Best Practices

Auf dieser Seite werden Best Practices für die Verwendung von Identity-Aware Proxy (IAP) beschrieben.

Caching

  • Verwenden Sie kein CDN eines Drittanbieters vor Ihrer Anwendung. CDNs können Inhalte zwischenspeichern und damit zwischengespeicherte Seiten für nicht authentifizierte Nutzer zugänglich machen.
    • Wenn Sie große, nicht vertrauliche Ressourcen haben, die Sie von einem CDN aus bereitstellen möchten, nutzen Sie dafür eine separate Domain wie images.yourapp.com. Verwenden Sie das CDN mit dieser Domain und fügen Sie allen Objekten, die nur für authentifizierte Nutzer bereitgestellt werden sollen, den HTTP-Antwort-Header Cache-control: private hinzu.

App sichern

Für eine ordnungsgemäße Sicherung der Anwendung müssen Sie Signierte Header für eine Flexible App Engine-Umgebung, Beta-Track, App Engine-Standardumgebungen, Compute Engine- und GKE-Anwendungen verwenden.

Firewall konfigurieren

  • Sorgen Sie dafür, dass alle Anfragen an Compute Engine oder GKE über den Load-Balancer geleitet werden:
    • Konfigurieren Sie eine Firewallregel, um Systemdiagnosen zuzulassen und achten Sie darauf, dass alle Zugriffe auf Ihre virtuelle Maschine (VM) von einer IP-Adresse eines Google Front End (GFE) stammen.
    • Als zusätzliche Schutzmaßnahme prüfen Sie die Quell-IP von Anfragen in Ihrer Anwendung, um sicherzugehen, dass sie aus dem IP-Bereich stammt, den die Firewallregel erlaubt.
  • In der Cloud Console zeigt IAP einen Fehler oder eine Warnung an, wenn Ihre Firewallregeln offenbar nicht ordnungsgemäß eingerichtet sind. Mit der Cloud Console von IAP kann nicht festgestellt werden, welche VM für einen Dienst verwendet wird. Daher enthält die Firewallanalyse keine erweiterten Features wie nicht standardmäßige Netzwerke oder Tags für Firewallregeln. Wenn Sie diese Analyse umgehen möchten, müssen Sie IAP über den Befehl gcloud compute backend-services update aktivieren.