Identity-Aware Proxy (IAP)で Cloud Run サービスにアクセス制限をかける

2023年10月14日 23:00

#目次

実現したいこと
Cloud Run でサービスを立ち上げる
ロードバランサの作成
IAP の設定
動作確認
料金
参考

#実現したいこと

Identity-Aware Proxy (IAP) を使って、Cloud Run で立ち上げたサービスに特定のユーザー (Google アカウント)だけがアクセスできるようにします。

IAPで保護されたCloud Runのページ

ユーザーがアクセスした際の処理の流れを説明します。

Web クライアントからのリクエスト
- ユーザーは何らかのドメイン (example.dev)にアクセスします
- example.dev は Google Cloud 上のロードバランサにルーティングされます
ロードバランサでの処理
- ユーザーからのリクエストをサーバーレスなバックエンドにルーティングします
- IAP を有効にするにはロードバランサが必要です
IAP によるアクセス制御
- ロードバランサ経由で IAP にリクエストが届きます
- IAP は許可されたユーザーからのリクエストのみを許可します
Serverless NEG からのルーティング
- リクエストは Serverless NEG を経由して Cloud Run のサービスにルーティングされます
Cloud Run での処理
- Cloud Run はリクエストを処理し、Web クライアントにレスポンスを返します

Google Cloud 構成図

これを実現するためにいろいろ準備する必要があるので、順に説明します。

Cloud Run でサービスを立ち上げる
ロードバランサの作成
- ドメイン
- 外部 IP アドレス
- SSL 証明書
- Serverless NEG
IAP の設定

#Cloud Run でサービスを立ち上げる

今回は説明用にサンプルのサービスを使います。 Cloud Run のページで [サービスを作成] をクリックして作成画面を開きます。

[サンプルコンテナでテスト] をクリック
リージョンは asia-northeast1 (東京)
- 後で Serverless NEG を作るときには同じリージョンにします
[Ingress の制御] は [内部] と [外部アプリケーションロードバランサからのトラフィックを許可する] にチェック
[認証] は [未認証の呼び出しを許可] にチェック

[Ingress の制御] と [認証] の設定はサービス作成後でも変更できます。

Sample Cloud Run Service

#ロードバランサの作成

Cloud Load Balancing でロードバランサを作っていきます。まずはロードバランサにアクセスするための DNS 設定を行います。その後、ロードバランサを作成し、Cloud Run のサービスに接続できるようにします。

ドメインの用意

ロードバランサにアクセスするために、ドメインを用意する必要があります。ドメインのレジストラは何でも良いです。今回私は検証用に新しくサブドメイン sandbox.9sako6.com を作っておきました。

IP アドレスの予約

VPC ネットワークのIP アドレスにて、外部静的アドレスを予約します。

[タイプ] は [グローバル] にします。

Sample IP

発行された IP アドレスを控えて DNS 設定に移ります。

DNS 設定

自分がドメインを取得したレジストラの管理画面で設定していきます。

設定したいドメインの A レコードに、先ほど発行した IP アドレスを設定します。私は Cloudflare DNS でドメインを管理しているので例として載せます。

Sample DNS

ロードバランサの設定

ネットワークサービスのロードバランシングにて、[ロードバランサを作成] をクリックして作成を開始します。

[アプリケーションロードバランサ（HTTP/S）] で [構成を開始] します
[インターネット接続または内部専用] は [インターネットから VM またはサーバーレスサービスへ] を選択します
[グローバル / リージョン] は [グローバル外部アプリケーションロードバランサ] を選択します

フロントエンドの構成を作っていきます。

[プロトコル] を [HTTPS（HTTP/2 を含む）] にします
[IP address] として、先ほど予約した IP アドレスを選択します
[証明書] は [新しい証明書を作成] から新しい証明書を作成します
- 証明書作成画面で [作成モード] は [Google マネージドの証明書を作成する] を選択します
- 証明書作成画面で [ドメイン] には DNS 設定したドメインを入力します

SSL 証明書のステータスは Certificate Manager の [従来の証明書] タブから確認できます。証明書作成画面での入力を完了した段階では PROVISIONING というステータスになり、完了すると ACTIVE になります。 FAILED_NOT_VISIBLE などの状態になって失敗する場合は SSL 証明書のトラブルシューティングを確認してみてください。

なお、私はこちらの質問を参考に Cloudflare DNS で Proxy を無効にしたら10分後くらいに FAILED_NOT_VISIBLE から ACTIVE になっていました。

Sample new SSL

Sample LB Frontend

次に、バックエンドの構成を作ります。

[バックエンドサービスとバックエンドバケット] で [バックエンドサービスを作成] を選択します
バックエンドサービスの作成画面で [バックエンドタイプ] として [サーバーレスネットワークエンドポイントグループ] を選択します
バックエンドサービスの作成画面で [新しいバックエンド] として新たに Serverless NEG を作成して指定します。
- [新しいバックエンド] の [サーバーレスネットワークエンドポイントグループ] で [サーバーレスネットワークエンドポイントグループの作成] をクリックします
  - サーバーレスネットワークエンドポイントグループの作成画面で、[リージョン] は Cloud Run サービスを立ち上げた asia-northeast1 (東京)にします
  - サーバーレスネットワークエンドポイントグループの作成画面で、[サーバーレスネットワークエンドポイントグループの種類] は [Cloud Run] を選択します
  - サーバーレスネットワークエンドポイントグループの作成画面で、[サービスを選択] から、目的の Cloud Run サービスを選択します

Sample LB Backend