Como ativar o IAP para o Cloud Run

Console

O cliente OAuth gerenciado pelo Google não está disponível ao ativar o IAP usando o console Google Cloud .

Se você ainda não configurou a tela de consentimento do OAuth do seu projeto, precisará fazer isso. Para configurar a tela de consentimento do OAuth, consulte Como configurar a tela de consentimento do OAuth.

Como configurar o acesso do IAP

1. Acesse a página Identity-Aware Proxy.
2. Selecione o projeto que você quer proteger com o IAP.
3. Em APLICAÇÕES, marque a caixa de seleção ao lado do serviço de back-end do balanceador de carga a que você quer adicionar membros.
4. No painel lateral à direita, clique em Adicionar principal.

5. Na caixa de diálogo Adicionar principal, insira as contas de grupos ou indivíduos que terão o papel Usuário do app da Web protegido pelo IAP no projeto. Os seguintes tipos de contas podem ser membros:

   • Conta do Google: user@gmail.com. Também pode ser uma conta do Google Workspace, como user@google.com ou outro domínio do Workspace.
   • grupo do Google: admins@googlegroups.com
   • Conta de serviço: server@example.iam.gserviceaccount.com
   • Domínio do Google Workspace: example.com

6. Selecione Cloud IAP > Usuário do app da Web protegido pelo IAP na lista suspensa Papéis.

7. Clique em Salvar.

Ativando o IAP

1. Na página do IAP, em APLICAÇÕES, encontre o serviço de back-end do balanceador de carga a que você quer restringir o acesso. Para ativar o IAP para um recurso, clique na opção IAP. Para ativar o IAP:
   • Pelo menos um protocolo na configuração de front-end do balanceador de carga precisa ser HTTPS. Saiba mais sobre como configurar um balanceador de carga.
   • Você precisa ter as permissões compute.backendServices.update, clientauthconfig.clients.create e clientauthconfig.clients.getWithSecret. Elas são concedidas por papéis como o de editor do projeto. Para saber mais, consulte Como gerenciar o acesso a recursos protegidos pelo IAP.
2. Na janela Ativar IAP que é exibida, clique em Ativar para confirmar que você quer proteger seu recurso com o IAP. Depois disso, será necessário usar credenciais de login para todas as conexões com o balanceador de carga. O acesso será concedido apenas às contas com o papel usuário do app da Web protegido pelo IAP no projeto.

3. Siga as instruções em Controle de acesso com o IAM para autorizar o IAP a enviar tráfego ao serviço de back-end do Cloud Run.

   • Principal: service-[PROJECT-NUMBER]@gcp-sa-iap.
   • Função: Chamador do Cloud Run

   A conta de serviço do IAP é criada quando o IAP é ativado. Se a conta de serviço da IAP não estiver na lista de principais, crie-a executando o seguinte comando gcloud:

   gcloud beta services identity create
       --service=iap.googleapis.com
       --project=PROJECT_ID
   

gcloud

1. Se você ainda não fez isso no projeto, crie o agente de serviço da IAP executando o seguinte comando. Se você já tiver criado o agente de serviço, a execução do comando não o duplicará.

   gcloud beta services identity create --service=iap.googleapis.com --project=[PROJECT_ID]

2. Execute o comando a seguir para conceder permissão à conta de serviço criada na etapa anterior.

   gcloud run services add-iam-policy-binding [SERVICE-NAME] \
   --member='serviceAccount:service-[PROJECT-NUMBER]@gcp-sa-iap.'  \
   --role='roles/run.invoker'
   

3. Ative o IAP executando o comando com escopo global ou regional, dependendo de se o serviço de back-end do balanceador de carga é global ou regional. Use o ID e a chave secreta do cliente OAuth da etapa anterior.

   Escopo global

   gcloud compute backend-services update BACKEND_SERVICE_NAME --global --iap=enabled
   

   Escopo regional

   gcloud compute backend-services update BACKEND_SERVICE_NAME --region REGION_NAME --iap=enabled
   

   Substitua:
   • BACKEND_SERVICE_NAME: o nome do serviço de back-end.
   • REGION_NAME: a região em que você quer ativar o IAP.

Depois de ativar o IAP, use a Google Cloud CLI para manipular uma política de acesso do IAP usando o papel do Identity and Access Management roles/iap.httpsResourceAccessor. Consulte Como gerenciar o acesso a recursos protegidos pelo IAP para mais informações.

Terraform

1. Se você ainda não tiver feito isso, crie o agente de serviço da IAP em um projeto executando o seguinte comando. Se você já tiver criado o agente de serviço, a execução do comando não o duplicará.

   resource "google_project_service" "project" {
     project = "your-project-id"
     service = "iap.googleapis.com"
   }
   

2. Conceda a permissão de invocador ao agente de serviço criado na etapa anterior executando o seguinte comando.

   resource "google_cloud_run_service_iam_binding" "binding" {
     location = google_cloud_run_v2_service.default.location
     service  = google_cloud_run_v2_service.default.name
     role = "roles/run.invoker"
     members = [
       "serviceAccount:service-[PROJECT-NUMBER]@gcp-sa-iap.iam.gserviceaccount.com",
     ]
   }
   

3. Ative o IAP executando o comando global ou regional, dependendo do balanceador de carga. Use o ID e a chave secreta do cliente OAuth da etapa anterior.

   • Escopo global

     resource "google_compute_backend_service" "default" {
       name                  = "tf-test-backend-service-external"
       protocol              = "HTTPS"
       load_balancing_scheme = "EXTERNAL_MANAGED"
       iap {
         enabled              = true
         oauth2_client_id     = "abc"
         oauth2_client_secret = "xyz"
       }
     }
     

   • Escopo regional

     resource "google_compute_region_backend_service" "default" {
       name                  = "tf-test-backend-service-external"
       protocol              = "HTTPS"
       load_balancing_scheme = "EXTERNAL_MANAGED"
       iap {
         enabled              = true
         oauth2_client_id     = "abc"
         oauth2_client_secret = "xyz"
       }
     }