Mengaktifkan identitas eksternal

Artikel ini menunjukkan cara mengonfigurasi Identity-Aware Proxy (IAP) untuk menggunakan identitas eksternal. Dengan menggabungkan IAP dan Identity Platform, Anda dapat mengautentikasi pengguna dengan berbagai penyedia identitas (seperti OAuth, SAML, OIDC, dan lainnya), bukan hanya akun Google.

Mengaktifkan dan mengonfigurasi Identity Platform

IAP menggunakan Identity Platform untuk mengautentikasi identitas eksternal. Lihat Panduan Memulai untuk Identity Platform untuk mempelajari cara mengaktifkannya.

Jika ingin menggunakan beberapa tenant, Anda juga harus mengikuti langkah-langkah dalam Memulai multi-tenancy. Jika tidak perlu mengisolasi resource, Anda dapat melewati langkah ini dan mengonfigurasi semua penyedia di level project. Lihat ringkasan tentang identitas eksternal jika Anda tidak yakin apakah harus mengaktifkan multi-tenancy.

Terakhir, Anda harus mengaktifkan penyedia. Panduan memulai ini menunjukkan cara menggunakan autentikasi nama pengguna dan sandi sederhana, tetapi Identity Platform mendukung berbagai jenis penyedia, termasuk:

  • Email dan sandi

  • OAuth (seperti Google, Facebook, Twitter, dan lainnya)

  • SAML

  • OIDC

  • Nomor telepon

  • Anonim

Lihat dokumentasi Identity Platform lainnya untuk mempelajari cara mengonfigurasi penyedia lain. Perhatikan bahwa nomor telepon dan autentikasi anonim tidak didukung untuk digunakan dengan multi-tenancy. Login tanpa sandi menggunakan link email tidak didukung dengan IAP.

Mengaktifkan IAP untuk menggunakan identitas eksternal

Setelah menyiapkan Identity Platform, Anda dapat mengonfigurasi IAP untuk menggunakannya dalam autentikasi.

  1. Buka halaman IAP di konsol Google Cloud .
    Buka halaman IAP

  2. Pilih project yang sama dengan yang Anda gunakan untuk mengonfigurasi Identity Platform. Penggunaan project yang berbeda tidak didukung.

  3. Pilih tab Applications.

  4. Temukan layanan yang ingin Anda batasi aksesnya menggunakan IAP.

  5. Alihkan tombol di kolom IAP ke On.

  6. Di panel samping, klik Mulai di kotak berlabel Gunakan identitas eksternal untuk otorisasi.

  7. Konfirmasi pilihan Anda.

  8. Di panel samping Identity Platform:

    1. Pilih apakah akan membuat halaman login Anda sendiri, atau meminta IAP membuatnya untuk Anda.

      Membiarkan IAP membuat halaman login adalah cara tercepat untuk memulai. Anda tidak perlu men-deploy layanan tambahan atau menulis kode baru, dan dapat menentukan penyesuaian kecil menggunakan JSON. Lihat Menghosting UI autentikasi di Cloud Run untuk mempelajari lebih lanjut.

      Berbagi yang dibatasi domain: Jika project tunduk pada batasan berbagi yang dibatasi domain dalam kebijakan organisasi, Anda tidak akan dapat membuat layanan publik secara default. Anda dapat menggunakan tag dan kebijakan kondisional untuk mengecualikan layanan tertentu dari batasan ini. Untuk mengetahui informasi selengkapnya, lihat postingan blog tentang membuat layanan Cloud Run publik ketika fitur berbagi yang dibatasi domain diterapkan.

      Membangun halaman Anda sendiri lebih kompleks, tetapi memberi Anda kontrol penuh atas alur dan pengalaman autentikasi. Lihat Membuat UI autentikasi dengan FirebaseUI dan Membuat UI autentikasi kustom untuk informasi selengkapnya.

    2. Jika Anda memilih untuk membuat UI sendiri, masukkan URL Autentikasi. IAP akan mengalihkan permintaan yang tidak diautentikasi yang diterimanya ke URL ini.

      Menyertakan kunci API Anda dalam URL bersifat opsional. Jika Anda tidak memberikan kunci, konsol Google Cloud akan menambahkan kunci default Anda secara otomatis.

    3. Pilih apakah akan menggunakan penyedia project atau tenant.

    4. Centang kotak penyedia atau tenant yang akan diaktifkan. Pilih Configure providers jika Anda perlu mengubah penyedia atau tenant.

  9. Klik Simpan.

Selamat! IAP dikonfigurasi untuk mengautentikasi pengguna dengan identitas eksternal.

Beralih kembali ke identitas Google

Anda tidak dapat menggunakan IAM untuk otorisasi saat menggunakan identitas eksternal. Jika Anda ingin beralih kembali ke identitas Google agar dapat memanfaatkan IAM, ikuti langkah-langkah berikut:

  1. Kembali ke halaman IAP di konsol Google Cloud .
    Buka halaman IAP

  2. Pilih resource yang dikonfigurasi untuk menggunakan IAP.

  3. Buka panel informasi Identity Platform.

  4. Pilih Use IAM to manage this resource.

Perhatikan bahwa beralih kembali ke Google Identity akan menghapus URL autentikasi Anda serta project dan tenant terkait.

Langkah berikutnya