替內部部署應用程式啟用 IAP

本指南說明如何部署 IAP 連接器，藉此在Google Cloud 之外運用 Identity-Aware Proxy (IAP) 保護以 HTTP 或 HTTPS 為基礎的內部部署應用程式。

如要進一步瞭解 IAP 如何保護內部部署應用程式和資源，請參閱內部部署應用程式的 IAP 總覽。

事前準備

開始之前，請先準備下列項目：

  • 以 HTTP 或 HTTPS 為基礎的內部部署應用程式。
  • 已獲得 Google Cloud 專案擁有者角色的 Cloud Identity 成員。
  • 將擁有者角色授予 Google API 服務代理人。
  • 已啟用計費功能的 Google Cloud 專案。
  • 用來當做Google Cloud流量輸入點的外部網址。例如：www.hr-domain.com。
  • DNS 主機名稱所需的 SSL 或 TLS 憑證，該 DNS 主機名稱係用於當做 Google Cloud流量的輸入點。您可以使用現有的自行管理或 Google 代管憑證。若您沒有憑證，請使用 Let's Encrypt 建立一個。
  • 如果啟用 VPC Service Controls，則 VPC 網路會為 VM 服務帳戶的 cp 動作設定出口政策，將資料傳送至專案 278958399328 中的 gce-mesh 值區。這樣一來，VPC 網路就會授予權限，可從 gce-mesh 儲存桶擷取 Envoy 二進位檔案。如果未啟用 VPC Service Controls，系統會預設授予這項權限。

  • 如要停用外部 IP，請完成下列步驟：

    1. 在用於 IAP 連接器的 VPC 子網路上啟用私人 Google 存取權，方法是勾選設定中的方塊。詳情請參閱「私人 Google 存取權」。
    2. 請確認 VPC 網路的防火牆設定允許 VM 存取 Google API 和服務使用的 IP 位址。根據預設，系統會隱含允許這項操作，但使用者可以明確變更設定。如要瞭解如何找出 IP 範圍，請參閱「預設網域的 IP 位址」。

為內部部署應用程式部署連接器

  1. 前往 IAP 管理員頁面。

    前往 IAP 管理員頁面

  2. 按一下「內部部署連接器設定」，開始設定內部部署應用程式的連接器部署作業。

  3. 按一下「Enable APIs」，確認已載入必要的 API。

  4. 選擇部署作業應使用 Google 管理的憑證，還是由您管理的憑證，選取部署作業的網路和子網路 (或選擇建立新的網路和子網路)，然後按一下「下一步」。

  5. 輸入要新增的內部部署應用程式詳細資料：

    • 前往 Google Cloud的要求外部網址。這個網址是流量進入環境之處。
    • 應用程式的名稱。這也會用來做為負載平衡器後方新後端服務的名稱。

    • 地端部署端點類型及其詳細資料：

      • 完整網域名稱 (FQDN)：連接器應轉送流量的網域。
      • IP 位址：一或多個應部署 IAP 連接器的區域 (例如 us-central1-a)，以及每個區域內部部署應用程式內部目的地的 IPv4 位址，也就是使用者經過授權和驗證後，IAP 將流量轉送至的目的地。

    • 內部端點使用的通訊協定。

    • 內部端點使用的通訊埠號碼，例如 HTTPS 的 443 或 HTTP 的 80。

  6. 按一下「完成」即可儲存該應用程式的詳細資料。如有需要，您可以為部署作業定義其他內部部署應用程式。

  7. 準備就緒後，請按一下「提交」，開始部署您定義的應用程式。

部署完成後，內部部署連接器應用程式就會顯示在「HTTP 資源」表格中，您也可以啟用 IAP。

如果您選擇讓 Google 自動產生及管理憑證，憑證可能需要幾分鐘的時間才能佈建。您可以在 Cloud Load Balancing 詳細資料頁面查看狀態。如要進一步瞭解狀態，請參閱疑難排解頁面。

管理內部部署應用程式的連接器

  • 您隨時可以點選內部部署連接器設定，為部署作業新增更多應用程式。

  • 您可以刪除整個部署作業，藉此刪除內部部署的連接器：

    1. 前往 「Deployment Manager」頁面。

      前往「Deployment Manager」頁面

    2. 在部署清單中，選取「on-prem-app-deployment」部署旁的核取方塊。

    3. 按一下頁面頂端的「刪除」

  • 您可以點選內部部署連接器設定中的刪除按鈕，刪除個別應用程式。內部部署連接器必須包含至少一個應用程式。如要移除所有應用程式，請刪除整個部署作業。