Restringir o acesso a recursos a domínios específicos

Para melhorar a segurança geral, o IAP, por padrão, nega o acesso a solicitações que não têm uma indicação de nome do servidor (SNI) correspondente. O IAP também verifica o SNI do certificado do balanceador de carga. Isso permite que o IAP restrinja o redirecionamento de URL para domínios maliciosos. O recurso de domínios permitidos do IAP oferece uma camada de segurança extra para seus recursos protegidos pelo IAP. Como proprietário de recursos ou administrador do IAP, você pode restringir o acesso a recursos protegidos pelo IAP a domínios específicos ao configurar o recurso de domínios permitidos.

Também é possível configurar domínios permitidos do IAP nos seguintes cenários:

• Seu navegador ou um proxy intermediário está forçando o agrupamento de conexões:nesse cenário, você recebe a resposta HTTP 429 e o código de erro 51. Para resolver o problema, um administrador do IAP pode atualizar a lista de domínios permitidos para incluir o nome do host.
• O nome do host fornecido não corresponde ao certificado SSL no servidor:nesse cenário, você recebe o código de erro 52. Para resolver o problema, um administrador do IAP pode atualizar a lista de domínios permitidos para incluir o nome do host.

Configurar domínios permitidos

Use a gcloud ou a API para configurar as configurações de domínios permitidos. Para configurar os domínios permitidos, use os seguintes campos:

• enable: booleano. Ativa ou desativa o recurso de domínios permitidos.
• Domains: string. A lista de domínios permitidos. Os domínios podem conter prefixos de caractere curinga, como *.example.com.. Os nomes de domínio não podem conter um caractere curinga diretamente em um sufixo público ou em um domínio de nível superior. Exemplo: *.com, *.co.in.

Para mais informações, consulte IapSettings.

Para configurar os domínios permitidos do IAP, siga estas etapas:

Console

1. Acesse a página do IAP.
   Acesse a Identity-Aware Proxy.
2. Selecione um projeto e o recurso em que você quer ativar o recurso de domínios permitidos.
3. Abra as Configurações do recurso. Em Domínios permitidos, selecione Ativar domínios permitidos.
4. Especifique a lista de domínios permitidos e clique em Salvar.

gcloud

Confira a seguir alguns exemplos de comandos para especificar domínios permitidos.

Para ver mais informações, consulte gcloud iap settings set.

Execute este comando:

gcloud iap settings set SETTING_FILE --folder=FOLDER --organization=ORGANIZATION --project=PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE --version=VERSION

Onde SETTING_FILE é:

accessSettings:
  allowed_domains_settings:
    enable: true
    domains: ["*.example.com", "*.example.net"]

Substitua:

• FOLDER: o ID da pasta.
• ORGANIZATION: o ID da organização.
• PROJECT: o ID do projeto.
• RESOURCE_TYPE: o tipo de recurso do IAP. Precisa ser app-engine, iap_web, compute, organization ou folder.
• SERVICE: o nome do serviço. Isso é opcional quando resource-type é compute ou app-engine.
• VERSION: o nome da versão. Isso não é aplicável a compute e é opcional quando resource-type é app-engine.

API

Para configurar os domínios permitidos, siga estas etapas: Para mais informações sobre como usar a API para configurar domínios permitidos, consulte IapSettings.

1. Execute o comando a seguir para preparar um arquivo iap_settings.json. Atualize os valores conforme necessário.

 {
     "access_settings":{
         "allowed_domains_settings":{
             "enable": true
             "domains": [
                 "*.example.com",
                 "*.exampe.net"
             ]
         }
     }
 }

1. Para conferir o nome do recurso, execute o comando gcloud iap settings get. Copie o campo de nome da saída. Você vai precisar do nome na próxima etapa.

gcloud iap settings get --organization=ORGANIZATION --folder=FOLDER --project=PROJECT --resource-type=RESOURCE_TYPE --service=SERVICE --version=VERSION

1. Substitua RESOURCE_NAME no comando a seguir pelo nome da etapa anterior. O IapSettings será atualizado.

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Accept: application/json" \
-H "Content-Type: application/json" \
-d @iap_settings.json \
"https://iap.googleapis.com/v1/RESOURCE_NAME:iapSettings?updateMask=iapSettings.accessSettings.allowedDomainsSettings.enable,iapSettings.accessSettings.allowedDomainsSettings.domains"

Solução de problemas

Problema de acesso a domínios permitidos
Se você receber o código de erro 53, peça a um administrador do IAP para adicionar seu nome de host à lista de domínios permitidos.