Google Cloud IAP 1.17.0版本发布：新增Workforce Identity Federation支持

Google Cloud Identity-Aware Proxy (IAP) 是Google Cloud提供的一项安全服务，它允许管理员控制谁可以访问在Google Cloud上运行的应用程序和服务。IAP通过验证用户身份并强制执行访问权限，为应用程序添加了一层额外的安全保护。

主要新特性

Workforce Identity Federation支持

本次1.17.0版本最重要的更新是增加了对Workforce Identity Federation的支持。通过新增的两个字段AccessSettings.workforce_identity_settings和AccessSettings.identity_sources，用户现在可以将IAP与Workforce Identity Federation结合使用。

Workforce Identity Federation允许组织使用现有的身份提供商(如Microsoft Active Directory)来管理对Google Cloud资源的访问，而无需在Google Cloud中维护单独的用户账户。这一功能的加入使得企业能够更灵活地集成现有的身份管理系统，简化了身份验证流程。

字段变更与优化

新增字段说明

1. AccessSettings.workforce_identity_settings：配置Workforce Identity Federation相关的设置
2. AccessSettings.identity_sources：指定身份源的相关配置

可选字段标记

为了提高API的灵活性，本次更新将多个字段标记为可选(optional)，包括：

• access_denied_page_settings（在ApplicationSettings消息中）
• access_settings（在IapSettings消息中）
• allowed_domains_settings（在AccessSettings消息中）
• application_settings（在IapSettings消息中）
• attribute_propagation_settings（在ApplicationSettings消息中）
• cors_settings（在AccessSettings消息中）
• csm_settings（在ApplicationSettings消息中）
• gcip_settings（在AccessSettings消息中）
• oauth_settings（在AccessSettings消息中）
• reauth_settings（在AccessSettings消息中）

这些变更使得API使用更加灵活，开发者可以根据实际需求选择性地配置这些选项。

文档更新与注释改进

本次更新还对多个字段的注释进行了改进和澄清：

1. 修改了PolicyType枚举的注释说明
2. 更新了TunnelDestGroup消息中多个字段的注释：
   • cidrs：关于CIDR块的说明
   • fqdns：关于完全限定域名(FQDN)的说明
   • name：关于名称字段的说明

这些文档改进有助于开发者更清晰地理解各个字段的用途和限制。

技术影响与最佳实践

对于正在使用或计划使用Google Cloud IAP的开发者，本次更新带来了以下技术影响：

1. 身份管理灵活性提升：通过Workforce Identity Federation支持，企业可以更轻松地集成现有的身份管理系统，减少身份管理的复杂性。

2. 配置简化：大量字段被标记为可选，使得配置更加简洁，特别是对于那些不需要使用高级功能的场景。

3. 文档清晰度提高：改进的字段注释有助于减少配置错误和理解偏差。

对于升级到1.17.0版本的用户，建议：

• 评估是否需要使用Workforce Identity Federation功能
• 检查现有配置中是否可以利用新标记为可选的字段来简化配置
• 阅读更新后的文档注释，确保对关键字段有准确理解

Google Cloud IAP 1.17.0版本的这些改进进一步增强了其在云安全领域的竞争力，为企业提供了更灵活、更强大的身份验证和访问控制解决方案。