Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Erneute IAP-Authentifizierung

Mit der erneuten IAP-Authentifizierung können Dienst- und Anwendungsinhaber oderGoogle Cloud -Administratoren festlegen, dass sich authentifizierte Endnutzer nach einer bestimmten Zeit neu authentifizieren müssen, wenn sie auf einen IAP-geschützten Dienst oder eine IAP-geschützte Anwendung zugreifen. Außerdem können sie einschränken, wie lange ein Nutzer auf einen IAP-geschützten Dienst oder eine IAP-geschützte Anwendung zugreifen kann, bevor eine Authentifizierung erforderlich ist.

Die erneute Authentifizierung für IAP dient dazu, Richtlinien für die erneute Authentifizierung für IAP-geschützte Dienste und Anwendungen (oder Apps) durchzusetzen. Mit diesem Dienst können Sie Richtlinien zur erneuten Authentifizierung für kritische Dienste und Anwendungen erzwingen, die vertrauliche Informationen verarbeiten. Sie können beispielsweise festlegen, dass Nutzer, die auf eine wichtige HR-Anwendung zugreifen, sich stündlich mit einem zweiten Faktor neu authentifizieren müssen.

Unterstützte Methoden zur erneuten Authentifizierung

Sie können folgende Methoden verwenden, um die Einstellungen für die erneute Authentifizierung zu verwalten:

Anmeldung: Endnutzer authentifizieren sich noch einmal mit ihren Anmeldedaten.
Sicherheitsschlüssel: Endnutzer authentifizieren sich noch einmal mit ihrem konfigurierten Sicherheitsschlüssel.
Registrierte zweite Faktoren: Endnutzer authentifizieren sich noch einmal mit einem ihrer registrierten zweiten Faktoren.

Weitere Informationen finden Sie unter IapSettings.

Richtlinie für die erneute Authentifizierung einrichten

Die reauthSettings sind in IapSettings enthalten und können für jeden Ressourcentyp in der Ressourcenhierarchie festgelegt werden. Sie können reauthSettings auf Organisations-, Ordner-, Projekt- oder Dienstebene festlegen, um Einschränkungen anzuwenden. Sie können die Sitzungslänge beispielsweise für alle Anwendungen in einer Organisation oder für eine bestimmte Anwendung auf maximal eine Stunde beschränken.

Es gibt zwei Richtlinientypen, mit denen Sie die erneute Authentifizierung festlegen können:

Minimum: Wenn der Richtlinientyp für eine Ressource, z. B. eine Organisation, auf MINIMUM festgelegt ist, werden die beiden Einstellungen bei der Auswertung der Einstellungen für die erneute Authentifizierung für die Ressource auf niedrigerer Ebene, z. B. einen Ordner, zusammengeführt. Wenn die Ressource auf niedrigerer Ebene keine Einstellungen für die erneute Authentifizierung hat, ist das zusammengeführte Ergebnis die nicht leeren Einstellungen der Ressource auf höherer Ebene. Andernfalls werden bei der Zusammenführung die kürzere Sitzungsdauer und die Methode zur erneuten Authentifizierung mit der höheren Priorität zwischen den beiden Ressourcen verwendet. Der resultierende zusammengeführte Richtlinientyp ist auf MINIMUM festgelegt.
Standard: Wenn der Richtlinientyp für eine Ressource, z. B. eine Organisation, auf DEFAULT festgelegt ist, wird bei der Auswertung der Einstellung für die erneute Authentifizierung für die Ressource auf niedrigerer Ebene, z. B. einen Ordner, die Einstellung für die Ressource auf niedrigerer Ebene verwendet, sofern konfiguriert. Andernfalls wird die Einstellung für die erneute Authentifizierung für die Ressource auf höherer Ebene angewendet.

Bei beiden Richtlinientypen wird der Bewertungsprozess wiederholt, um die reauthSettings für den Zieldienst oder die Zielanwendung zu bestimmen. Die effektiven reauthSettings auf jeder Ebene werden so bestimmt:

Übernahme: Die Einstellungen der übergeordneten Ressource werden mit den Einstellungen der untergeordneten Ressource zusammengeführt.
Zusammenführungsregeln: Wenn die Ressource auf niedrigerer Ebene keine spezifischen Einstellungen für die erneute Authentifizierung hat, übernimmt sie die Einstellungen von der höheren Ebene.

Wenn beide Ebenen reauthSettings enthalten, wird im zusammengeführten Ergebnis Folgendes verwendet:
- Die kürzere Sitzungsdauer.
- Die Methode zur erneuten Authentifizierung mit der höheren Priorität.
- Die Rangfolge ist Secure key (höchste), Enrolled second factors (mittlere) und Login (niedrigste).
Resultierender Richtlinientyp: Der Richtlinientyp der zusammengeführten Einstellungen ist MINIMUM.

Die folgenden Beispiele zeigen die Einstellungen vor und nach der Auswertung. Während der Auswertung werden der Ordner und die Organisation reauthSettings zusammengeführt, was dazu führt, dass der Richtlinientyp des Ordners in MINIMUM geändert wird. Die zusammengeführten Einstellungen werden dann mit dem Dienst oder der Anwendung reauthSettings zusammengeführt.

Organisation IapSettings:

accessSettings:
  reauthSettings:
    method: "ENROLLED_SECOND_FACTORS"
    maxAge: "3600s"
    policyType: "MINIMUM"

Ordner IapSettings:

accessSettings:
  reauthSettings:
    method: "LOGIN"
    maxAge: "1200s"
    policyType: "DEFAULT"

Dienst oder Anwendung IapSettings:

accessSettings:
  reauthSettings:
    method: "SECURE_KEY"
    maxAge: "7200s"
    policyType: "DEFAULT"

Einstellungen nach der Zusammenführung:

Organisation IapSettings:

accessSettings:
  reauthSettings:
    method: "ENROLLED_SECOND_FACTORS"
    maxAge: "3600s"
    policyType: "MINIMUM"

Ordner IapSettings:

accessSettings:
  reauthSettings:
    method: "ENROLLED_SECOND_FACTORS"
    maxAge: "1200s"
    policyType: "MINIMUM"

Dienst oder Anwendung IapSettings:

accessSettings:
  reauthSettings:
    method: "SECURE_KEY"
    maxAge: "1200s"
    policyType: "MINIMUM"

Wenn in diesem Beispiel der Richtlinientyp jeder Ressource auf DEFAULT festgelegt ist, wird die reauthSettings des Dienstes oder der Anwendung verwendet.

MaxAge

Mit dem Parameter maxAge können Sie angeben, wie oft sich ein Endnutzer neu authentifizieren muss (in Sekunden). Wenn Sie beispielsweise eine Richtlinie für die erneute Authentifizierung nach einer Stunde festlegen möchten, geben Sie für Sekunden 3600 an, wie im folgenden Beispiel gezeigt:

accessSettings:
  reauthSettings:
    method: "LOGIN"
    maxAge: "3600s"
    policyType: "MINIMUM"

Der Mindestwert für maxAge beträgt 300 Sekunden oder fünf Minuten.

So legen Sie eine Richtlinie für die erneute Authentifizierung fest:

Console

Rufen Sie die IAP-Seite auf.
Zur Seite "Identity-Aware Proxy"
Wählen Sie ein Projekt und dann die Ressource aus, für die Sie eine Richtlinie für die erneute Authentifizierung festlegen möchten.
Öffnen Sie die Einstellungen für die Ressource und wählen Sie unter Richtlinie zur erneuten Authentifizierung die Option Erneute Authentifizierung konfigurieren aus.
Legen Sie die Einstellungen für die erneute Authentifizierung fest und klicken Sie dann auf Speichern.

gcloud

Sie können eine Richtlinie für die erneute Authentifizierung für Ressourcen und Dienste auf Organisations-, Projekt- und Ordnerebene festlegen. Im Folgenden finden Sie einige Beispielbefehle zum Festlegen einer Richtlinie für die erneute Authentifizierung.

Weitere Informationen finden Sie unter gcloud iap settings set.

Führen Sie dazu diesen Befehl aus:

gcloud iap settings set SETTING_FILE [--organization=ORGANIZATION --folder=FOLDER --project=/PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE --version=VERSION

Führen Sie den folgenden Befehl aus, um eine Richtlinie für die erneute Authentifizierung für die Ressourcen in einer Organisation festzulegen:

gcloud iap settings set SETTING_FILE --organization=ORGANIZATION

Führen Sie den folgenden Befehl aus, um eine Richtlinie für die erneute Authentifizierung für die Ressourcen in einem Ordner festzulegen:

gcloud iap settings set SETTING_FILE --folder=FOLDER

Führen Sie den folgenden Befehl aus, um eine Richtlinie für die erneute Authentifizierung für alle Webressourcen in einem Projekt festzulegen:

gcloud iap settings set SETTING_FILE --project=PROJECT --resource-type=iap_web

Führen Sie den folgenden Befehl aus, um eine Richtlinie für die erneute Authentifizierung für einen App Engine-Dienst in einem Projekt festzulegen:

gcloud iap settings set SETTING_FILE --project=PROJECT --resource-type=app-engine --service=SERVICE

Wo SETTING_FILE Folgendes ist:

accessSettings:
  reauthSettings:
    method: "LOGIN"
    maxAge: "3600s"
    policyType: "MINIMUM"

Ersetzen Sie Folgendes:

FOLDER: Die Ordner-ID.
ORGANIZATION: Die Organisations-ID.
PROJECT: die Projekt-ID
RESOURCE_TYPE: Der IAP-Ressourcentyp. Muss app-engine, iap_web, compute, organization oder folder sein.
SERVICE: Der Dienstname. Dies ist optional, wenn resource-type auf compute oder app-engine festgelegt ist.
VERSION: Der Versionsname. Dies ist nicht zutreffend für den Ressourcentyp compute und ist für den Ressourcentyp app-engine optional.

API

Führen Sie den folgenden Befehl aus, um eine iap_settings.json-Datei vorzubereiten. Aktualisieren Sie die Werte nach Bedarf.

cat << EOF > iap_settings.json
{
  "access_settings": {
      "reauth_settings": {
            "method": "LOGIN",
            "maxAge": "300s",
            "policy_type": "DEFAULT"
        }
    }
}
EOF

Rufen Sie den Ressourcennamen mit dem Befehl gcloud iap settings get ab. Kopieren Sie das Feld „name“ aus der Ausgabe. Sie benötigen den Namen im nächsten Schritt.

gcloud iap settings get [--organization=ORGANIZATION --folder=FOLDER --project=/PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE --version=VERSION]

Ersetzen Sie RESOURCE_NAME im folgenden Befehl durch den Namen aus dem vorherigen Schritt. Die IapSettings wird aktualisiert.

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Accept: application/json" \
-H "Content-Type: application/json" \
-d @iap_settings.json \
"https://iap.googleapis.com/v1/RESOURCE_NAME:iapSettings?updateMask=iapSettings.accessSettings.reauthSettings"

Informationen zu den Anmeldedaten für die erneute Authentifizierung

Nach erfolgreicher erneuter Authentifizierung erstellt IAP ein Cookie im Browser des Endnutzers. Damit Anwendungen in derselben Domain nicht häufig neu authentifiziert werden müssen, wird das Cookie auf der privaten Top-Level-Domain festgelegt und ist für die gesamte Domain gültig.

foo.example.com ist beispielsweise eine durch IAP geschützte Ressource und hat eine IAP-Richtlinie zur erneuten Authentifizierung. Nach einer erfolgreichen erneuten Authentifizierung setzt IAP ein Cookie auf example.com, da dies die private Top-Level-Domain ist. Anwendungen aus derselben privaten Top-Level-Domain, z. B. bar.example.com, verwenden dieselben Anmeldedaten für die erneute Authentifizierung und fordern den Nutzer nicht auf, sich noch einmal zu authentifizieren, solange die Anmeldedaten gültig sind.

Bei URLs wie myapp.appspot.com ist appspot.com eine öffentliche Domain. Daher ist die private Top-Level-Domain myapp.appspot.com.

Bekannte Einschränkungen

Die erneute Authentifizierung wird nur für Browserabläufe unterstützt. Der programmatische Nutzerkontozugriff wird nicht unterstützt. Beispielsweise können Nutzer in mobilen und Desktop-Anwendungen nicht noch einmal authentifiziert werden, da die Ressourcen, für die eine erneute Authentifizierung erforderlich ist, für diese Anwendungen nicht zugänglich sind.
Dienstkonten und IAP-TCP sind von den Anforderungen zur erneuten Authentifizierung ausgenommen.
Die erneute Authentifizierung funktioniert nicht mit dem Identity and Access Management-Mitgliedstyp allUsers.
Externe Identitäten wie OAuth und SAML werden bei der erneuten Authentifizierung nicht unterstützt.
Identitäten der Mitarbeiteridentitätsföderation werden für die IAP-Neuauthentifizierung nicht unterstützt.

Erneute IAP-Authentifizierung Mit Sammlungen den Überblick behalten Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.