Fehlerbehebung und häufig gestellte Fragen

Dieses Dokument enthält Informationen zur Fehlerbehebung und Antworten auf häufig gestellte Fragen zu Identity-Aware Proxy (IAP).

Fehlerbehebung bei der Webanmeldung

Wenn bei der Anmeldung oder beim Zugriff auf Ihre Anwendung Fehler auftreten, kann es hilfreich sein, den Netzwerkverkehr Ihres Browsers zu untersuchen, um das Problem zu diagnostizieren.

Netzwerkverkehr prüfen

1. Öffnen Sie in Ihrem Browser ein neues Inkognitofenster (Chrome) oder privates Fenster.
2. Öffnen Sie die Entwicklertools Ihres Browsers und rufen Sie den Tab Netzwerk auf.
3. Wählen Sie die Option Protokoll beibehalten aus, um alle Anfragen während der Weiterleitungen zu erfassen.
4. Reproduzieren Sie das Problem, indem Sie die URL aufrufen, bei der Probleme auftreten.
5. Sehen Sie sich die Netzwerkanfragen im Log an, um herauszufinden, wo der Fehler aufgetreten ist.

Netzwerkverkehr analysieren

Wenn Sie auf eine IAP-geschützte Anwendung zugreifen, werden Sie zur Anmeldeseite weitergeleitet. Nach erfolgreicher Authentifizierung beim Identitätsanbieter wird eine Anfrage an die https://iap.googleapis.com-Domain gesendet, um die Authentifizierung abzuschließen, bevor ein IAP-Cookie ausgestellt und Sie zur Anwendung weitergeleitet werden.

Sie können Fehler anhand der Domain beheben, in der sie auftreten:

• Fehler auf iap.googleapis.com: Wenn auf der Domain iap.googleapis.com ein Fehler auftritt, wird auf der Seite eine detaillierte Fehlermeldung angezeigt. Wenn der Fehler mit Ihren IAP-Einstellungen zusammenhängt, z. B. mit Problemen mit dem OAuth-Client, passen Sie Ihre Einstellungen an. Wenn Clientfehler auftreten, die Sie nicht beheben können, oder wenn Serverfehler auftreten, öffnen Sie ein Google Cloud Support-Ticket.
• Fehler in Ihrer Anwendungsdomain: Wenn ein Fehler auftritt, nachdem Sie zu Ihrer IAP-geschützten Anwendungsdomain weitergeleitet wurden, wird ein Fehlercode angezeigt. Weitere Informationen zu häufigen Fehlern finden Sie im Abschnitt Fehlercodes. Wenn Sie das Problem nicht beheben können, öffnen Sie ein Google Cloud Support-Ticket.

Welche Anwendungen kann ich mit IAP schützen?

IAP kann mit Folgendem verwendet werden:

• Apps in der App Engine-Standardumgebung und in der flexiblen App Engine-Umgebung
• Compute Engine-Instanzen mit HTTP(S)-Load-Balancing-Backend-Diensten
• Google Kubernetes Engine-Container
• Cloud Run-Apps mit Backend-Diensten für HTTP(S)-Load-Balancing
• Cloud Run mit einem Klick und ohne Load-Balancing-Backend-Dienste

IAP kann nicht mit Cloud CDN verwendet werden.

Warum steht ein # am Ende meiner URL, nachdem ich mich bei meiner Anwendung angemeldet habe?

In einigen Browsern und unter bestimmten Bedingungen kann nach der Authentifizierung ein # an die URL angehängt werden. Das hat keine spezielle Bedeutung und verursacht beim Anmelden keine Probleme.

Warum schlagen meine Anfragen fehl und geben 405 Method Not Allowed zurück?

Das passiert in der Regel, wenn Ihren Anfragen keine Cookies angehängt sind. Mit JavaScript-Methoden werden standardmäßig keine Cookies angehängt.

Für die verschiedenen Anfragemethoden sind unterschiedliche Ansätze erforderlich:

• Setzen Sie für XMLHttpRequest den Wert withCredentials auf true.
• Legen Sie für die Fetch API credentials auf include oder same-origin fest.

Informationen zum Beheben von sitzungsbezogenen Fehlern finden Sie unter IAP-Sitzungen verwalten.

Warum erhalte ich eine HTTP 401 Unauthorized anstelle einer 302 Redirect?

IAP sendet 302 Redirect nur, wenn Ihr Client für die Verarbeitung von Weiterleitungen konfiguriert ist.

Fügen Sie Ihren Anfrageheadern HTTP Accept="text/html,*/*" hinzu, um die Unterstützung für Weiterleitungen anzugeben.

Warum lösen POST-Anfragen keine Weiterleitungen aus?

Browser leiten nicht als Reaktion auf POST-Anfragen weiter. Stattdessen gibt IAP den Statuscode 401 Unauthorized zurück.

Fügen Sie für POST-Anfragen an IAP-gesicherte Ressourcen eines der folgenden Elemente ein:

• Ein ID-Token in einem Authorization: Bearer-Header
• Gültige Cookies (siehe Sitzungen aktualisieren)

Kann ich IAP verwenden, wenn ich die API deaktiviert habe?

Ja. Auf Ressourcen, die durch IAP geschützt sind, kann weiterhin zugegriffen werden, wenn die API deaktiviert ist. Sie können jedoch keine IAM-Berechtigungen ändern.

Wie kann ich verhindern, dass Nutzer mit der Rolle „Inhaber“ IAP für TCP verwenden?

Idealerweise sollten Sie die Rolle „Inhaber“ (roles/owner) nur eingeschränkt verwenden und stattdessen detailliertere Berechtigungen nutzen. Best Practices für IAM

Wenn das nicht möglich ist, können Sie IAP für TCP mit Firewallregeln blockieren.

Welche Domain verwendet IAP für TCP?

IAP verwendet die folgenden Google-eigenen Domains:

• tunnel.cloudproxy.app
• mtls.tunnel.cloudproxy.app (wenn zertifikatbasierter Zugriff aktiviert ist)

Warum erhalte ich Server Error?

Wenn Sie Folgendes sehen:

The server encountered a temporary error and could not complete your request. Please try again in 30 seconds.

Möglicherweise blockiert Ihre Firewall die IP-Adressen des Load-Balancers.

Prüfen Sie, ob Ihre Firewall Traffic von 130.211.0.0/22 und 35.191.0.0/16 zulässt. Wenn diese IPs Ihr Backend nicht erreichen können, sind Ihre Anwendungen nicht zugänglich.

Achten Sie bei IAP-TCP-Verbindungen zu bestimmten VMs auch darauf, dass die VM Verbindungen aus dem Bereich 35.235.240.0/20 akzeptiert.

Warum erhalte ich zeitweise interne Serverfehler?

Meldungen wie An internal server error occurred while authorizing your request. Error code X weisen auf Backend-Fehler hin.

Die Fehlercodes 1, 30, 62, 63, 64 oder 703 weisen in der Regel auf vorübergehende Probleme hin. Implementieren Sie einen exponentiellen Backoff für Wiederholungsversuche.

Identity Platform-Fehler beheben (Fehlercode 38)

Der Fehlercode 38 weist darauf hin, dass die Identity Platform-Authentifizierungs-URL für Ihre externe Identität in IAP nicht richtig konfiguriert ist.

So finden Sie die URL:

1. Rufen Sie die IAP-Seite auf.

   Zu IAP

2. Klicken Sie auf den Tab Anwendungen.

3. Suchen Sie in der Spalte Ressource nach Ihrer Anwendung und aktivieren Sie das Kästchen.

4. Prüfen Sie, ob die URL unter Authentifizierungs-URL oder Log-in-URL korrekt ist.

Informationen zur Verwendung externer Identitäten mit IAP finden Sie unter Nutzer mit externen Identitäten authentifizieren.

Wie kann ich Fehler aufgrund von überschrittenen Kontingenten (Fehlercode 429) beheben?

Der Fehlercode 429 tritt auf, wenn Ihre Anwendung die Anfragelimits von IAP überschreitet. Für den Dienst gelten separate Kontingente:

• Browserbasierte Anfragen:360.000 pro Minute und Projekt
• Programmatische Anfragen:360.000 pro Minute und Projekt

Eine programmatische Anfrage enthält einen AUTHORIZATION- oder PROXY-AUTHORIZATION-Header und kein IAP-Cookie. Alle anderen Anfragen (einschließlich derer ohne Anmeldedaten) gelten als Browseranfragen.

Diese Limits gelten gemeinsam für alle IAP-geschützten Ressourcen in Ihrem Projekt.

Wenn Sie Fehler im Zusammenhang mit Kontingenten erhalten, können Sie Folgendes versuchen:

• Vermeiden Sie Lasttests in der Produktion. Verwenden Sie stattdessen alternative Netzwerkpfade, die IAP umgehen.
• Implementieren Sie für den Dienst-zu-Dienst-Traffic exponentiellen Backoff, um 429-Fehler ordnungsgemäß zu behandeln.
• Anwendungen mit hohem Traffic auf mehrere Projekte verteilen
• Verwenden Sie Apigee oder ähnliche API-Gateway-Lösungen für API-basierte Anwendungen.
• Wenden Sie sich an den Google Cloud Support, um eine Kontingenterhöhung zu beantragen, wenn das Problem durch organisches Wachstum verursacht wird.

Anmeldeprobleme oder unerwartetes Verhalten bei IAP mit der Identity Platform

Wenn Sie einen Drittanbieter-Identitätsanbieter (IdP) mit Identity Platform verwenden, können große Anspruchsdaten im ID-Token dazu führen, dass das IAP-Sitzungscookie die Größenbeschränkungen des Browsers (in der Regel etwa 4 KB) überschreitet. IAP speichert Sitzungsinformationen, einschließlich dieser Ansprüche, in Browser-Cookies.

Das Überschreiten des Sitzungscookie-Größenlimits kann zu Anmeldefehlern oder Endlosschleifen bei der Anmeldung führen. So können Sie diese Probleme vermeiden:

• Ansprüche reduzieren: Konfigurieren Sie Ihren Drittanbieter-IdP so, dass nur wichtige Ansprüche an Identity Platform gesendet werden. Minimieren Sie die Größe und Anzahl der im Token enthaltenen Behauptungen.

• Cookie-Größe prüfen: Verwenden Sie die Entwicklertools des Browsers, um die Größe der Cookies zu prüfen, die in der Domain Ihrer Anwendung gesetzt werden. Achten Sie auf Warnungen zur Cookie-Größe, insbesondere bei IAP-bezogenen Cookies.

• Minimale Ansprüche testen: Konfigurieren Sie den IdP vorübergehend so, dass er die kleinstmögliche Gruppe von Ansprüchen sendet. Wenn das Problem dadurch behoben wird, ist die Größenbeschränkung für Cookies die Ursache.

Warum erhalte ich den HTTP‑Fehler 502 mit der Meldung „Empty Google Account OAuth client ID(s)/secret(s)“?

Wenn Sie auf Ihre IAP-gesicherte Anwendung zugreifen und den Fehler HTTP 502 Bad Gateway mit der Meldung Empty Google Account OAuth client ID(s)/secret(s). erhalten, kann IAP keine OAuth-Anmeldedaten für Ihre Anwendung finden.

Dieser Fehler tritt in der Regel in den folgenden Szenarien auf:

• Das Projekt gehört nicht zu einer Organisation:Der von Google verwaltete Standard-OAuth-Client ist nur für Projekte verfügbar, die zu einerGoogle Cloud Organisation gehören. Wenn Ihr Projekt nicht zu einer Organisation gehört, müssen Sie benutzerdefinierte OAuth-Anmeldedaten für App Engine oder für die jeweilige Plattform konfigurieren.
• Die OAuth-Anmeldedaten wurden gelöscht oder nicht konfiguriert:Wenn Sie zuvor benutzerdefinierte OAuth-Anmeldedaten konfiguriert haben und der OAuth-Client gelöscht wurde, erstellen Sie die Anmeldedaten auf der Seite Anmeldedaten neu und aktualisieren Sie Ihre IAP-Einstellungen wie unter Benutzerdefinierte OAuth-Clients mit IAP verwenden beschrieben.

Fehlercodes

In der folgenden Tabelle sind häufig auftretende Fehlercodes und Nachrichten aufgeführt, die beim Konfigurieren und Anwenden von IAP zurückgegeben werden.

Wenn Sie das Problem nicht beheben können oder Ihr Fehler auf dieser Seite nicht aufgeführt ist, wenden Sie sich mit einer Beschreibung des Fehlers und der Antwort, die Sie von einem GET-Aufruf an die API erhalten, an den Cloud Customer Care. Entfernen Sie den Clientschlüssel aus der Antwort.