最佳做法

本页介绍有关使用 Identity-Aware Proxy (IAP) 的最佳做法。

缓存

• 请勿在应用的前面使用第三方 CDN。CDN 可能缓存内容并将缓存的页面提供给未经身份验证的用户。
  • 如果您希望通过 CDN 提供大量非敏感资源，请为这些资源使用单独的网域（例如 images.yourapp.com）。然后在该网域中使用 CDN，同时向只能提供给经过身份验证的用户的所有对象添加 Cache-control: private HTTP 响应标头。

保护应用的安全

为了正确保护应用，您必须为 App Engine 标准环境、Compute Engine 和 GKE 应用使用签名标头。

配置防火墙

• 确保向 Compute Engine 或 GKE 发出的所有请求均通过负载均衡器进行路由：
  • 配置防火墙规则以支持健康检查，并确保发往虚拟机 (VM) 的所有流量均来自 Google 前端 (GFE) IP。
  • 如需获得额外的保护，请检查应用中请求的来源 IP，以确保它们来自防火墙规则允许的同一 IP 范围。
• 在 Google Cloud 控制台中，如果防火墙规则设置有误，IAP 会显示错误或警告。IAP Google Cloud 控制台不会检测每项服务使用的是哪个虚拟机，因此防火墙分析功能不包含非默认网络和防火墙规则标记等高级功能。如需绕过此分析，请通过 gcloud compute backend-services update 命令启用 IAP。