IAP sur GKE : Google change les règles, êtes-vous prêt pour la migration ?

Vous utilisez Identity-Aware Proxy (IAP) pour sécuriser l'accès à vos applications sur Google Kubernetes Engine (GKE) ? C'est une excellente pratique. IAP agit comme un garde du corps intelligent pour vos services, vérifiant l'identité de chaque utilisateur avant de lui laisser franchir la porte. C'est la solution idéale pour protéger une application interne ou un environnement de pré-production.

Cependant, une annonce de Google est peut-être passée sous votre radar : la méthode historique pour activer IAP sur GKE est en cours de dépréciation. Si vous avez configuré IAP il y a quelque temps, il est fort probable que vous soyez concerné. Pas de panique ! Ce changement est en réalité une bonne nouvelle, et ce guide est là pour vous accompagner dans une migration tout en douceur.

Pourquoi ce changement ? L'ancien monde face au nouveau

Pour comprendre l'intérêt de cette migration, revenons un instant sur la manière dont les choses fonctionnaient. Auparavant, pour activer IAP, il fallait se rendre dans la console Google Cloud, créer manuellement un client OAuth, puis copier-coller l'identifiant de ce client dans les annotations de votre ressource Ingress sur Kubernetes. Cette approche, bien que fonctionnelle, présentait quelques inconvénients. Elle mélangeait une configuration faite à la main dans la console avec des manifestes déclaratifs dans Kubernetes, ce qui n'est pas idéal pour l'automatisation et les pratiques GitOps.

La nouvelle méthode est bien plus élégante et s'intègre parfaitement à l'écosystème Kubernetes. Tout se passe désormais à l'intérieur de votre cluster. La configuration d'IAP est définie via une ressource Kubernetes dédiée appelée BackendConfig. C'est une approche "Kubernetes-native" : votre configuration IAP vit aux côtés de vos déploiements et de vos services, directement dans vos fichiers YAML. C'est plus propre, plus simple à suivre et entièrement automatisable.

Le plan de migration, étape par étape

Migrer vers la nouvelle méthode est un processus simple qui se déroule en quelques étapes logiques. L'objectif est de passer d'une configuration manuelle à une configuration déclarée dans votre cluster.

Première étape : Vérifiez si vous êtes concerné

La première chose à faire est de regarder la configuration de votre service Kubernetes. Plus précisément, inspectez les champs de votre ressource GCPBackendPolicy. Si vous ne voyez pas de champ iap.enabled: true, il y a de fortes chances que vous deviez migrer.

Deuxième étape : Définir votre GCPBackendPolicy

C'est le cœur de la nouvelle configuration. Vous allez créer un nouveau fichier YAML pour une ressource de type GCPBackendPolicy. Dans ce fichier, vous activerez IAP. Ce manifeste est très clair et se lit presque comme une phrase : "Active IAP pour ce backend".

apiVersion: networking.gke.io/v1
kind: GCPBackendPolicy
metadata:
  name: policy
spec:
  targetRef:
    kind: Service
    name: nginx
  default:
    iap:
      enabled: true

Les avantages concrets de cette migration

Ce changement n'est pas qu'une simple mise à jour technique, il apporte de réels bénéfices. Votre configuration de sécurité est désormais entièrement gérée "en tant que code" (as code), ce qui facilite le suivi des versions, les audits et les déploiements automatisés. Il n'est plus nécessaire de gérer les brands IAP et on peut simplifier l'utilisation des clients. Enfin, toute votre configuration d'application, de son déploiement à sa sécurité, est centralisée au sein de vos manifestes Kubernetes, simplifiant la gestion globale de votre projet.

N'attendez pas le dernier moment

Google a fixé des dates butoirs pour cette dépréciation. Le 21 septembre 2025, l'ancienne API sera coupée. Même si la migration est simple, il est préférable de ne pas la remettre à plus tard pour éviter toute interruption de service. En adoptant dès maintenant cette nouvelle approche, vous modernisez votre infrastructure et vous vous alignez sur les meilleures pratiques de l'écosystème Kubernetes.

Si cette migration vous semble complexe, si vous n'êtes pas sûr d'être concerné ou si vous souhaitez simplement un audit de vos pratiques de sécurité sur GCP, n'hésitez pas à faire appel à un expert. En tant que consultant freelance, je peux vous aider à naviguer ces changements et à garantir que votre infrastructure reste sécurisée, performante et à la pointe de la technologie.