Como proteger aplicativos do App Engine com IAP

Nesta página, você verá como implantar um aplicativo do ambiente padrão ou flexível do App Engine e protegê-lo com o Identity-Aware Proxy (IAP). O guia de início rápido inclui o exemplo de código de um app da Web do ambiente padrão do App Engine que verifica o nome de um usuário conectado.

Se você planeja disponibilizar recursos de uma rede de fornecimento de conteúdo (CDN, na sigla em inglês), consulte o guia de práticas recomendadas para informações importantes.

Para proteger recursos que não estão no Google Cloud Google Cloud, consulte Como proteger aplicativos e recursos locais.

Antes de começar

Para ativar o IAP no App Engine, faça o seguinte:

  1. Use um projeto do Google Cloud console com o faturamento ativado.

  2. Verifique se o projeto pertence a uma Google Cloud organização se você quiser usar o cliente OAuth padrão gerenciado pelo Google. Se você não tiver uma organização, você pode criar uma. Para saber mais sobre os benefícios de usar um cliente OAuth personalizado, consulte Configurar clientes OAuth personalizados para o App Engine. O cliente OAuth gerenciado pelo Google só permite acesso a usuários internos.

  3. Configure sua instância do App Engine, se ainda não tiver feito isso. Para um tutorial completo, consulte Como implantar no App Engine.

Ativar o IAP

Console

Se o projeto não pertencer a uma organização, use credenciais OAuth personalizadas.

Arquivo de inclusão dinâmico

Se você ainda não configurou a tela de consentimento do OAuth do seu projeto, precisará fazer isso. Para configurar a tela de consentimento do OAuth, consulte Como configurar a tela de consentimento do OAuth.

Como configurar o acesso do IAP

  1. Acesse a página Identity-Aware Proxy.
    Acessar a página "Identity-Aware Proxy"
  2. Selecione o projeto que você quer proteger com o IAP.
  3. Marque a caixa de seleção ao lado do recurso a que você quer conceder acesso.
  4. No painel lateral à direita, clique em Adicionar principal.
  5. Na caixa de diálogo Adicionar principais que é exibida, insira os endereços de e-mail de grupos ou indivíduos que terão o papel Usuário do app da Web protegido pelo IAP no projeto.

    Os seguintes tipos de principais podem ter essa função:

    • Conta do Google: user@gmail.com
    • grupo do Google: admins@googlegroups.com
    • Conta de serviço: server@example.gserviceaccount.com
    • Domínio do Google Workspace: example.com

    Inclua uma Conta do Google a que você tenha acesso.

  6. Selecione Cloud IAP > Usuário do app da Web protegido pelo IAP na lista suspensa Papéis.
  7. Clique em Salvar.

Ativando o IAP

  1. Na página Identity-Aware Proxy, em Aplicativos, encontre o aplicativo a que você quer restringir o acesso. Para ativar o IAP para um recurso,
  2. Na janela Ativar IAP que é exibida, clique em Ativar para confirmar que você quer proteger seu recurso com o IAP. Depois disso, será necessário usar credenciais de login para todas as conexões com o balanceador de carga. O acesso será concedido apenas a principais com o papel Usuário do app da Web protegido pelo IAP (roles/iap.httpsResourceAccessor) no projeto.

gcloud

Antes de configurar o projeto e o IAP, você precisa de uma versão atualizada da CLI gcloud. Para instruções sobre como instalar a CLI gcloud, consulte Instalar a CLI gcloud.

  1. Para autenticar, use a Google Cloud CLI e execute o comando a seguir. 
    gcloud auth login
  2. Clique no URL que aparece e faça login.
  3. Depois de fazer login, copie o código de verificação que aparece e cole-o na linha de comando.
  4. Execute o comando a seguir para especificar o projeto que contém os aplicativos que você quer proteger com o IAP. 
    gcloud config set project PROJECT_ID
  5. Para ativar o IAP, execute o comando a seguir. 
    gcloud iap web enable --resource-type=app-engine --versions=version
  6. Adicione principais que precisam ter o função do usuário do app da Web protegido pelo IAP ao projeto. 
    gcloud projects add-iam-policy-binding PROJECT_ID \
       --member=PRINCIPAL_IDENTIFIER \
       --role=roles/iap.httpsResourceAccessor
    • Substitua PROJECT_ID pela ID do seu projeto.
    • Substitua PRINCIPAL_IDENTIFIER pelos principais necessários. Pode ser um tipo de domínio, grupo, conta de serviço ou usuário. Por exemplo, user:myemail@example.com.

Depois de ativar o IAP, use a CLI gcloud para modificar a política de acesso do IAP usando o papel do IAM roles/iap.httpsResourceAccessor. Saiba mais sobre como gerenciar papéis e permissões.

API

  1. Execute o comando a seguir para preparar um arquivo settings.json. 

    cat << EOF > settings.json
{
"iap":
  {
    "enabled":true
  }
}
EOF

  2. Execute o comando a seguir para ativar o IAP. 

    curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Accept: application/json" \
-H "Content-Type: application/json" \
-d @settings.json \
"https://appengine.googleapis.com/v1/apps/PROJECT_ID?updateMask=iap"

Depois de ativar o IAP, use a Google Cloud CLI para modificar a política de acesso do IAP usando o papel do IAM roles/iap.httpsResourceAccessor. Saiba mais sobre como gerenciar papéis e permissões.

É possível ativar o IAP em um serviço do App Engine no seu projeto. Para tornar alguns serviços acessíveis publicamente e exigir autenticação para outros, use níveis de acesso diferentes entre os serviços. Para saber mais, consulte Gerenciar o acesso com o IAP. Para tornar os serviços acessíveis publicamente, conceda o papel Usuário do app da Web protegido pelo IAP a allAuthenticatedUsers.

Testar a autenticação do usuário

  1. Depois que o papel é concedido, os principais podem acessar o app fazendo a autenticação com o IAP. Acesse o URL do aplicativo usando uma Conta do Google que recebeu o papel Usuário do app da Web protegido pelo IAP (roles/iap.httpsResourceAccessor).

  2. Para testar o acesso, abra uma janela anônima no Chrome, acesse o URL do aplicativo e faça login quando solicitado. Os usuários que recebem o papel Usuário do app da Web protegido pelo IAP (roles/iap.httpsResourceAccessor) e são autenticados com sucesso podem acessar o app. Os usuários que não recebem o papel necessário ou não conseguem fazer a autenticação não podem acessar o app.

Próximas etapas