是否可通过编程方式在GCP中启用iap.googleapis.com并完成IAP全配置？

核心结论 #

该环节支持自动化操作，无需手动在控制台完成配置。出现控制台提示是因为IAP服务启用后必须绑定对应的OAuth品牌配置（即同意屏幕参数），目前原生Google Terraform Provider暂未提供专属资源封装，但可通过通用方案实现自动化。

两种实现方式 #

1. Terraform + gcloud 命令实现（最常用） #

使用Terraform的null_resource调用gcloud alpha命令直接创建IAP OAuth品牌，示例代码如下：

# 先启用IAP服务
resource "google_project_service" "iap" {
  service  = "iap.googleapis.com"
  project  = var.gcp_project_id
  disable_on_destroy = false
}

# 配置OAuth同意屏幕
resource "null_resource" "iap_oauth_consent_config" {
  provisioner "local-exec" {
    command = <<EOT
gcloud alpha iap oauth-brands create \
  --application_title="你的IAP应用名称" \
  --support_email="你的管理员支持邮箱" \
  --project=${var.gcp_project_id}
EOT
  }
  # 等待IAP服务启用完成再执行配置
  depends_on = [google_project_service.iap]
}

权限要求：执行配置的身份需要拥有项目的roles/iap.settingsAdmin和roles/resourcemanager.projectIamAdmin角色权限。

2. 直接调用API实现 #

如果不想依赖gcloud命令行工具，可以直接调用IAP的官方API完成配置：

• 请求地址：POST https://iap.googleapis.com/v1/projects/{项目ID}/iap_web/oauthBrands
• 请求体参数：

  {
    "applicationTitle": "你的IAP应用名称",
    "supportEmail": "你的管理员支持邮箱"
  }
  

• 鉴权方式：使用服务账号的OAuth2访问令牌放在请求头Authorization: Bearer {令牌}即可。

注意事项 #

• 仅面向组织内部使用的IAP应用支持完全自动化配置，如果是需要对外公开的应用，OAuth同意屏幕的发布审核环节暂不支持自动化，需要人工提交材料完成审核。
• 配置完成后需要等待1-2分钟同步生效，再进行后续IAP访问权限、资源绑定等操作。

内容的提问来源于stack exchange，提问作者corsair