啟用外部身分

本文說明如何設定 Identity-Aware Proxy (IAP) 以使用外部身分。結合 IAP 和 Identity Platform，您就能透過多種識別資訊提供者 (例如 OAuth、SAML、OIDC 等) 驗證使用者，而不僅限於 Google 帳戶。

啟用及設定 Identity Platform

IAP 會使用 Identity Platform 驗證外部身分。如要瞭解如何啟用，請參閱「Identity Platform 快速入門導覽課程」。

如要使用多個租戶，也請按照「開始使用多租戶功能」中的步驟操作。如果不需要隔離資源，可以略過這個步驟，在專案層級設定所有提供者。如果不確定是否要啟用多用戶群架構，請參閱外部身分總覽。

最後，您需要啟用供應商。快速入門導覽課程說明如何使用簡單的使用者名稱和密碼驗證，但 Identity Platform 支援多種提供者類型，包括：

  • 電子郵件地址和密碼

  • OAuth (例如 Google、Facebook、Twitter 等)

  • SAML

  • OIDC

  • 電話號碼

  • 匿名

如要瞭解如何設定其他提供者，請參閱 Identity Platform 說明文件的其他部分。請注意，電話號碼和匿名驗證不支援多用戶群。IAP 不支援透過電子郵件連結進行無密碼登入。

啟用 IAP 以使用外部身分

設定 Identity Platform 後，即可設定 IAP，使用該平台進行驗證。

  1. 在 Google Cloud 控制台中開啟「IAP」頁面。
    開啟 IAP 頁面

  2. 選取您設定 Identity Platform 時使用的專案。不支援使用不同專案。

  3. 選取「應用程式」分頁標籤。

  4. 找出要使用 IAP 限制存取權的服務。

  5. 將 IAP 欄中的切換鈕設為「開啟」。

  6. 在側邊面板中，按一下「Use external identities for authorization」(使用外部身分進行驗證) 方塊中的「Start」(開始)。

  7. 確認選項無誤。

  8. 在 Identity Platform 側邊面板中：

    1. 選擇要自行建構登入頁面，或由 IAP 建立。

      讓 IAP 建立登入頁面是最快的入門方式。您不需要部署額外服務或編寫任何新程式碼，只要使用 JSON 即可指定微幅自訂。詳情請參閱「在 Cloud Run 上託管驗證 UI」。

      網域限定共用：如果專案受組織政策中的網域限制共用限制，則預設無法建立公開服務。您可以使用標記和條件式政策，將特定服務排除在這項限制之外。詳情請參閱網誌文章，瞭解如何在強制執行網域限定共用時，建立公開 Cloud Run 服務。

      自行建構頁面較為複雜，但可讓您完全控管驗證流程和體驗。詳情請參閱「使用 FirebaseUI 建立驗證 UI」和「建立自訂驗證 UI」。

    2. 如果選擇自行建構 UI，請輸入驗證網址。IAP 會將收到的未經驗證要求重新導向至這個網址。

      您可以選擇是否在網址中加入 API 金鑰。如未提供金鑰， Google Cloud 控制台會自動附加預設金鑰。

    3. 選取要使用「專案供應商」或「租戶」。

    4. 勾選要啟用的供應商或租戶方塊。如需修改供應商或租戶，請選取「Configure providers」。

  9. 按一下「儲存」。

恭喜！IAP 已設為使用外部身分驗證使用者。

改回使用 Google Identity

使用外部身分時，無法透過 IAM 授權。如要改回使用 Google 身分，以便運用 IAM，請按照下列步驟操作：

  1. 返回 Google Cloud 控制台的「IAP」頁面。
    開啟 IAP 頁面

  2. 選取已設定使用 IAP 的資源。

  3. 開啟 Identity Platform 資訊面板。

  4. 選取「使用 IAM 管理這項資源」。

請注意，切換回 Google Identity 會清除驗證網址，以及相關聯的專案和租戶。

後續步驟