Esta página explica como proteger uma instância do Compute Engine com o Identity-Aware Proxy (IAP).
Para proteger recursos que não estão no Google Cloud, consulte o artigo Proteger apps e recursos no local.
Antes de começar
Para ativar o IAP para o Compute Engine, precisa do seguinte:
- Um Google Cloud projeto da consola com a faturação ativada.
- Um grupo de uma ou mais instâncias do Compute Engine, publicado por um equilibrador de carga.
- Saiba como configurar um balanceador de carga HTTPS externo.
- Saiba como configurar um balanceador de carga HTTP interno.
- Um nome de domínio registado no endereço do seu equilibrador de carga.
- Código da aplicação para verificar se todos os pedidos têm uma identidade.
- Saiba como obter a identidade do utilizador.
Se ainda não tiver a instância do Compute Engine configurada, consulte o artigo Configurar o IAP para o Compute Engine para ver um guia completo.
O IAP usa um cliente OAuth gerido pela Google para autenticar os utilizadores. Apenas os utilizadores na organização podem aceder à aplicação com a funcionalidade de IAP. Se quiser permitir o acesso a utilizadores externos à sua organização, consulte o artigo Ative o IAP para aplicações externas.
Pode ativar o IAP num serviço de back-end do Compute Engine ou numa regra de encaminhamento do Compute Engine. Quando ativa o IAP num serviço de back-end do Compute Engine, apenas esse serviço de back-end está protegido pelo IAP. Quando ativa o IAP numa regra de encaminhamento do Compute Engine, todas as instâncias do Compute Engine por detrás da regra de encaminhamento são protegidas pelo IAP.
Ative o IAP numa regra de encaminhamento
Pode ativar a IAP numa regra de encaminhamento através da framework de políticas de autorização do balanceador de carga.
Depois de ativar a IAP numa regra de encaminhamento, pode aplicar autorizações a recursos.
Ative o IAP num serviço de back-end do Compute Engine
Pode ativar a IAP num serviço de back-end do Compute Engine através desse serviço de back-end.
consola
O cliente OAuth gerido pela Google não está disponível quando ativa as CAs através da Google Cloud consola.
gcloud
API
Passos seguintes
- Defina regras de contexto mais detalhadas aplicando níveis de acesso.
- Veja pedidos de acesso ativando os registos de auditoria do Cloud.
- Saiba mais sobre as compras na app.