Anda ingin mengaktifkan IAP.

Setelah mengaktifkan IAP, Anda dapat menggunakan Google Cloud CLI untuk memanipulasi kebijakan akses IAP menggunakan peran Identity and Access Management roles/iap.httpsResourceAccessor. Lihat Mengelola akses ke resource yang diamankan IAP untuk mengetahui informasi selengkapnya.

Terraform

1. Jika Anda belum melakukannya, buat agen layanan IAP di project dengan menjalankan perintah berikut. Jika Anda sebelumnya telah membuat agen layanan, menjalankan perintah tidak akan menduplikasinya.

   resource "google_project_service" "project" {
     project = "your-project-id"
     service = "iap.googleapis.com"
   }
   

2. Berikan izin pemanggil ke agen layanan yang dibuat pada langkah sebelumnya dengan menjalankan perintah berikut.

   resource "google_cloud_run_service_iam_binding" "binding" {
     location = google_cloud_run_v2_service.default.location
     service  = google_cloud_run_v2_service.default.name
     role = "roles/run.invoker"
     members = [
       "serviceAccount:service-[PROJECT-NUMBER]@gcp-sa-iap.iam.",
     ]
   }
   

3. Aktifkan IAP dengan menjalankan perintah global atau regional, bergantung pada load balancer Anda. Gunakan ID dan rahasia klien OAuth dari langkah sebelumnya.

   • Cakupan global

     resource "google_compute_backend_service" "default" {
       name                  = "tf-test-backend-service-external"
       protocol              = "HTTPS"
       load_balancing_scheme = "EXTERNAL_MANAGED"
       iap {
         enabled              = true
         oauth2_client_id     = "abc"
         oauth2_client_secret = "xyz"
       }
     }
     

   • Cakupan regional

     resource "google_compute_region_backend_service" "default" {
       name                  = "tf-test-backend-service-external"
       protocol              = "HTTPS"
       load_balancing_scheme = "EXTERNAL_MANAGED"
       iap {
         enabled              = true
         oauth2_client_id     = "abc"
         oauth2_client_secret = "xyz"
       }
     }