Configurando o Identity-Aware Proxy com Google IAP

Quando Usar

• Ao proteger aplicações Google Cloud (App Engine, Cloud Run, GKE, Compute Engine) com acesso baseado em identidade
• Ao implementar acesso ciente do contexto, exigindo verificação de postura e localização do dispositivo
• Ao fornecer acesso seguro a ferramentas internas sem VPN ou exposição de IP público
• Ao precisar de autenticação e autorização por solicitação para aplicações web e serviços TCP
• Ao configurar acesso programático a recursos protegidos pelo IAP usando contas de serviço

Não use para aplicações não HTTP que não podem ser colocadas atrás de um balanceador de carga HTTPS, para aplicações voltadas ao público que precisam de acesso não autenticado, ou quando as aplicações gerenciam sua própria autenticação e o IAP entraria em conflito com fluxos de autenticação existentes.

Pré-requisitos

• Projeto Google Cloud com faturamento ativado
• API IAP ativada (gcloud services enable iap.googleapis.com)
• Aplicação implantada atrás de um Balanceador de Carga HTTPS, App Engine ou Cloud Run
• Cloud Identity ou Google Workspace para gerenciamento de usuários
• API Access Context Manager ativada para níveis de acesso
• Tela de consentimento OAuth configurada para o projeto

Fluxo de Trabalho

Etapa 1: Ativar o IAP em Serviços de Backend

Configure o IAP para diferentes plataformas de computação GCP.

# Enable required APIs
gcloud services enable iap.googleapis.com
gcloud services enable accesscontextmanager.googleapis.com

# Create OAuth consent screen
gcloud iap oauth-brands create \
  --application_title="Internal Applications" \
  --support_email=security@company.com

# Create OAuth client
gcloud iap oauth-clients create \
  projects/PROJECT_ID/brands/BRAND_ID \
  --display_name="IAP Web Client"

# === Enable IAP on Compute Engine Backend Service ===
gcloud compute backend-services update my-backend-service \
  --iap=enabled,oauth2-client-id=CLIENT_ID,oauth2-client-secret=CLIENT_SECRET \
  --global

# === Enable IAP on App Engine ===
gcloud iap web enable \
  --resource-type=app-engine \
  --oauth2-client-id=CLIENT_ID \
  --oauth2-client-secret=CLIENT_SECRET

# === Enable IAP on Cloud Run ===
# First grant IAP service account the Cloud Run Invoker role
gcloud run services add-iam-policy-binding my-service \
  --member="serviceAccount:service-PROJECT_NUM@gcp-sa-iap.iam.gserviceaccount.com" \
  --role="roles/run.invoker" \
  --region=us-central1

# Enable IAP on the Cloud Run backend service
gcloud compute backend-services update my-cloud-run-backend \
  --iap=enabled,oauth2-client-id=CLIENT_ID,oauth2-client-secret=CLIENT_SECRET \
  --global

# === Enable IAP TCP Forwarding for SSH/RDP ===
# No load balancer needed - uses IAP tunnel
gcloud compute instances add-iam-policy-binding my-vm \
  --member="group:developers@company.com" \
  --role="roles/iap.tunnelResourceAccessor" \
  --zone=us-central1-a

# SSH through IAP tunnel
gcloud compute ssh my-vm --zone=us-central1-a --tunnel-through-iap

# RDP through IAP tunnel
gcloud compute start-iap-tunnel my-windows-vm 3389 \
  --local-host-port=localhost:3390 \
  --zone=us-central1-a

Etapa 2: Configurar Vinculações IAM para Controle de Acesso

Conceda acesso a usuários e grupos específicos com condições opcionais de nível de acesso.

# Conceder acesso básico a um grupo
gcloud iap web add-iam-policy-binding \
  --resource-type=backend-services \
  --service=my-backend-service \
  --member="group:engineering@company.com" \
  --role="roles/iap.httpsResourceAccessor"

# Conceder acesso com condição de nível de acesso
gcloud iap web add-iam-policy-binding \
  --resource-type=backend-services \
  --service=finance-app \
  --member="group:finance@company.com" \
  --role="roles/iap.httpsResourceAccessor" \
  --condition='expression=request.auth.access_levels.exists(x, x == "accessPolicies/POLICY_ID/accessLevels/corporate-device"),title=RequireCorporateDevice,description=Requires managed corporate device'

# Conceder acesso apenas durante o horário comercial
gcloud iap web add-iam-policy-binding \
  --resource-type=backend-services \
  --service=admin-console \
  --member="group:admins@company.com" \
  --role="roles/iap.httpsResourceAccessor" \
  --condition='expression=request.time.getHours("America/New_York") >= 8 && request.time.getHours("America/New_York") <= 18 && request.time.getDayOfWeek("America/New_York") >= 1 && request.time.getDayOfWeek("America/New_York") <= 5,title=BusinessHoursOnly'

# Conceder acesso a um caminho de URL específico
gcloud iap web add-iam-policy-binding \
  --resource-type=backend-services \
  --service=internal-api \

…