O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Reautenticação do IAP

A reautenticação do IAP permite que os proprietários ou administradores de serviços e aplicativos doGoogle Cloud exijam que os usuários finais autenticados façam uma nova autenticação após um período especificado ao acessar um serviço ou aplicativo protegido pelo IAP e limitem o tempo que um usuário pode acessar um serviço ou aplicativo protegido pelo IAP antes que a autenticação seja necessária.

A reautenticação do IAP foi criada para aplicar políticas de reautenticação a serviços e aplicativos (ou apps) protegidos pelo IAP. Com esse serviço, é possível aplicar políticas de reautenticação para serviços e aplicativos críticos que lidam com informações confidenciais. Por exemplo, você pode especificar que os usuários que acessam um aplicativo de RH crítico se autentiquem novamente a cada hora usando um segundo fator.

Métodos de reautenticação aceitos

Use os seguintes métodos para gerenciar as configurações de reautenticação:

Login: os usuários finais se autenticam novamente usando as credenciais de login.
Chave segura: os usuários finais se autenticam novamente usando a chave de segurança configurada.
Segundos fatores registrados: os usuários finais se autenticam novamente usando um dos segundos fatores registrados.

Para mais informações, consulte IapSettings.

Configurar uma política de reautenticação

As reauthSettings são incluídas como parte de IapSettings e podem ser definidas em qualquer tipo de recurso na hierarquia de recursos. É possível definir reauthSettings no nível da organização, da pasta, do projeto ou do serviço para aplicar restrições. Por exemplo, é possível limitar a duração da sessão a no máximo uma hora para todos os aplicativos em uma organização ou para um aplicativo específico.

Há dois tipos de políticas que podem ser usados para configurar a reautenticação:

Mínimo: se o tipo de política estiver definido como MINIMUM em um recurso, como uma organização, as duas configurações serão mescladas ao avaliar as configurações de reautenticação no recurso de nível inferior, como uma pasta. Se o recurso de nível inferior não tiver configurações de reautenticação, o resultado combinado será as configurações não vazias do recurso de nível superior. Caso contrário, a mesclagem vai usar a duração da sessão mais curta e o método de reautenticação de maior precedência entre os dois recursos. O tipo de política mesclada resultante é definido como MINIMUM.
Padrão: se o tipo de política for definido como DEFAULT em um recurso, como uma organização, ao avaliar a configuração de reautenticação no recurso de nível inferior, como uma pasta, a configuração do recurso de nível inferior será usada, se configurada. Caso contrário, a configuração de reautenticação do recurso de nível superior será aplicada.

Para os dois tipos de política, o processo de avaliação é repetido para determinar o reauthSettings do serviço ou aplicativo de destino. As reauthSettings efetivas em qualquer nível são determinadas da seguinte maneira:

Herança: as configurações do recurso de nível superior são mescladas com as do recurso de nível inferior.
Regras de mesclagem: se o recurso de nível inferior não tiver configurações de reautenticação específicas, ele herdará as configurações do nível superior.

Se os dois níveis tiverem reauthSettings, o resultado combinado vai usar o seguinte:
- A duração mais curta da sessão.
- O método de reautenticação com maior precedência.
- A precedência é Secure key (mais alta), Enrolled second factors (média) e Login (mais baixa).
Tipo de política resultante: o tipo de política das configurações combinadas é MINIMUM.

Os exemplos a seguir mostram as configurações antes e depois da avaliação. Durante a avaliação, a pasta e a organização reauthSettings são mescladas, resultando na alteração do tipo de política da pasta para MINIMUM. As configurações mescladas são usadas para mesclar com o reauthSettings do serviço ou aplicativo.

Organização IapSettings:

accessSettings:
  reauthSettings:
    method: "ENROLLED_SECOND_FACTORS"
    maxAge: "3600s"
    policyType: "MINIMUM"

IapSettings de pasta:

accessSettings:
  reauthSettings:
    method: "LOGIN"
    maxAge: "1200s"
    policyType: "DEFAULT"

Serviço ou aplicativo IapSettings:

accessSettings:
  reauthSettings:
    method: "SECURE_KEY"
    maxAge: "7200s"
    policyType: "DEFAULT"

Configurações após a mesclagem:

Organização IapSettings:

accessSettings:
  reauthSettings:
    method: "ENROLLED_SECOND_FACTORS"
    maxAge: "3600s"
    policyType: "MINIMUM"

IapSettings de pasta:

accessSettings:
  reauthSettings:
    method: "ENROLLED_SECOND_FACTORS"
    maxAge: "1200s"
    policyType: "MINIMUM"

Serviço ou aplicativo IapSettings:

accessSettings:
  reauthSettings:
    method: "SECURE_KEY"
    maxAge: "1200s"
    policyType: "MINIMUM"

Neste exemplo, se o tipo de política de cada recurso for definido como DEFAULT, o reauthSettings do serviço ou aplicativo será usado.

MaxAge

Use o parâmetro maxAge para especificar a frequência com que um usuário final precisa se autenticar novamente, indicada em segundos. Por exemplo, para definir uma política de reautenticação de uma hora, defina os segundos como 3600, conforme mostrado no exemplo a seguir:

accessSettings:
  reauthSettings:
    method: "LOGIN"
    maxAge: "3600s"
    policyType: "MINIMUM"

O valor mínimo para maxAge é de 300 segundos ou cinco minutos.

Para definir uma política de reautenticação, siga estas etapas.

Console

Acesse a página do IAP.
Acessar a página "Identity-Aware Proxy"
Selecione um projeto e, em seguida, o recurso em que você quer definir uma política de reautenticação.
Abra as Configurações do recurso e, em Política de reautenticação, selecione Configurar reautenticação.
Especifique as configurações de reautenticação e clique em Salvar.

gcloud

É possível definir uma política de reautenticação em recursos e serviços no nível da organização, do projeto e da pasta. Veja a seguir alguns exemplos de comandos para definir uma política de reautenticação.

Para ver mais informações, consulte gcloud iap settings set.

Execute este comando:

gcloud iap settings set SETTING_FILE [--organization=ORGANIZATION --folder=FOLDER --project=/PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE --version=VERSION

Para definir uma política de reautenticação nos recursos de uma organização, execute o seguinte comando:

gcloud iap settings set SETTING_FILE --organization=ORGANIZATION

Para definir uma política de reautenticação nos recursos de uma pasta, execute o seguinte comando:

gcloud iap settings set SETTING_FILE --folder=FOLDER

Para definir uma política de reautenticação em todos os recursos do tipo Web em um projeto, execute o seguinte comando:

gcloud iap settings set SETTING_FILE --project=PROJECT --resource-type=iap_web

Para definir uma política de reautenticação em um serviço do App Engine em um projeto, execute o seguinte comando:

gcloud iap settings set SETTING_FILE --project=PROJECT --resource-type=app-engine --service=SERVICE

Onde SETTING_FILE é:

accessSettings:
  reauthSettings:
    method: "LOGIN"
    maxAge: "3600s"
    policyType: "MINIMUM"

Substitua:

FOLDER: o ID da pasta.
ORGANIZATION: o ID da organização.
PROJECT: o ID do projeto.
RESOURCE_TYPE: o tipo de recurso do IAP. Precisa ser app-engine, iap_web, compute, organization ou folder.
SERVICE: o nome do serviço. Isso é opcional quando resource-type está definido como compute ou app-engine.
VERSION: o nome da versão. Isso não é aplicável ao tipo de recurso compute e é opcional para o tipo de recurso app-engine.

API

Execute o comando a seguir para preparar um arquivo iap_settings.json. Atualize os valores conforme necessário.

cat << EOF > iap_settings.json
{
  "access_settings": {
      "reauth_settings": {
            "method": "LOGIN",
            "maxAge": "300s",
            "policy_type": "DEFAULT"
        }
    }
}
EOF

Para ver o nome do recurso, execute o comando gcloud iap settings get. Copie o campo de nome da saída. Você vai precisar do nome na próxima etapa.

gcloud iap settings get [--organization=ORGANIZATION --folder=FOLDER --project=/PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE --version=VERSION]

Substitua RESOURCE_NAME no comando a seguir pelo nome da etapa anterior. O IapSettings será atualizado.

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Accept: application/json" \
-H "Content-Type: application/json" \
-d @iap_settings.json \
"https://iap.googleapis.com/v1/RESOURCE_NAME:iapSettings?updateMask=iapSettings.accessSettings.reauthSettings"

Como entender as credenciais de reautenticação

Após a reautenticação, o IAP cria um cookie no navegador do usuário final. Para evitar a reautenticação frequente de aplicativos no mesmo domínio, o cookie é definido no domínio privado de nível superior e é válido para todo o domínio.

Por exemplo, foo.example.com é um recurso protegido pelo IAP e tem uma política de reautenticação do IAP. Após uma reautenticação bem-sucedida, o IAP define um cookie em example.com porque esse é o domínio privado de nível superior. Os aplicativos do mesmo domínio privado de nível superior, como bar.example.com, usam as mesmas credenciais de reautenticação e não solicitam que o usuário se reautentique enquanto as credenciais forem válidas.

Para URLs como myapp.appspot.com, appspot.com é um domínio público. Portanto, o domínio particular de nível superior é myapp.appspot.com.

Limitações conhecidas

A reautenticação é compatível apenas com fluxos de navegador. O acesso programático à conta de usuário não é compatível. Por exemplo, aplicativos para dispositivos móveis e computadores não podem reautenticar usuários porque os recursos que exigem reautenticação são inacessíveis para esses aplicativos.
As contas de serviço e o IAP-TCP estão isentos dos requisitos de reautenticação.
A reautenticação não funciona com o tipo de membro do Identity and Access Management allUsers.
Identidades externas, como OAuth e SAML, não são compatíveis com a reautenticação.
As identidades da federação de identidade de colaboradores não são compatíveis com a reautenticação do IAP.

Reautenticação do IAP Mantenha tudo organizado com as coleções Salve e categorize o conteúdo com base nas suas preferências.