Restez organisé à l'aide des collections
Enregistrez et classez les contenus selon vos préférences.
Ce guide explique comment sécuriser une application sur site basée sur HTTP ou HTTPS en dehors deGoogle Cloud à l'aide d'Identity-Aware Proxy (IAP) en déployant un connecteur IAP.
L'URL externe à utiliser comme point d'entrée du trafic versGoogle Cloud. Exemple :www.hr-domain.com
Un certificat SSL ou TLS pour le nom d'hôte DNS utilisé comme point d'entrée du trafic vers Google Cloud. Vous pouvez utiliser un certificat autogéré existant ou géré par Google. Si vous n'avez pas de certificat, créez-en un à l'aide de Let's Encrypt.
Si VPC Service Controls est activé, un réseau VPC avec une règle de sortie sur une action cp pour le compte de service de VM à destination du bucket gce-mesh, situé dans le projet 278958399328. Cela accorde au réseau VPC l'autorisation de récupérer le fichier binaire Envoy à partir du bucket gce-mesh.
L'autorisation est accordée par défaut si VPC Service Controls n'est pas activé.
Pour désactiver une adresse IP externe, procédez comme suit :
Activez l'accès privé à Google sur le sous-réseau VPC utilisé pour le connecteur IAP en cochant la case dans la configuration. Pour plus d'informations, consultez la section Accès privé à Google.
Vérifiez que la configuration du pare-feu du réseau VPC autorise l'accès des VM aux adresses IP utilisées par les API et services Google. Cela est implicitement autorisé par défaut, mais peut être modifié explicitement par les utilisateurs. Pour savoir comment trouver la plage d'adresses IP, consultez la section Adresses IP pour les domaines par défaut.
Déployer un connecteur pour une application sur site
Commencez à configurer le déploiement de votre connecteur pour une application sur site en cliquant sur Configuration de connecteurs sur site.
Assurez-vous que les API requises sont chargées en cliquant sur Activer les API.
Choisissez si le déploiement doit utiliser un certificat géré par Google ou un certificat que vous gérez vous-même, sélectionnez le réseau et le sous-réseau pour le déploiement (ou créez-en un nouveau), puis cliquez sur Suivant
Saisissez les détails pour une application sur site que vous souhaitez ajouter :
URL externe des requêtes provenant de Google Cloud. Cette URL correspond au trafic entrant dans l'environnement.
Nom de l'application. Il servira également de nom au nouveau service de backend derrière l'équilibreur de charge.
Le type de point de terminaison sur site et ses détails:
Nom de domaine complet (FQDN): domaine vers lequel le connecteur doit transférer le trafic.
Adresse IP: une ou plusieurs zones dans lesquelles le connecteur IAP doit être déployé (par exemple, us-central1-a) et, pour chacune, l'adresse IPv4 de la destination interne de l'application sur site vers laquelle IAP achemine le trafic après qu'un utilisateur a été autorisé et authentifié.
Protocole utilisé par le point de terminaison sur site.
Numéro de port utilisé par le point de terminaison sur site, par exemple 443 pour HTTPS ou 80 pour HTTP.
Cliquez sur OK pour enregistrer les informations concernant cette application. Si vous le souhaitez, vous pouvez ensuite définir d'autres applications sur site pour le déploiement.
Lorsque vous êtes prêt, cliquez sur Envoyer pour lancer le déploiement des applications que vous avez définies.
Une fois le déploiement terminé, vos applications de connecteur sur site apparaissent dans la table Ressources HTTP et vous pouvez activer IAP.
Si vous choisissez de laisser Google générer et gérer automatiquement les certificats, le provisionnement des certificats peut prendre quelques minutes. Vous pouvez vérifier l'état sur la page de détails de Cloud Load Balancing. Pour plus d'informations sur l'état, consultez la page Dépannage.
Gérer un connecteur pour une application sur site
Vous pouvez ajouter d'autres applications à votre déploiement à tout moment en cliquant sur Configuration de connecteurs sur site.
Vous pouvez supprimer le connecteur sur site en supprimant l'intégralité du déploiement :
Dans la liste des déploiements, cochez la case située à côté du déploiement "on-prem-app-deployment".
En haut de la page, cliquez sur Supprimer.
Vous pouvez supprimer une application individuelle en cliquant sur le bouton de suppression dans la configuration des connecteurs sur site. Le connecteur sur site doit contenir au moins une application. Pour supprimer toutes les applications, veuillez supprimer l'ensemble du déploiement.
Sauf indication contraire, le contenu de cette page est régi par une licence Creative Commons Attribution 4.0, et les échantillons de code sont régis par une licence Apache 2.0. Pour en savoir plus, consultez les Règles du site Google Developers. Java est une marque déposée d'Oracle et/ou de ses sociétés affiliées.
Dernière mise à jour le 2025/09/09 (UTC).
[[["Facile à comprendre","easyToUnderstand","thumb-up"],["J'ai pu résoudre mon problème","solvedMyProblem","thumb-up"],["Autre","otherUp","thumb-up"]],[["Difficile à comprendre","hardToUnderstand","thumb-down"],["Informations ou exemple de code incorrects","incorrectInformationOrSampleCode","thumb-down"],["Il n'y a pas l'information/les exemples dont j'ai besoin","missingTheInformationSamplesINeed","thumb-down"],["Problème de traduction","translationIssue","thumb-down"],["Autre","otherDown","thumb-down"]],["Dernière mise à jour le 2025/09/09 (UTC)."],[],[],null,["# Enabling IAP for on-premises apps\n\nThis guide explains how to secure an HTTP or HTTPS based, on-premises app outside of\nGoogle Cloud with\n[Identity-Aware Proxy (IAP)](/iap/docs/concepts-overview) by deploying an\nIAP connector.\nFor more information on how IAP secures on-premises apps and resources, see the [IAP for on-premises apps overview](/iap/docs/cloud-iap-for-on-prem-apps-overview).\n\nBefore you begin\n----------------\n\nBefore you begin, you need the following:\n\n- An HTTP or HTTPS based on-premises app.\n- A Cloud Identity member [granted the\n **Owner** role](/iam/docs/granting-changing-revoking-access#grant_access) on your Google Cloud project.\n- Granted the [Google APIs Service Agent](/iam/docs/service-agents#google-apis-service-agent) with owner role.\n- A Google Cloud project with [billing enabled](/billing/docs/how-to/modify-project).\n- The external URL to use as the ingress point for traffic to Google Cloud. For example, `www.hr-domain.com`.\n- An SSL or TLS certificate for the DNS hostname that is used as the ingress point for traffic to Google Cloud. An existing self-managed or [Google-managed](/load-balancing/docs/ssl-certificates#managed-certs) certificate can be used. If you don't have a certificate, create one using [Let's Encrypt](https://letsencrypt.org/).\n- If VPC Service Controls is enabled, a VPC network with an [egress policy](/vpc-service-controls/docs/ingress-egress-rules#egress_rules_reference) on `cp` action for the VM service account to the gce-mesh bucket, which is in project 278958399328. This grants the VPC network permission to retrieve the Envoy binary file from the gce-mesh bucket. The permission is granted by default, if VPC Service Controls is not enabled.\n- Disable an external IP by completing the following steps:\n\n 1. Enable Private Google Access on the VPC subnet that is used for the IAP connector by checking the box in the configuration. For additional information, see [Private Google Access](https://cloud.google.com/vpc/docs/private-google-access).\n 2. Ensure that the firewall configuration of the VPC network allows access from the VMs to the IP addresses used by the Google APIs and services. This is implicitly allowed by default, but can be changed by the users explicitly. For information about how to find the IP range, see [IP addresses for default domains](https://cloud.google.com/vpc/docs/configure-private-google-access#ip-addr-defaults).\n\nDeploy a connector for an on-premises app\n-----------------------------------------\n\n1. Go to the [IAP admin page](https://console.cloud.google.com/security/iap).\n\n [Go to the IAP admin page](https://console.cloud.google.com/security/iap)\n2. Begin setting up your connector deployment for an on-premises app by clicking\n **On-prem connectors setup**.\n\n3. Ensure that the required APIs are loaded by clicking **Enable APIs**.\n\n4. Choose whether the deployment should use a Google-managed certificate or one\n managed by you, select the network and subnet for the deployment (or choose\n to create a new one), and then click **Next**.\n\n5. Enter the details for an on-premises app you want to add:\n\n - The external URL of requests coming to Google Cloud. This URL is where traffic enters the environment.\n - A name for the app. It will also be used as the name for a new [backend service](/load-balancing/docs/backend-service) behind the load balancer.\n - The on-prem endpoint type and its details:\n\n - Fully qualified domain name (FQDN): The domain where the connector should forward the traffic.\n - IP address: One or more zones for where the IAP connector should be deployed (for example, `us-central1-a`) and, for each, the IPv4 address of the internal destination for the on-premises app to which IAP routes traffic after a user has been authorized and authenticated.\n\n | **Note:** If your on-prem endpoint is an IP address, consider using a [hybrid connectivity network endpoint group](https://cloud.google.com/load-balancing/docs/negs/hybrid-neg-concepts#use-case_routing_traffic_to_an_on-premises_location_or_another_cloud) directly with a load balancer instead of using the IAP on-prem connector.\n - The protocol used by the on-prem endpoint.\n\n - The port number used by the on-prem endpoint, such as 443 for HTTPS or 80 for HTTP.\n\n6. Click **Done** to save the details for that app. If you want, you can then\n define additional on-premises apps for the deployment.\n\n7. When you're ready, click **Submit** to begin deployment of the apps you've\n defined.\n\nOnce the deployment is complete, your on-prem connector apps appear in the\n**HTTP resources** table and IAP can be enabled.\n\nIf you choose to let Google auto-generate and manage the certificates, it might\ntake a few minutes for the certificates to provision. You can check the status\nat the Cloud Load Balancing detail page. For more information about the\nstatus, see\n[troubleshooting page](/load-balancing/docs/ssl-certificates/troubleshooting#certificate-managed-status).\n\nManage a connector for an on-premises app\n-----------------------------------------\n\n- You can add more apps to your deployment at any time by clicking **On-prem connectors setup**.\n- You can delete the on-premises connector by deleting the entire\n deployment:\n\n 1. Go to the [Deployment Manager page](https://console.cloud.google.com/dm/deployments).\n\n [Go to the Deployment Manager page](https://console.cloud.google.com/dm/deployments)\n 2. In the list of deployments, select the checkbox next to the\n \"on-prem-app-deployment\" deployment.\n\n 3. On the top of the page, click **Delete**\n\n- You can delete individual app by clicking the delete button in the\n **On-prem connectors setup**\n The on-premises connector must contains at least one app. To remove all app,\n please delete the entire deployment."]]
