为 Cloud Run 启用 IAP

控制台

如果您尚未配置项目的 OAuth 权限请求页面，系统将 提示您执行此操作。如需配置 OAuth 权限请求页面，请参阅设置 OAuth 权限请求页面。

设置 IAP 访问权限

1. 转到 Identity-Aware Proxy 页面。
2. 选择要使用 IAP 保护的项目。
3. 在应用 下，选中您要向其添加成员的负载均衡器后端服务旁边的复选框。
4. 在右侧面板上，点击添加主账号 。

5. 在添加主账号 对话框中，输入应具有项目的 IAP-secured Web App User 角色的群组或个人的账号。可以添加以下种类的账号作为成员：

   • Google 账号: [email protected] - 也可以是 Google Workspace 账号，例如 [email protected] 或其他一些 Workspace 网域。
   • Google 群组：<管理员>@googlegroups.com
   • 服务账号：<服务器>@<示例>。iam.gserviceaccount.com
   • Google Workspace 网域：example.com

6. 从角色下拉列表中选择 Cloud IAP > IAP-secured Web App Use。

7. 点击保存 。

允许组织外的用户访问

默认情况下，当您启用 IAP 时，它会使用 Google 管理的 OAuth 客户端对用户进行身份验证。因此，只有组织内的用户才能访问已启用 IAP 的应用。

如需允许组织外的用户或没有 组织的用户访问，请更新 OAuth 客户端配置以使用自定义 OAuth 客户端，如为外部应用启用 IAP中所述。

启用 IAP

1. 在 IAP 页面的应用下，找到您要限制访问的负载均衡器后端服务。如需为资源启用 IAP，请点击 IAP 开关。 如需启用 IAP，请执行以下操作：
   • 负载均衡器前端配置中至少一个协议必须是 HTTPS。了解设置负载均衡器。了解设置负载均衡器。
   • 您需要 compute.backendServices.update、clientauthconfig.clients.create 和 clientauthconfig.clients.getWithSecret 权限。这些权限由 Project Editor 等角色授予。 如需了解详情，请参阅管理对受 IAP 保护的资源的访问权限。
2. 在出现的开启 IAP 窗口中，点击开启以确认您希望使用 IAP 保护资源。开启 IAP 后，它需要与负载均衡器的所有连接的登录凭据。只有具有项目的 IAP-Secured Web App User 角色的账号才能获得访问权限。

3. 按照使用 IAM 进行访问权限控制中的说明，授权 IAP 向后端 Cloud Run 服务发送流量。

   • 主账号: service-[PROJECT-NUMBER]@gcp-sa-iap.iam.gserviceaccount.com
   • 角色： Cloud Run Invoker

   启用 IAP 时，系统会创建 IAP 服务帐号。如果 IAP 服务帐号不在主账号列表中，您可以通过运行以下 gcloud 命令来创建它：

   gcloud beta services identity create
       --service=iap.googleapis.com
       --project=PROJECT_ID
   

gcloud

1. 如果您之前未在项目中执行此操作，请运行以下命令来创建 IAP 服务代理。如果您之前创建了服务代理，则运行该命令不会重复创建。

   gcloud beta services identity create --service=iap.googleapis.com --project=[PROJECT_ID]

2. 运行以下命令，向在上一步中创建的服务帐号授予调用方权限。

   gcloud run services add-iam-policy-binding [SERVICE-NAME] \
   --member='serviceAccount:service-[PROJECT-NUMBER]@gcp-sa-iap.iam.gserviceaccount.com'  \
   --role='roles/run.invoker'
   

3. 通过运行全局范围或区域范围的命令来启用 IAP，具体取决于您的负载均衡器后端服务是全球性还是区域性。使用上一步中的 OAuth 客户端 ID 和 Secret。

   全球范围

   gcloud compute backend-services update BACKEND_SERVICE_NAME --global --iap=enabled
   

   区域范围

   gcloud compute backend-services update BACKEND_SERVICE_NAME --region REGION_NAME --iap=enabled
   

   替换以下内容：
   • BACKEND_SERVICE_NAME：后端服务的名称。
   • REGION_NAME：要在其中启用 IAP 的区域。

启用 IAP 后，您可以使用 Google Cloud CLI 通过 Identity and Access Management 角色 roles/iap.httpsResourceAccessor 操纵 IAP 访问权限政策。如需了解详情，请参阅管理对受 IAP 保护的资源的访问权限。

Terraform

1. 如果您之前未在项目中执行此操作，请运行以下命令来创建 IAP 服务代理。如果您之前创建了服务代理，则运行该命令不会重复创建。

   resource "google_project_service" "project" {
     project = "your-project-id"
     service = "iap.googleapis.com"
   }
   

2. 添加以下内容，以向 IAP 服务代理授予 roles/run.invoker 角色。

   resource "google_cloud_run_v2_service_iam_member" "iap_invoker" {
     project = google_cloud_run_v2_service.default.project
     location = google_cloud_run_v2_service.default.location
     name = google_cloud_run_v2_service.default.name
     role   = "roles/run.invoker"
     member = "serviceAccount:service-"PROJECT_NUMBER@gcp-sa-iap.iam.gserviceaccount.com"
   }
   

   将 PROJECT_NUMBER 替换为您的项目编号。

3. 通过运行全局或区域命令（具体取决于您的负载均衡器）来启用 IAP。使用上一步中的 OAuth 客户端 ID 和 Secret。

   • 全球范围

     resource "google_compute_backend_service" "default" {
       name                  = "tf-test-backend-service-external"
       protocol              = "HTTPS"
       load_balancing_scheme = "EXTERNAL_MANAGED"
       iap {
         enabled              = true
         oauth2_client_id     = "abc"
         oauth2_client_secret = "xyz"
       }
     }
     

   • 区域范围

     resource "google_compute_region_backend_service" "default" {
       name                  = "tf-test-backend-service-external"
       protocol              = "HTTPS"
       load_balancing_scheme = "EXTERNAL_MANAGED"
       iap {
         enabled              = true
         oauth2_client_id     = "abc"
         oauth2_client_secret = "xyz"
       }
     }