Autentica gli utenti con identità esterne

Autentica gli utenti con identità esterne

Questa guida rapida mostra come proteggere un'app utilizzando Identity-Aware Proxy (IAP) e le identità esterne. Combinando IAP e Identity Platform, puoi autenticare gli utenti con un'ampia gamma di provider di identità, come OAuth, SAML e OIDC, oltre agli Account Google.

In questa guida rapida, proteggerai un'app App Engine di esempio utilizzando l'autenticazione di Facebook.

Prima di iniziare

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per completare questa guida rapida, chiedi all'amministratore di concederti i seguenti ruoli IAM nel progetto:

• Project Creator (roles/resourcemanager.projectCreator)
• App Engine Admin(roles/appengine.appAdmin)
• Firebase Authentication Viewer (roles/firebaseauth.viewer)
• IAP Policy Admin (roles/iap.admin)
• Compute Viewer (roles/compute.viewer)
• Identity Platform Admin (roles/identityplatform.admin)

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

1. Nella console Google Cloud , nella pagina di selezione del progetto, seleziona o crea un progetto Google Cloud .

   Ruoli richiesti per selezionare o creare un progetto

   • Seleziona un progetto: la selezione di un progetto non richiede un ruolo IAM specifico. Puoi selezionare qualsiasi progetto per cui ti è stato concesso un ruolo.
   • Crea un progetto: per creare un progetto, devi disporre del ruolo Autore progetto (roles/resourcemanager.projectCreator), che contiene l'autorizzazione resourcemanager.projects.create. Scopri come concedere i ruoli.
   Nota: se non prevedi di conservare le risorse che crei in questa procedura, crea un progetto invece di selezionarne uno già esistente. Una volta completata questa procedura, puoi eliminare il progetto e tutte le relative risorse.

   Vai al selettore di progetti

2. Verifica che la fatturazione sia attivata per il tuo progetto Google Cloud .

3. Installa Google Cloud CLI, quindi accedi a gcloud CLI con la tua identità federata. Dopo aver eseguito l'accesso, inizializza Google Cloud CLI eseguendo il comando seguente:

   gcloud init

4. Inizializza App Engine per il tuo progetto:

   gcloud app create --project=project-id
   

5. Installa Git.

6. Installa una versione corrente di Node.js.

7. Installa lo strumento a riga di comando di Firebase:

   npm install -g firebase-tools
   

Abilita le API

Innanzitutto, abilita Identity Platform:

1. Vai alla pagina Identity Platform Marketplace nella consoleGoogle Cloud .

   Vai alla pagina Marketplace di Identity Platform

2. Fai clic su Abilita Identity Platform. Viene visualizzata la pagina Identity Platform nella console Google Cloud .

Quindi, attiva IAP:

1. Vai alla pagina IAP nella console Google Cloud .

   Vai alla pagina IAP

2. Seleziona lo stesso progetto che hai utilizzato per Identity Platform. L'utilizzo di progetti diversi non è supportato.

3. Fai clic su Abilita API.

Scarica ed esegui il deployment del codice campione

Il codice per questa guida rapida è composto da due componenti: un'app client e un'app di autenticazione.

L'app client è protetta da IAP. Quando riceve una richiesta da un utente non autenticato, questa viene reindirizzata all'app di autenticazione per verificare l'identità dell'utente. Se l'utente accede correttamente, l'app di autenticazione risponde con un token JWT (JSON Web Token). A scopo dimostrativo, l'app client visualizza il JWT.

Per prima cosa, scarica il codice ed esegui il deployment dell'app client:

1. Scarica il codice campione:

   git clone https://github.com/GoogleCloudPlatform/iap-gcip-web-toolkit.git
   

2. Passa alla directory dell'app client:

   cd iap-gcip-web-toolkit/sample/app
   

3. Installa le dipendenze:

   npm install
   

4. Esegui il deployment dell'app client in App Engine:

   npm run deploy
   

   L'app client viene avviata all'URL:

   https://[PROJECT-ID].appspot.com
   

Successivamente, esegui il deployment dell'app di autenticazione:

1. Passa alla directory dell'app di autenticazione:

   cd ../authui-firebaseui
   

2. Installa le dipendenze:

   npm install
   export NODE_OPTIONS=--openssl-legacy-provider
   

3. Configura l'app di autenticazione in modo da utilizzare Firebase Hosting. Specifica l'ID progetto Google Clouddel progetto Google Cloud che contiene l'app client protetta da IAP:

   firebase use project-id
   

4. Esegui il deployment dell'app:

   npm run deploy
   

   L'app di autenticazione viene avviata all'URL:

   https://[PROJECT-ID].firebaseapp.com
   

Hai eseguito il deployment delle app client e di autenticazione. Il passaggio successivo consiste nel configurare Identity Platform e IAP.

Configura Identity Platform

IAP utilizza Identity Platform per autenticare le identità esterne. Questa guida rapida utilizza Facebook come esempio, ma Identity Platform supporta un'ampia gamma di provider di identità.

Crea un'app di Facebook

Per autenticare gli utenti con Facebook, devi disporre di un ID app e di un secret dell'app.

1. Accedi a Meta for Developers. Se non hai ancora un account Facebook, dovrai crearne uno.

2. Vai alla pagina Le mie app di Facebook.

3. Fai clic su Crea app.

4. Nel menu a sinistra, seleziona Impostazioni > Di base.

5. Nella casella URL delle norme sulla privacy, inserisci un URL valido. Se esegui il deployment dell'app in produzione in un secondo momento, puoi aggiornare l'URL in modo che rimandi alle tue norme sulla privacy.

6. Prendi nota dell'ID app e del secret dell'app. Ti serviranno nella sezione successiva.

Aggiungi Facebook come provider di identità

Configura Identity Platform per utilizzare Facebook per l'autenticazione:

1. Vai alla pagina Provider di identità nella console Google Cloud .

   Vai alla pagina Provider di identità

2. Fai clic su Aggiungi un provider.

3. Seleziona Facebook dall'elenco dei fornitori.

4. Inserisci l'ID app e il secret dell'app che hai ottenuto nella sezione precedente.

5. Fai clic su Salva.

Configura l'URI di reindirizzamento OAuth

Quando Facebook termina l'elaborazione di una richiesta dall'app di autenticazione, ha bisogno di un URI a cui reindirizzare.

1. Torna alla pagina Le mie app di Facebook e seleziona la tua app.

2. Nel menu a sinistra, fai clic su Prodotti > Aggiungi prodotto.

3. Individua il prodotto Facebook Login e fai clic su Set up (Configura).

4. Nel menu di navigazione a sinistra, seleziona Impostazioni (non è necessario completare il flusso di avvio rapido guidato).

5. Nella casella URI di reindirizzamento OAuth validi, inserisci l'URI di reindirizzamento:

   https://project-id.firebaseapp.com/__/auth/handler
   

   Puoi trovare questo URI anche nella pagina di configurazione del provider di Identity Platform.

6. Fai clic su Salva modifiche.

Hai completato la configurazione di Identity Platform. Ora puoi configurare IAP per utilizzarlo per l'autenticazione.

Abilita IAP per utilizzare le identità esterne

1. Vai alla pagina IAP nella console Google Cloud .

   Vai alla pagina IAP

2. Fai clic sulla scheda APPLICAZIONI.

3. Seleziona l'app App Engine di esempio di cui hai eseguito il deployment in precedenza. L'URL nella categoria Pubblicata dovrebbe essere simile a:

   https://project-id.appspot.com
   

4. Nella colonna IAP, sposta l'opzione su On.

5. Nel riquadro laterale, fai clic su Avvia per Utilizza identità esterne per l'autorizzazione.

6. Nella pagina di accesso, seleziona Fornirò il mio URL.

   Nota: IAP può anche creare una pagina di accesso per te. Questa guida rapida fornisce app client e di autenticazione di esempio, ma se stai creando le tue app da zero, consentire a IAP di creare la pagina di accesso può aiutarti a iniziare più velocemente.

7. Nel campo URL di autenticazione, inserisci l'URL dell'app di autenticazione. Dovrebbe avere un aspetto simile al seguente:

   https://project-id.firebaseapp.com/
   

   Dopo aver inserito l'URL, la console Google Cloud aggiunge automaticamente la chiave API.

8. Seleziona la casella con il nome del progetto. Dovrebbe avere Facebook elencato come provider di identità.

9. Fai clic su Salva.

Hai terminato la configurazione di IAP.

Testa l'autenticazione utente

Per verificare che IAP protegga la tua app e autentichi gli utenti con Facebook:

1. Vai all'app App Engine client nel browser:

   https://project-id.appspot.com
   

   Dopo una breve schermata di caricamento, viene eseguito il reindirizzamento alla pagina di accesso di Identity Platform.

2. Segui i messaggi sullo schermo per autenticarti con Facebook.

3. Dovresti essere reindirizzato all'app client, che mostrerà il JWT restituito da Identity Platform.

Per uscire completamente, devi uscire dall'app di esempio che hai creato e da Facebook. Devi uscire da entrambe le app perché Firebase stabilisce una sessione con Facebook valida per un'ora. Per saperne di più, consulta Gestisci le sessioni utente.

Complimenti! Hai eseguito il deployment di un'app in App Engine e l'hai protetta con IAP e identità esterne.

Esegui la pulizia

Per evitare che al tuo account Google Cloud vengano addebitati costi relativi alle risorse utilizzate in questa pagina, segui questi passaggi.

Attenzione: l'eliminazione di un progetto ha i seguenti effetti:

• L'intero contenuto del progetto viene eliminato. Se hai utilizzato un progetto esistente per, le attività descritte in questo documento, eliminerai anche tutto il lavoro che hai svolto nel progetto.
• Gli ID progetto personalizzati non sono più disponibili. Quando hai creato questo progetto, potresti aver creato un ID progetto personalizzato che vuoi utilizzare in futuro. Per conservare gli URL che utilizzano l'ID progetto, ad esempio un URL appspot.com, elimina le risorse selezionate all'interno del progetto anziché eliminare l'intero progetto.

Se intendi esplorare più architetture, tutorial o guide rapide, puoi riutilizzare i progetti ed evitare così di superare i limiti di quota.

1. Nella console Google Cloud , vai alla pagina Gestisci risorse.

   Vai a Gestisci risorse

2. Nell'elenco dei progetti, seleziona il progetto che vuoi eliminare, quindi fai clic su Elimina.
3. Nella finestra di dialogo, digita l'ID progetto, quindi fai clic su Chiudi per eliminare il progetto.

Inoltre, potresti voler eliminare l'app di Facebook che hai creato.

Passaggi successivi

• Personalizza la UI di autenticazione con FirebaseUI o crea una UI personalizzata da zero.

• Scopri di più sulla configurazione dei provider di identità con Identity Platform.

• Scopri come creare silos univoci di utenti e configurazioni con la multitenancy di Identity Platform.