BeyondCorp Enterprise をクラウドリソースに適用する

このページでは、Google Cloud とオンプレミスリソースに BeyondCorp Enterprise を適用する大まかな手順について説明します。

BeyondCorp Enterprise を他の Google Cloud プロダクトに活用する方法については、BeyondCorp Enterprise アクセス保護の概要をご覧ください。

始める前に

アプリとリソースをコンテキストアウェアにする前に、以下を行う必要があります。

組織に Cloud Identity ユーザーアカウントがない場合は、Cloud Identity アカウントをいくつか作成します。
保護するリソースを決定します。リソースがない場合は、次のいずれかを構成します。
- Google Cloud 上の HTTPS ロードバランサの背後で実行しているウェブアプリ。これには、App Engine アプリ、オンプレミスで実行しているアプリ、別のクラウドで実行しているアプリが含まれます。
- Google Cloud 上の仮想マシン
アクセス権を付与、制限するメンバーを決めます。

Google Workspace アプリの保護に関心をお持ちの場合は、Google Workspace BeyondCorp Enterprise の概要をご覧ください。

Identity-Aware Proxy（IAP）は、HTTPS と TCP によりアクセスされるアプリとリソースの一元的な ID 認識レイヤを確立します。つまり、ネットワークレベルのファイアウォールを使用することなく、個々のアプリとリソースへのアクセスを制御できます。

次のいずれかのガイドを選択して、Google Cloud アプリとそのすべてのリソースを保護してください。

IAP は、オンプレミスや他のクラウドなど、Google Cloud 以外の環境にも拡張できます。詳細については、オンプレミスアプリの保護ガイドをご覧ください。

詳細については、IAP のドキュメントをご覧ください。

バックエンドの SSH や RDP などの管理サービスへのアクセスを制御するには、トンネルリソースの権限を設定し、IAP を経由して TCP トラフィックを仮想マシンインスタンスにルーティングするトンネルを作成します。

仮想マシンを保護するには、仮想マシンの保護ガイドをご覧ください。

IAP を使用してアプリとリソースを保護したら、アクセスレベルを使用して高度なアクセスポリシーを設定します。

Access Context Manager でアクセスレベルを作成します。アクセスレベルは、次の属性に基づいてアクセスを制限できます。

アクセスレベルの作成のガイドに沿ってアクセスレベルを作成します。

アクセスレベルは、IAP で保護されたリソースの Identity and Access Management（IAM）ポリシーに適用されるまで有効になりません。このステップを行うには、リソースへのアクセスを許可するために使用する IAP 役割に IAM 条件を追加します。

アクセスレベルを適用するには、アクセスレベルの適用をご覧ください。

アクセスレベルを適用すると、リソースが BeyondCorp Enterprise で保護されるようになります。

BeyondCorp Enterprise で保護されたリソースのセキュリティをさらに強化するため、アクセスレベルを使用してデバイスベースで信頼とセキュリティのアクセス制御属性を適用できます。エンドポイントの確認でこの制御を有効にします。

エンドポイントの確認は、Windows、Mac、Chrome OS デバイス用の Chrome 拡張機能です。 Access Context Manager は、エンドポイントの確認によって収集されたデバイス属性を参照し、アクセスレベルによってきめ細かいアクセス制御を実施します。

Endpoint Verificationのクイックスタートに従って、組織のEndpoint Verificationを設定します。

このページで使用したリソースについて、Google Cloud アカウントに課金されないようにするには、次の手順を実施します。