Mantieni tutto organizzato con le raccolte
Salva e classifica i contenuti in base alle tue preferenze.
Questa guida spiega come proteggere un'app on-premise basata su HTTP o HTTPS esterna aGoogle Cloud con
Identity-Aware Proxy (IAP) eseguendo il deployment di un
connettore IAP.
L'URL esterno da utilizzare come punto di ingresso per il traffico verso
Google Cloud. Ad esempio, www.hr-domain.com.
Un certificato SSL o TLS per il nome host DNS utilizzato come punto di ingresso per il traffico verso Google Cloud. Puoi utilizzare un certificato con gestione indipendente o
gestito da Google
esistente. Se non hai un certificato, creane uno utilizzando
Let's Encrypt.
Se i Controlli di servizio VPC sono attivati, una rete VPC con un
regolamento di uscita
sull'azione cp per l'account di servizio VM al bucket gce-mesh, che si trova nel
progetto 278958399328. In questo modo, la rete VPC ottiene l'autorizzazione per recuperare il file binario di Envoy dal bucket gce-mesh.
L'autorizzazione viene concessa per impostazione predefinita se i Controlli di servizio VPC non sono abilitati.
Per disattivare un indirizzo IP esterno, segui questi passaggi:
Abilita l'accesso privato Google sulla subnet VPC utilizzata per il connettore IAP selezionando la casella nella configurazione. Per ulteriori informazioni, vedi Accesso privato Google.
Assicurati che la configurazione del firewall della rete VPC consenta l'accesso dalle VM agli indirizzi IP utilizzati dalle API e dai servizi Google. Questa operazione è consentita implicitamente per impostazione predefinita, ma può essere modificata dagli utenti in modo esplicito. Per informazioni su come trovare l'intervallo IP, vedi Indirizzi IP per i domini predefiniti.
Esegui il deployment di un connettore per un'app on-premise
Per iniziare a configurare l'implementazione del connettore per un'app on-premise, fai clic su
Configurazione dei connettori on-prem.
Assicurati che le API richieste siano caricate facendo clic su Abilita API.
Scegli se il deployment deve utilizzare un certificato gestito da Google o uno gestito da te, seleziona la rete e la subnet per il deployment (o scegli di crearne una nuova) e poi fai clic su Avanti.
Inserisci i dettagli di un'app on-premise da aggiungere:
L'URL esterno delle richieste in arrivo a Google Cloud. Questo URL è
dove il traffico entra nell'ambiente.
Un nome per l'app. Verrà utilizzato anche come nome di un nuovo
servizio di backend dietro il bilanciatore del carico.
Il tipo di endpoint on-prem e i relativi dettagli:
Nome di dominio completo (FQDN): il dominio a cui il connettore deve inoltrare il traffico.
Indirizzo IP: una o più zone in cui deve essere eseguito il deployment del connettore IAP (ad esempio us-central1-a) e, per ciascuna, l'indirizzo IPv4 della destinazione interna per l'app on-premise a cui IAP instrada il traffico dopo che un utente è stato autorizzato e autenticato.
Il protocollo utilizzato dall'endpoint on-premise.
Il numero di porta utilizzato dall'endpoint on-premise, ad esempio 443 per HTTPS o 80 per HTTP.
Fai clic su Fine per salvare i dettagli dell'app. Se vuoi, puoi poi
definire altre app on-premise per il deployment.
Quando è tutto pronto, fai clic su Invia per avviare il deployment delle app che hai definito.
Al termine del deployment, le app di connettore on-prem vengono visualizzate nella tabella Risorse HTTP e l'IAP può essere attivato.
Se scegli di lasciare che sia Google a generare e gestire automaticamente i certificati, il provisioning dei certificati potrebbe richiedere alcuni minuti. Puoi controllare lo stato nella pagina dei dettagli di Cloud Load Balancing. Per ulteriori informazioni sullo stato, consulta la pagina di risoluzione dei problemi.
Gestire un connettore per un'app on-premise
Puoi aggiungere altre app al deployment in qualsiasi momento facendo clic su
Configurazione dei connettori on-premise.
Puoi eliminare il connettore on-premise eliminando l'intero deployment:
Nell'elenco dei deployment, seleziona la casella di controllo accanto al deployment "on-prem-app-deployment".
Nella parte superiore della pagina, fai clic su Elimina.
Puoi eliminare una singola app facendo clic sul pulsante Elimina nella configurazione dei connettori on-premise. Il connettore on-premise deve contenere almeno un'app. Per rimuovere tutte le app, elimina l'intero deployment.
[[["Facile da capire","easyToUnderstand","thumb-up"],["Il problema è stato risolto","solvedMyProblem","thumb-up"],["Altra","otherUp","thumb-up"]],[["Difficile da capire","hardToUnderstand","thumb-down"],["Informazioni o codice di esempio errati","incorrectInformationOrSampleCode","thumb-down"],["Mancano le informazioni o gli esempi di cui ho bisogno","missingTheInformationSamplesINeed","thumb-down"],["Problema di traduzione","translationIssue","thumb-down"],["Altra","otherDown","thumb-down"]],["Ultimo aggiornamento 2025-09-04 UTC."],[],[],null,["# Enabling IAP for on-premises apps\n\nThis guide explains how to secure an HTTP or HTTPS based, on-premises app outside of\nGoogle Cloud with\n[Identity-Aware Proxy (IAP)](/iap/docs/concepts-overview) by deploying an\nIAP connector.\nFor more information on how IAP secures on-premises apps and resources, see the [IAP for on-premises apps overview](/iap/docs/cloud-iap-for-on-prem-apps-overview).\n\nBefore you begin\n----------------\n\nBefore you begin, you need the following:\n\n- An HTTP or HTTPS based on-premises app.\n- A Cloud Identity member [granted the\n **Owner** role](/iam/docs/granting-changing-revoking-access#grant_access) on your Google Cloud project.\n- Granted the [Google APIs Service Agent](/iam/docs/service-agents#google-apis-service-agent) with owner role.\n- A Google Cloud project with [billing enabled](/billing/docs/how-to/modify-project).\n- The external URL to use as the ingress point for traffic to Google Cloud. For example, `www.hr-domain.com`.\n- An SSL or TLS certificate for the DNS hostname that is used as the ingress point for traffic to Google Cloud. An existing self-managed or [Google-managed](/load-balancing/docs/ssl-certificates#managed-certs) certificate can be used. If you don't have a certificate, create one using [Let's Encrypt](https://letsencrypt.org/).\n- If VPC Service Controls is enabled, a VPC network with an [egress policy](/vpc-service-controls/docs/ingress-egress-rules#egress_rules_reference) on `cp` action for the VM service account to the gce-mesh bucket, which is in project 278958399328. This grants the VPC network permission to retrieve the Envoy binary file from the gce-mesh bucket. The permission is granted by default, if VPC Service Controls is not enabled.\n- Disable an external IP by completing the following steps:\n\n 1. Enable Private Google Access on the VPC subnet that is used for the IAP connector by checking the box in the configuration. For additional information, see [Private Google Access](https://cloud.google.com/vpc/docs/private-google-access).\n 2. Ensure that the firewall configuration of the VPC network allows access from the VMs to the IP addresses used by the Google APIs and services. This is implicitly allowed by default, but can be changed by the users explicitly. For information about how to find the IP range, see [IP addresses for default domains](https://cloud.google.com/vpc/docs/configure-private-google-access#ip-addr-defaults).\n\nDeploy a connector for an on-premises app\n-----------------------------------------\n\n1. Go to the [IAP admin page](https://console.cloud.google.com/security/iap).\n\n [Go to the IAP admin page](https://console.cloud.google.com/security/iap)\n2. Begin setting up your connector deployment for an on-premises app by clicking\n **On-prem connectors setup**.\n\n3. Ensure that the required APIs are loaded by clicking **Enable APIs**.\n\n4. Choose whether the deployment should use a Google-managed certificate or one\n managed by you, select the network and subnet for the deployment (or choose\n to create a new one), and then click **Next**.\n\n5. Enter the details for an on-premises app you want to add:\n\n - The external URL of requests coming to Google Cloud. This URL is where traffic enters the environment.\n - A name for the app. It will also be used as the name for a new [backend service](/load-balancing/docs/backend-service) behind the load balancer.\n - The on-prem endpoint type and its details:\n\n - Fully qualified domain name (FQDN): The domain where the connector should forward the traffic.\n - IP address: One or more zones for where the IAP connector should be deployed (for example, `us-central1-a`) and, for each, the IPv4 address of the internal destination for the on-premises app to which IAP routes traffic after a user has been authorized and authenticated.\n\n | **Note:** If your on-prem endpoint is an IP address, consider using a [hybrid connectivity network endpoint group](https://cloud.google.com/load-balancing/docs/negs/hybrid-neg-concepts#use-case_routing_traffic_to_an_on-premises_location_or_another_cloud) directly with a load balancer instead of using the IAP on-prem connector.\n - The protocol used by the on-prem endpoint.\n\n - The port number used by the on-prem endpoint, such as 443 for HTTPS or 80 for HTTP.\n\n6. Click **Done** to save the details for that app. If you want, you can then\n define additional on-premises apps for the deployment.\n\n7. When you're ready, click **Submit** to begin deployment of the apps you've\n defined.\n\nOnce the deployment is complete, your on-prem connector apps appear in the\n**HTTP resources** table and IAP can be enabled.\n\nIf you choose to let Google auto-generate and manage the certificates, it might\ntake a few minutes for the certificates to provision. You can check the status\nat the Cloud Load Balancing detail page. For more information about the\nstatus, see\n[troubleshooting page](/load-balancing/docs/ssl-certificates/troubleshooting#certificate-managed-status).\n\nManage a connector for an on-premises app\n-----------------------------------------\n\n- You can add more apps to your deployment at any time by clicking **On-prem connectors setup**.\n- You can delete the on-premises connector by deleting the entire\n deployment:\n\n 1. Go to the [Deployment Manager page](https://console.cloud.google.com/dm/deployments).\n\n [Go to the Deployment Manager page](https://console.cloud.google.com/dm/deployments)\n 2. In the list of deployments, select the checkbox next to the\n \"on-prem-app-deployment\" deployment.\n\n 3. On the top of the page, click **Delete**\n\n- You can delete individual app by clicking the delete button in the\n **On-prem connectors setup**\n The on-premises connector must contains at least one app. To remove all app,\n please delete the entire deployment."]]
