限制資源存取權，僅限特定網域

控制台

1. 前往「IAP」頁面。
   前往 Identity-Aware Proxy。

2. 選取專案，然後選取要啟用允許網域功能的資源。

3. 開啟資源的「設定」。在「允許的網域」下方，選取「啟用允許的網域」。

4. 指定允許的網域清單，然後按一下「儲存」。

gcloud

以下是指定允許網域的部分指令範例。

詳情請參閱「gcloud iap settings set」。

執行下列指令：

gcloud iap settings set SETTING_FILE --folder=FOLDER --organization=ORGANIZATION --project=PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE --version=VERSION

其中 SETTING_FILE 為：

accessSettings:
  allowed_domains_settings:
    enable: true
    domains: ["*.example.com", "*.example.net"]

更改下列內容：

• FOLDER：資料夾 ID。

• ORGANIZATION：組織 ID。

• PROJECT：專案 ID。

• RESOURCE_TYPE：IAP 資源類型。必須是 app-engine、iap_web、compute、organization、folder、backend-services、forwarding-rule 或 cloud-run。

• SERVICE：服務名稱。如果 resource-type 為 compute 或 app-engine，則可視需要提供。

• VERSION：版本名稱。這項屬性不適用於 compute，且當 resource-type 為 app-engine 時，可視需要提供。

您必須指定下列至少一個旗標，定義設定範圍：

• --organization=ORGANIZATION

• --folder=FOLDER

• --project=PROJECT

API

如要設定允許的網域，請完成下列步驟。如要進一步瞭解如何使用 API 設定允許的網域，請參閱「IapSettings」。

1. 執行下列指令，準備 iap_settings.json 檔案。視需要更新值。

   {
    "access_settings": {
        "allowed_domains_settings": {
            "enable": true,
            "domains": [
                "*.example.com",
                "*.example.net"
            ]
        }
    }
   }
   

2. 執行 gcloud iap settings get 指令，取得資源名稱。複製輸出內容中的名稱欄位。您會在後續步驟中用到這個名稱。

   gcloud iap settings get --organization=ORGANIZATION --folder=FOLDER --project=PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE --version=VERSION
   

3. 在下列指令中，將 RESOURCE_NAME 替換為上一步驟中的名稱。IapSettings將會更新。

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Accept: application/json" \
   -H "Content-Type: application/json" \
   -d @iap_settings.json \
   "https://iap.googleapis.com/v1/RESOURCE_NAME:iapSettings?updateMask=iapSettings.accessSettings.allowedDomainsSettings.enable,iapSettings.accessSettings.allowedDomainsSettings.domains"