Identity-Aware Proxy IAP

Définition

Identity-Aware Proxy (IAP) est un service Google Cloud Platform implémentant un proxy d'accès basé sur l'identité qui contrôle l'accès aux applications et aux ressources cloud sans nécessiter de VPN. IAP vérifie l'identité de l'utilisateur (via Google Identity ou un IdP fédéré) et son appartenance à des groupes autorisés avant d'autoriser l'accès à une application, implémentant le principe Zero Trust au niveau applicatif. IAP fonctionne comme un proxy devant vos applications (App Engine, GCE, GKE, Cloud Run, ou services on-premises via IAP Connector). Chaque requête est interceptée par IAP qui vérifie : l'identité de l'utilisateur (authentification via Google SSO ou SAML), les permissions IAM de l'utilisateur sur la ressource IAP (le rôle IAP-secured Web App User), et optionnellement la politique d'accès contextuel (posture de l'appareil, adresse IP, attributs de sécurité). Si les trois conditions sont satisfaites, la requête est transmise à l'application. IAP est la solution Google Cloud implémentant BeyondCorp Enterprise : il remplace le VPN traditionnel pour accéder aux applications internes. Au lieu de permettre l'accès réseau complet via VPN (accès à tout le réseau interne), IAP donne accès uniquement à l'application spécifique (accès au niveau applicatif), après vérification de l'identité et de la posture de l'appareil. Cette approche réduit considérablement la surface d'attaque. Les politiques d'accès contextuel IAP permettent de définir des conditions d'accès basées sur : l'adresse IP ou le subnet, le niveau de sécurité de l'appareil (Device Policy - appareil géré, Chrome OS, version d'OS, chiffrement), les attributs du compte utilisateur (membre de groupes spécifiques, niveau de vérification en deux étapes), et les custom attributes provenant d'un endpoint verification agent. IAP for TCP tunneling étend le modèle IAP aux connexions TCP arbitraires (SSH, RDP, bases de données) via des tunnels IAP chiffrés, permettant d'accéder aux instances GCE sans adresse IP publique et sans VPN, uniquement avec une identité Google et les permissions IAM appropriées.