Abilitare IAP per le app on-premise

Questa guida spiega come proteggere un'app on-premise basata su HTTP o HTTPS al di fuori di Google Cloud con Identity-Aware Proxy (IAP) mediante il deployment di connettore IAP.

Per ulteriori informazioni su come IAP protegge le app on-premise consulta le risorse Panoramica di IAP per le app on-premise.

Prima di iniziare

Prima di iniziare, è necessario quanto segue:

  • Un'app on-premise basata su HTTP o HTTPS.
  • Un membro di Cloud Identity ha concesso i Ruolo di Proprietario del tuo progetto Google Cloud.
  • Agente di servizio API di Google con ruolo Proprietario concesso.
  • Un progetto Google Cloud con la fatturazione abilitata.
  • Una licenza Chrome Enterprise Premium.
  • L'URL esterno da utilizzare come punto di ingresso per il traffico verso in Google Cloud. Ad esempio, www.hr-domain.com.
  • Un certificato SSL o TLS per il nome host DNS utilizzato come traffico in entrata per il traffico verso Google Cloud. Un account Google Cloud esistente Gestita da Google è possibile utilizzare il certificato. Se non hai un certificato, creane uno utilizzando Crittografiamo.
  • Se i Controlli di servizio VPC sono abilitati, viene avviata una rete VPC con criterio di traffico in uscita sull'azione cp per l'account di servizio della VM al bucket gce-mesh, che si trova progetto 278958399328. Questo concede alla rete VPC l'autorizzazione per recuperare il file binario Envoy dal bucket gce-mesh. L'autorizzazione viene concessa per impostazione predefinita se i Controlli di servizio VPC non sono abilitati.

  • Per disattivare un IP esterno:

    1. Abilita l'accesso privato Google nella subnet VPC utilizzata per il connettore IAP selezionando la casella nella configurazione. Per ulteriori informazioni, vedi Accesso privato Google.
    2. Assicurati che la configurazione del firewall della rete VPC consenta l'accesso dalle VM agli indirizzi IP utilizzati dalle API e dai servizi Google. Questa opzione è implicitamente consentita per impostazione predefinita, ma può essere modificata in modo esplicito dagli utenti. Per informazioni su come trovare l'intervallo IP, vedi Indirizzi IP per i domini predefiniti.

Esegui il deployment di un connettore per un'app on-premise

  1. Vai alla pagina di amministrazione IAP.

    Vai alla pagina di amministrazione IAP

  2. Inizia a configurare il deployment dei connettori per un'app on-premise facendo clic su Configurazione dei connettori on-prem.

  3. Assicurati che le API richieste siano caricate facendo clic su Abilita API.

  4. Scegli se il deployment deve utilizzare un certificato gestito da Google o uno gestiti da te, seleziona la rete e la subnet per il deployment (oppure per crearne uno nuovo, quindi fai clic su Avanti.

  5. Inserisci i dettagli per un'app on-premise che vuoi aggiungere:

    • L'URL esterno delle richieste in arrivo a Google Cloud. Questo URL è in cui il traffico entra nell'ambiente.
    • Il nome dell'app. Verrà inoltre utilizzato come nome per un nuovo servizio di backend dietro il carico con il bilanciatore del carico di rete passthrough esterno regionale.

    • Il tipo di endpoint on-prem e i relativi dettagli:

      • Nome di dominio completo (FQDN): il dominio in cui il connettore deve inoltrare il traffico.
      • Indirizzo IP: una o più zone in cui dovrebbe trovarsi il connettore IAP di cui è stato eseguito il deployment (ad esempio, us-central1-a) e, per ciascuno, l'indirizzo IPv4 la destinazione interna per l'app on-premise a cui IAP instrada il traffico dopo che l'utente è stato autorizzato autenticati.

    • Il protocollo utilizzato dall'endpoint on-prem.

    • Il numero di porta utilizzato dall'endpoint on-prem, ad esempio 443 per HTTPS o 80 per HTTP.

  6. Fai clic su Fine per salvare i dettagli dell'app. Se vuoi, puoi per definire altre app on-premise per il deployment.

  7. Quando è tutto pronto, fai clic su Invia per iniziare il deployment delle app di cui hai bisogno definito.

Una volta completato il deployment, le app del connettore on-prem vengono visualizzate È possibile abilitare la tabella delle risorse HTTP e IAP.

Se scegli di consentire a Google di generare e gestire automaticamente i certificati, potrebbe il provisioning dei certificati potrebbe richiedere qualche minuto. Puoi controllare lo stato nella pagina dei dettagli di Cloud Load Balancing. Per ulteriori informazioni sui vedi pagina della risoluzione dei problemi.

Gestisci un connettore per un'app on-premise

  • Puoi aggiungere altre app al deployment in qualsiasi momento facendo clic su Configurazione dei connettori on-prem.

  • Puoi eliminare il connettore on-premise eliminando l'intera deployment:

    1. Vai alla pagina pagina Deployment Manager.

      Vai alla pagina di Deployment Manager

    2. Nell'elenco dei deployment, seleziona la casella di controllo accanto "on-prem-app-deployment" e deployment continuo.

    3. Nella parte superiore della pagina, fai clic su Elimina.

  • Puoi eliminare una singola app facendo clic sul pulsante Elimina nella Configurazione dei connettori on-prem Il connettore on-premise deve contenere almeno un'app. Per rimuovere tutte le app: elimina l'intero deployment.