Fortalece la seguridad de tu aplicación en App Engine con capas de acceso simples y efectivas usando Identity Aware Proxy (IAP). A diferencia de las Firewall Rules, IAP opera a nivel de aplicación y se integra con el servicio de autenticación de Google para permitir o restringir acceso por correos y grupos de Gmail, incluso en otros productos de Google Cloud Platform.
¿Qué es Identity Aware Proxy y por qué usarlo?
IAP es un servicio que filtra el acceso antes de llegar a tu aplicación. En lugar de trabajar por sectores de red o IP como las Firewall Rules, controla quién entra usando el login de Google. Puedes autorizar cuentas o grupos y bloquear el resto.
Funciona en App Engine y en más productos de Google Cloud Platform.
Usa Google Sign-in para autenticar usuarios.
Verifica permisos con Cloud IAM antes de permitir acceso.
Simplifica el control: otorgas acceso a correos específicos o grupos.
Permite denegar por defecto y abrir solo a quienes elijas.
¿Cómo se activa IAP en Google Cloud Platform paso a paso?
Activarlo toma pocos clics y cambia de raíz cómo administras el acceso: por identidad, no por red. Así, solo quienes estén en tu lista podrán ver la aplicación.
¿Dónde encontrar IAP en la consola?
Entra a la consola de Google Cloud Platform y elige tu proyecto de App Engine.
Abre Productos y ve a la sección de Security.
Si no lo ves de inmediato, búscalo entre herramientas de desarrollo cerca de Endpoints, Data y Caching.
Entra a Identity Aware Proxy.
¿Qué cuentas o grupos añadir?
Selecciona el recurso detectado automáticamente por IAP.
Agrega los correos o grupos de Gmail que tendrán acceso.
Define en qué URLs se activará IAP.
Haz clic en Activar y espera unos segundos.
¿Cómo verificar el acceso?
Intenta entrar con una cuenta distinta a la autorizada: verás acceso denegado.
Abre una ventana en incógnito y pega la misma URL.
Inicia sesión con la cuenta autorizada mediante Google Sign-in.
Si Cloud IAM valida tus permisos, podrás usar la aplicación.
¿Cómo funciona el flujo de autenticación con Google Sign-in e IAM?
IAP actúa como guardián antes de tu backend. El usuario primero enfrenta a Cloud IAP, luego se autentica con Google Sign-in. Después, Cloud IAM comprueba si esa identidad tiene autorización para el recurso protegido. Si la tiene, el acceso procede; si no, se bloquea.
Usuario solicita acceso a la aplicación.
Cloud IAP exige autenticación con Google Sign-in.
Cloud IAM verifica permisos del usuario autenticado.
Con permisos válidos, se permite el uso de la aplicación.
En conjunto, estas herramientas de seguridad de App Engine te ayudan a proteger mejor tu aplicación. No son obligatorias, pero sí recomendables para mantener el acceso bajo control a nivel de correos y grupos.
¿Tienes dudas sobre la configuración o casos de uso con IAP y App Engine? Cuéntalo en los comentarios y comparte cómo gestionas el acceso en tu equipo.
