使用 Workforce Identity Federation 設定 IAP

主控台

1. 在 Google Cloud 控制台中，開啟「應用程式內購」頁面。
   前往 IAP 頁面
2. 選取專案。專案必須與先前建立的工作力資源池位於相同機構。專案不必是您建立 OAuth 用戶端 ID 和密碼的專案。
3. 按一下「應用程式」分頁，然後找出您要使用 IAP 限制存取權的應用程式。
4. 在 IAP 資料欄中，將切換鈕切換為「On」。

gcloud

如要使用 gcloud CLI 啟用 IAP，請按照適用服務的程序操作：

• Cloud Run 的 IAP：
  • 直接透過 Cloud Run 啟用
  • 使用負載平衡器啟用
• App Engine 適用的 IAP
• Compute Engine 的 IAP

API

1. 建立 settings.json 檔案。

   cat << EOF > settings.json
   {
   "iap":
     {
       "enabled":true,
    }
   }
   EOF
   

2. 在 App Engine 上啟用 IAP。

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Accept: application/json" \
   -H "Content-Type: application/json" \
   -d @settings.json \
   "https://appengine.googleapis.com/v1/apps/PROJECT_ID?updateMask=iap.enabled"
   

   如要在 Compute Engine 上啟用 IAP，請使用以下網址：https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/REGION/backendServices/BACKEND_SERVICE_NAME?updateMask=iap.enabled。

gcloud

1. 請參考下列範例，建立 iap_settings.yaml 檔案。

   CLIENT_ID=clientId
   CLIENT_SECRET=clientSecret
   WORKFORCE_POOL_NAME=locations/global/workforcePools/test-pool
   cat <<EOF > iap_settings.yaml
   access_settings:
     identity_sources: ["WORKFORCE_IDENTITY_FEDERATION"]
     workforce_identity_settings:
       workforce_pools: ["$WORKFORCE_POOL_NAME"]
       oauth2:
         client_id: "$CLIENT_ID"
         client_secret: "$CLIENT_SECRET"
   EOF
   

2. 執行下列指令，更新資源的 IAP 設定。

   gcloud iap settings set iap_settings.yaml --project=PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE
   

   更改下列內容：

   • PROJECT：專案 ID。

   • RESOURCE_TYPE：IAP 資源類型。資源類型必須為 cloud-run「(預先發布版)」、app-engine、iap_web、compute、organization 或 folder。

     針對 cloud-run 資源類型，請使用 --region 標記來表示 Cloud Run 服務部署的區域。

   • SERVICE：服務名稱。app-engine 和 compute 都會使用這個選項。

   如要進一步瞭解這項指令，請參閱 gcloud iap settings set。

API

1. 請參考下列範例，建立 iap_settings.json 設定檔。

   CLIENT_ID=clientId
   CLIENT_SECRET=clientSecret
   WORKFORCE_POOL_NAME=locations/global/workforcePools/test-pool
   cat <<EOF > iap_settings.json
   {
      "access_settings": {
        "identity_sources": ["WORKFORCE_IDENTITY_FEDERATION"],
        "workforce_identity_settings": {
          "workforce_pools": ["$WORKFORCE_POOL_NAME"],
          "oauth2": {
            "client_id": "$CLIENT_ID",
            "client_secret": "$CLIENT_SECRET",
          }
       }
     }
   }
   EOF
   

2. 請使用 gcloud CLI 取得資源名稱，然後從輸出內容中複製 RESOURCE_NAME，因為您會在後續步驟中使用這項資訊。

   gcloud iap settings get \
       --project=PROJECT \
       --resource-type=RESOURCE_TYPE \
       --service=SERVICE
   

   更改下列內容：

   • PROJECT：專案 ID。
   • RESOURCE_TYPE：IAP 資源類型。資源類型必須是 appengine、iap_web、compute、organization、folder 或 cloud_run-$REGION ((預先發布版))，其中 $REGION 是部署 Cloud Run 服務的地區。
   • SERVICE：服務名稱。app-engine 和 compute 都會使用這個選項。

3. 將下列指令中的 RESOURCE_NAME 替換為上一個步驟中的 RESOURCE_NAME。

   curl -X PATCH \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d @iap_settings.json \
   "https://iap.googleapis.com/v1/RESOURCE_NAME:iapSettings?updateMask=iapSettings.accessSettings.identitySources,iapSettings.accessSettings.workforceIdentitySettings.workforcePools,iapSettings.accessSettings.workforceIdentitySettings.oauth2.clientId,iapSettings.accessSettings.workforceIdentitySettings.oauth2.clientSecret" 
   

主控台

1. 在 Google Cloud 控制台中，開啟「應用程式內購」頁面。
   前往 IAP 頁面
2. 選取要使用 IAP 保護的資源。
3. 按一下「新增主體」，然後新增您要為資源授予 IAM 角色的群組或個人主體 ID。
4. 在「指派角色」中，選取「受 IAP 保護的網路應用程式使用者」。
5. 按一下「新增」。

gcloud

執行下列指令。

gcloud iap web add-iam-policy-binding \
    --member=PRINCIPAL_IDENTIFIER \
    --role='roles/iap.httpsResourceAccessor' \
    --project=PROJECT_ID \
    --resource-type=RESOURCE_TYPE \
    --service=SERVICE \
    --condition=CONDITION

請使用下列內容取代：

• PRINCIPAL_IDENTIFIER：主要 ID。
• PROJECT_ID：專案 ID。
• RESOURCE_TYPE：IAP 資源類型，可以是 app-engine 或 backend-services。
• SERVICE：(選用) 服務名稱。
• CONDITION：(選用) IAM 條件。以下是使用存取層級設定的條件範例：

expression="accessPolicies/12345678/accessLevels/iap_test_access_level" in request.auth.access_levels,title=iap-test-access-level,description=only access in weekdays

API

我們不建議使用這個方法，因為它會影響資源的整個 IAM 政策。系統可能會因錯誤而從資源中移除政策。

1. 取得現有的 IAM 政策繫結。

   curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Accept: application/json" \
     -H "Content-Type: application/json" \
     -d {} \
   "https://iap.googleapis.com/v1/RESOURCE_NAME:getIamPolicy" -o iam_policy_bindings.json
   

   將 RESOURCE_NAME 替換為您在先前步驟中取得的 RESOURCE_NAME。

2. 針對您在先前步驟中取得的 iam_policy_bindings.json 檔案，請移除版本和 etag 行，然後新增要為主體 ID 新增的繫結。詳情請參閱「瞭解允許政策」。

   {
     "bindings": [
       {
         // existing bindings
       },
       {
         "role": "roles/iap.httpsResourceAccessor",
         "members": [
         "principal://iam.googleapis.com/locations/global/workforcePools/iap-test-pool/subject/iap-test-subject"
         ],
         "condition": {
           "expression": "\"accessPolicies/12345678/accessLevels/iap_test_access_level\" in request.auth.access_levels",
           "title": "iap-test-access-level",
           "description": "only access in week days"
         }
       }
     ]
   }
   

3. 更新身分與存取權管理政策繫結。

   curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Accept: application/json" \
     -H "Content-Type: application/json" \
     -d "{"policy":$(cat iam_policy_bindings.json)}" \
   "https://iap.googleapis.com/v1/RESOURCE_NAME:setIamPolicy"
   

   將 RESOURCE_NAME 替換為您在先前步驟中取得的 RESOURCE_NAME。

詳情請參閱 GetIamPolicy 和 SetIamPolicy。