O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Solução de problemas e perguntas frequentes

Este documento fornece orientações para a solução de problemas e respostas a perguntas frequentes sobre o Identity-Aware Proxy (IAP).

Se você encontrar erros durante o login ou ao acessar o aplicativo, inspecionar o tráfego de rede do navegador pode ajudar a diagnosticar o problema.

Inspeção do tráfego de rede

Abra uma nova janela Anônima (Chrome) ou Privada no navegador.
Abra as ferramentas para desenvolvedores do navegador e acesse a guia Rede.
Selecione a opção Preserve log para capturar todas as solicitações durante os redirecionamentos.
Reproduza o problema navegando até o URL em que ele está ocorrendo.
Examine as solicitações de rede no registro para identificar onde o erro ocorreu.

Analisar o tráfego de rede

Ao acessar um aplicativo protegido por IAP, você é redirecionado para a página de login. Após a autenticação com o provedor de identidade, uma solicitação é feita ao domínio https://iap.googleapis.com para concluir a autenticação antes que um cookie da IAP seja emitido e você seja redirecionado para o aplicativo.

É possível resolver problemas com base no domínio em que eles ocorrem:

Erros em iap.googleapis.com: se ocorrer um erro no domínio iap.googleapis.com, uma mensagem de erro detalhada será mostrada na página. Se o erro estiver relacionado às configurações da IAP, como problemas com o cliente OAuth, ajuste as configurações. Se você encontrar erros do cliente que não sabe como resolver ou se aparecerem erros de servidor, abra um tíquete de suporte doGoogle Cloud .
Erros no domínio do aplicativo: se um erro ocorrer depois que você for redirecionado para o domínio do aplicativo protegido por IAP, um código de erro será exibido. Consulte a seção Códigos de erro para mais detalhes sobre erros comuns. Se não for possível resolver o problema, abra um tíquete de suporte doGoogle Cloud .

Quais apps posso proteger com o IAP?

A IAP pode ser usada com o seguinte:

Apps do ambiente padrão e do ambiente flexível do App Engine
Instâncias do Compute Engine com serviços de back-end de balanceamento de carga HTTP(S)
contêineres do Google Kubernetes Engine.
Apps do Cloud Run com serviços de back-end de balanceamento de carga HTTP(S)
Cloud Run com um clique e sem serviços de back-end de balanceamento de carga

O IAP não pode ser usado com o Cloud CDN.

Por que há um # no fim do meu URL depois de fazer login no meu app?

Em alguns navegadores e em determinadas condições, um # pode ser anexado ao URL após a autenticação. Isso é normal e não causará problemas ao fazer login.

Por que minhas solicitações estão falhando e retornando `405 Method Not Allowed`?

Isso geralmente acontece quando os cookies não estão anexados às suas solicitações. Os métodos JavaScript não anexam cookies por padrão.

Diferentes métodos de solicitação exigem abordagens diferentes:

Para XMLHttpRequest, defina withCredentials como true.
Para a API Fetch, defina credentials como include ou same-origin.

Para lidar com erros relacionados à sessão, consulte Gerenciar sessões da IAP.

Por que estou recebendo um `HTTP 401 Unauthorized` em vez de um `302 Redirect`?

A IAP envia um 302 Redirect somente quando o cliente está configurado para processar redirecionamentos.

Adicione HTTP Accept="text/html,*/*" aos cabeçalhos da solicitação para indicar suporte a redirecionamentos.

Por que as solicitações POST não estão acionando redirecionamentos?

Os navegadores não redirecionam em resposta a solicitações POST. Em vez disso, a IAP retorna um código de status 401 Unauthorized.

Para solicitações POST a recursos protegidos pela IAP, inclua uma das seguintes opções:

Um token de ID em um cabeçalho Authorization: Bearer
Cookies válidos (consulte atualização de sessões)

Posso usar o IAP se eu tiver desativado a API?

Sim, os recursos protegidos pela IAP permanecem acessíveis quando a API é desativada, mas não é possível modificar as permissões do IAM.

Como impedir que usuários com a função de proprietário usem o IAP para TCP?

O ideal é limitar o uso do papel Proprietário (roles/owner) em favor de permissões mais granulares. Consulte as práticas recomendadas do IAM para orientações.

Se isso não for possível, bloqueie o IAP para TCP usando regras de firewall.

Qual domínio o IAP para TCP usa?

O IAP usa os seguintes domínios do Google:

tunnel.cloudproxy.app
mtls.tunnel.cloudproxy.app (quando o acesso baseado em certificado está ativado)

Por que estou recebendo `Server Error`?

Se você vir:

The server encountered a temporary error and could not complete your request. Please try again in 30 seconds.

É possível que seu firewall esteja bloqueando os IPs do balanceador de carga.

Verifique se o firewall permite tráfego de 130.211.0.0/22 e 35.191.0.0/16. Se esses IPs não puderem acessar seu back-end, os aplicativos ficarão inacessíveis.

Para conexões TCP do IAP com VMs específicas, verifique também se a VM aceita conexões do intervalo 35.235.240.0/20.

Por que estou recebendo erros internos intermitentes do servidor?

Mensagens como An internal server error occurred while authorizing your request. Error code X indicam falhas no back-end.

Os códigos de erro 1, 30, 62, 63, 64 ou 703 geralmente refletem problemas temporários. Implemente a espera exponencial para novas tentativas.

Como corrigir erros do Identity Platform (código do erro 38)

O código de erro 38 indica que o URL de autenticação do Identity Platform para sua identidade externa não está configurado corretamente na IAP.

Para encontrar o URL, faça o seguinte:

Acesse a página do IAP.

Acessar o IAP
Clique na guia Aplicativos.
Na coluna Recurso, encontre seu aplicativo e marque a caixa de seleção.
Em URL de autenticação ou URL de login, verifique se o URL está correto.

Para saber como usar identidades externas com o IAP, consulte Autenticar usuários com identidades externas.

Como posso resolver erros de cota excedida (código do erro 429)?

O código do erro 429 ocorre quando seu aplicativo excede os limites de solicitação do IAP. O serviço aplica cotas separadas:

Solicitações baseadas em navegador:360.000 por minuto por projeto
Solicitações programáticas:360.000 por minuto por projeto

Uma solicitação programática é aquela que inclui um cabeçalho AUTHORIZATION ou PROXY-AUTHORIZATION e nenhum cookie do IAP. Todas as outras solicitações (incluindo as que não têm credenciais) são consideradas solicitações do navegador.

Esses limites se aplicam coletivamente a todos os recursos protegidos pelo IAP no seu projeto.

Se você estiver enfrentando erros relacionados a cotas, considere estas soluções:

Evite testes de carga em produção. Em vez disso, use caminhos de rede alternativos que ignoram o IAP.
Para o tráfego de serviço para serviço, implemente a espera exponencial para lidar com erros 429 de maneira adequada.
Distribua aplicativos de alto tráfego em vários projetos.
Use a Apigee ou soluções semelhantes de gateway de API para aplicativos baseados em API.
Entre em contato com o suporte doGoogle Cloud para aumentar a cota se o problema for causado pelo crescimento orgânico.

Problemas de login ou comportamento inesperado com o IAP usando o Identity Platform

Ao usar um provedor de identidade (IdP) de terceiros com a Identity Platform, grandes dados de declarações no token de ID podem fazer com que o cookie de sessão do IAP exceda os limites de tamanho do navegador (normalmente, cerca de 4 KB). A IAP armazena informações de sessão, incluindo essas declarações, em cookies do navegador.

Exceder o limite de tamanho do cookie de sessão pode causar falhas de login ou loops de login infinitos. Para evitar esses problemas, considere as seguintes ações:

Reduza as declarações: configure seu IdP de terceiros para enviar apenas declarações essenciais ao Identity Platform. Minimize o tamanho e o número de declarações incluídas no token.
Inspecionar o tamanho do cookie: use as ferramentas para desenvolvedores do navegador e verifique o tamanho dos cookies definidos no domínio do seu aplicativo. Procure avisos relacionados ao tamanho do cookie, principalmente para cookies relacionados a IAP.
Teste declarações mínimas: configure temporariamente o IdP para enviar o menor conjunto possível de declarações. Se isso resolver o problema, vai confirmar que a limitação do tamanho do cookie é a causa raiz.

Por que estou recebendo um erro HTTP 502 com "Empty Google Account OAuth ID do cliente(s)/secret(s)"?

Se você acessar o aplicativo protegido pelo IAP e receber um erro HTTP 502 Bad Gateway com a mensagem Empty Google Account OAuth client ID(s)/secret(s)., o IAP não vai encontrar as credenciais do OAuth para seu aplicativo.

Esse erro geralmente ocorre nos seguintes cenários:

O projeto não pertence a uma organização:o cliente OAuth padrão gerenciado pelo Google está disponível apenas para projetos que pertencem a umaGoogle Cloud organização. Se o projeto não pertencer a uma organização, configure credenciais OAuth personalizadas para o App Engine ou para sua plataforma.
As credenciais do OAuth foram excluídas ou não foram configuradas:se você configurou credenciais personalizadas do OAuth e o cliente OAuth foi excluído, recrie as credenciais na página "Credenciais" e atualize as configurações do IAP conforme descrito em Usar clientes OAuth personalizados com o IAP.

Códigos de erro

A tabela a seguir lista códigos de erro comuns e mensagens retornadas ao configurar e usar o IAP.

Código do erro	Descrição	Solução de problemas
7, HTTP 502	ID do cliente ou chave secreta do OAuth vazia (`Empty Google Account OAuth client ID(s)/secret(s).`)	Se o projeto não pertencer a uma organização, configure credenciais OAuth personalizadas. Caso contrário, acesse a página "Credenciais" para verificar seu ID do cliente e secret ou confira as configurações usando métodos de API (`GET` para o Compute Engine e `GET` para o App Engine) e redefina-os com `PATCH`. Para mais informações, consulte Erro HTTP 502.
9	Falha no redirecionamento do OAuth	Esse é um erro interno que foi registrado automaticamente. Você não precisa fazer nada.
9 (com regras de substituição de caminho)	Falha no redirecionamento do OAuth	As regras de substituição de caminho do balanceador de carga estão impedindo a conclusão do OAuth. Verifique se todos os back-ends atrás do balanceador de carga usam IDs de cliente OAuth idênticos. É possível atualizar isso usando o comando gcloud compute backend-services update.
9 (com regras de roteamento de rota)	Falha no redirecionamento do OAuth	Crie variantes de regras de caminho para as duas versões de cada caminho (com e sem barras finais) e direcione-as para o mesmo back-end. Por exemplo, inclua regras para `/path/` e `/path`.
11	ID do cliente OAuth configurado incorretamente	Verifique o ID do cliente e a chave secreta na página "Credenciais". Se elas parecerem corretas, mas não estiverem funcionando, use métodos de API para verificar as configurações (`GET` para o Compute Engine, `GET` para o App Engine) e redefina-as com `PATCH`.
13	Token OIDC inválido	Acesse a página Credenciais para confirmar se o ID do cliente não foi excluído ou modificado incorretamente.
51	O navegador não tem suporte para pool de conexões	Peça aos usuários finais para atualizar os navegadores para as versões atuais. Para mais detalhes sobre os requisitos de conexão, consulte Restringir o acesso a recursos.
52	Incompatibilidade entre nome do host e certificado SSL	O administrador do sistema precisa atualizar o certificado SSL para corresponder ao nome do host. Consulte Restringir o acesso a recursos para orientações.
52 (com entrada principal do mapa de certificados)	Incompatibilidade entre nome do host e certificado SSL	A IAP não é compatível com entradas de mapa de certificado principal. Use entradas separadas para mapear cada certificado ao nome de host correto. Consulte Criar um item no mapa de certificados para orientação.
53	O nome do host não está nos domínios permitidos	Um administrador precisa adicionar seu nome de host à lista de domínios permitidos. Consulte Restringir o acesso a recursos para instruções.
253, HTTP 429	A cota de solicitações foi excedida	Você atingiu os limites de solicitações (360.000/min para cada tipo de solicitação). Considere distribuir as cargas de trabalho em vários projetos, implementar a limitação de solicitações do lado do cliente ou entre em contato com o suporte para aumentos de cota, se necessário para um crescimento legítimo.
551	IAP habilitado em vários lugares	Não é possível ativar o IAP na regra de encaminhamento e no serviço de back-end. Desative em um local seguindo as orientações em Ativar para o Compute Engine.
700, 701	Problemas com o provedor do pool de funcionários	Configure exatamente um provedor para seu pool de força de trabalho. Consulte Limitações dos pools de colaboradores para ver os requisitos detalhados.
705	ID do cliente OAuth ausente para identidade de colaboradores	Siga o processo de configuração completo: primeiro crie um ID do cliente OAuth e depois atualize as configurações do IAP.
708	Nome do pool de força de trabalho inválido	Verifique se o pool de força de trabalho existe e usa o formato correto: `locations/global/workforcePools/WORKFORCE_POOL_ID`.
4003	Problema de conexão ou firewall	Verifique se o processo da VM está em execução e detectando na porta esperada. Verifique também se as regras de firewall permitem conexões nessa porta.
4010	Conexão encerrada pelo destino	Redefina a VM. Se os problemas persistirem, examine `auth.log` (geralmente em `/var/log/`) ou use o console serial para diagnósticos mais detalhados.
4033	Problema de permissão, existência ou estado da VM	Confirme se você tem a função de usuário do túnel atribuída ao recurso na página do IAP e verifique se a VM existe e está em execução.
4047	A instância não existe ou está parada	Verifique se a VM está ligada e se a sequência de inicialização foi concluída.

Se você não conseguir resolver o problema ou não encontrar o erro listado nesta página, entre em contato com o Cloud Customer Care com uma descrição do erro e da resposta recebida de uma chamada GET para a API. Remova a chave secreta do cliente da resposta.