Menyiapkan IAP untuk Compute Engine

Panduan ini menjelaskan cara menyiapkan instance Compute Engine dengan Identity-Aware Proxy (IAP). Jika Anda sudah menyiapkan instance Compute Engine dan hanya perlu mengaktifkan IAP, lihat Mengaktifkan IAP untuk Compute Engine.

Tujuan

Dalam tutorial ini, Anda akan mempelajari hal-hal berikut:

  • Membuat template instance Compute Engine dan grup instance terkelola (MIG).
  • Mendapatkan nama domain dan sertifikat.
  • Membuat load balancer HTTPS dengan sertifikat.
  • Mengaktifkan IAP.
  • Menguji apakah IAP berfungsi.

Biaya

Tutorial ini menggunakan komponen Google Cloud yang dapat ditagih, termasuk:

  • Compute Engine
    • 4 Virtual Machine (VM)
  • Networking
    • Aturan Penerusan Load Balancer Global
    • Traffic Ingress

Untuk perkiraan biaya berdasarkan proyeksi penggunaan, lihat Kalkulator Harga ini.

Pengguna Cloud Platform baru mungkin memenuhi syarat untuk mendapatkan uji coba gratis.

Sebelum memulai

Sebelum memulai tutorial ini, Anda memerlukan hal berikut:

  1. Pilih atau buat project Google Cloud.
    BUKA HALAMAN PROJECT

  2. Aktifkan penagihan untuk project Anda. Baca cara Mengubah setelan penagihan project

Langkah 1: Buat template Compute Engine

Di konsol Google Cloud, buka halaman Compute Engine > Create an instance template dan pilih project tempat Anda ingin membuat template.

BUKA HALAMAN CREATE AN INSTANCE TEMPLATE

Gunakan nilai default kecuali untuk hal berikut:

  • Jenis mesin:
    • micro (f1-micro)
  • Cakupan akses:
    • Tetapkan akses untuk setiap API
    • Compute Engine: Hanya Baca
  • Firewall:
    • Izinkan traffic HTTP
  • Di bagian Management, pada Automation > Startup script, salin dan tempel skrip berikut: 
    # Copyright 2021 Google LLC
#
# Licensed under the Apache License, Version 2.0 (the "License");
# you may not use this file except in compliance with the License.
# You may obtain a copy of the License at
#
#      http://www.apache.org/licenses/LICENSE-2.0
#
# Unless required by applicable law or agreed to in writing, software
# distributed under the License is distributed on an "AS IS" BASIS,
# WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
# See the License for the specific language governing permissions and
# limitations under the License.

apt-get -y update
apt-get -y install git
apt-get -y install virtualenv
git clone https://github.com/GoogleCloudPlatform/python-docs-samples
cd python-docs-samples/iap
virtualenv venv -p python3
source venv/bin/activate
pip install -r requirements.txt
cat example_gce_backend.py |
  sed -e "s/YOUR_BACKEND_SERVICE_ID/$(gcloud compute backend-services describe my-backend-service --global --format="value(id)")/g" |
  sed -e "s/YOUR_PROJECT_ID/$(gcloud config get-value account | tr -cd "[0-9]")/g" > real_backend.py
gunicorn real_backend:app -b 0.0.0.0:80

Setelah selesai memperbarui nilai, klik Create untuk membuat template.

Langkah 2: Buat Grup Instance Terkelola

Di konsol Google Cloud, buka halaman Compute Engine > Create a new instance group, lalu pilih project tempat Anda ingin membuat Grup Instance Terkelola.

BUKA HALAMAN CREATE AN INSTANCE GROUP

Gunakan nilai default kecuali untuk hal berikut:

  • Nama: my-managed-instance-group
  • Lokasi: Multi-zona
  • Template instance: Pilih template instance yang Anda buat di Langkah 1
  • Jumlah instance: Untuk mengubah jumlah instance, Anda harus menonaktifkan penskalaan otomatis terlebih dahulu.
  • Mode penskalaan otomatis: Jangan lakukan penskalaan otomatis

  • Health check: pilih Create a health check, lalu masukkan nilai berikut:

    • Name: my-health-check
    • Protokol: HTTP

    Gunakan health check baru dengan mengklik Simpan dan lanjutkan.

Setelah selesai memperbarui nilai, klik Buat untuk membuat Grup Instance Terkelola (MIG).

Langkah 3: Dapatkan nama dan sertifikat domain

Untuk menggunakan Load Balancer dengan traffic HTTPS, Anda memerlukan nama domain dan sertifikat yang ditandatangani. Anda dapat mendaftarkan domain di Google Domains, atau menggunakan registrar domain pilihan Anda. Daftarkan domain Anda sebelum melanjutkan panduan ini.

Menyiapkan sertifikat

Buat sertifikat yang mengidentifikasi situs Anda kepada pengguna. Untuk informasi tentang cara membuat sertifikat, lihat Menggunakan sertifikat SSL yang dikelola Google.

CA Anda harus memverifikasi bahwa Anda adalah pemilik nama domain yang Anda daftarkan. Pada langkah-langkah di bawah, Anda akan membuat VM untuk mengautentikasi domain dengan CA.

Membuat VM untuk mengautentikasi kepemilikan domain Anda

Di konsol Google Cloud, buka Compute Engine > Create an instance page.

BUKA HALAMAN CREATE AN INSTANCE

Gunakan nilai default kecuali untuk hal berikut:

  • Nama: certbot-vm
  • Jenis mesin: mikro (f1-micro)
  • Cakupan akses:
    • Tetapkan akses untuk setiap API
    • Compute Engine: Baca/Tulis
  • Boot disk image:
    • Debian GNU/Linux 9 (stretch)
  • Firewall:
    • Izinkan traffic HTTP
    • Izinkan traffic HTTPS

Setelah selesai memperbarui nilai, klik Create untuk membuat instance VM. Catat alamat IP Eksternal VM yang baru saja Anda buat. Anda akan memerlukannya di langkah berikutnya.

Menyiapkan domain agar mengarah ke VM

Untuk menyiapkan domain agar mengarah ke VM, ikuti langkah-langkah di bawah untuk mengonfigurasi data A:

  1. Login ke akun domain di host domain Anda.
  2. Temukan halaman untuk memperbarui data DNS domain Anda. Halaman ini mungkin bernama "Pengelolaan DNS", "Pengelolaan Server Nama", atau "Setelan Lanjutan".
  3. Ubah data A Anda ke nilai berikut:
    • Nama/Host/Alias: @
    • Nilai: Alamat IP eksternal VM yang Anda buat untuk mengautentikasi kepemilikan domain Anda di atas.
    • TTL: default untuk registrar Anda, atau 86400 (satu hari).
  4. Tunggu hingga data DNS diperbarui. Diperlukan waktu hingga satu hari agar data yang Anda tambahkan diterapkan.

Untuk mempelajari lebih lanjut, lihat Tentang data A.

Menguji server Anda

Untuk menguji apakah server Anda berfungsi dengan benar, ikuti langkah-langkah di bawah:

  1. Di konsol Google Cloud, buka halaman Compute Engine > VM Instances.
    BUKA HALAMAN VM INSTANCES

  2. Di bagian Connect untuk certbot-vm, klik SSH.

  3. Jalankan perintah berikut untuk menjalankan server web kecil di VM Anda:

      mkdir web
  cd web
  echo "Hello" > index.html
  sudo busybox httpd -v -f

  4. Di browser web, buka nama domain yang Anda daftarkan sebelumnya. Browser web Anda akan menampilkan Hello, dan sesi SSH akan menampilkan pesan yang berisi ... response:200. Jika tidak, tunggu beberapa menit, lalu ulangi langkah ini.

  5. Setelah pengujian berhasil, tekan Ctrl+C untuk menghentikan server web.

Membuat sertifikat

Untuk membuat sertifikat, daftar ke Let's Encrypt dengan menjalankan perintah berikut di VM tempat YOUR_DOMAIN adalah nama domain Anda, tidak termasuk protokol:

sudo pkill busybox
sudo apt-get install -y certbot
sudo certbot certonly --standalone -d YOUR-DOMAIN

Selama proses ini, Let's Encrypt dapat meminta alamat email agar dapat mengirim pengingat saat masa berlaku sertifikat Anda akan berakhir (secara default, 3 bulan setelah diterbitkan). Anda juga harus menyetujui Persyaratan Layanan yang ditetapkan oleh Let's Encrypt.

Setelah berhasil mendaftar, Anda akan melihat pesan yang bertuliskan Congratulations! Your certificate and chain have been saved at...

Menambahkan sertifikat ke project

Untuk menambahkan sertifikat ke project Anda, jalankan perintah berikut di VM:

sudo su
cd /etc/letsencrypt/live/YOUR_DOMAIN
gcloud compute ssl-certificates create my-cert --certificate=fullchain.pem --private-key=privkey.pem

Setelah berhasil membuat sertifikat, Anda akan melihat pesan yang mirip dengan: Created [https://www.googleapis.com/compute/v1/projects/example-project/global/sslCertificates/my-cert]

Sebelum melanjutkan, tutup sesi SSH.

Langkah 4: Buat load balancer

Sebelum memulai langkah ini, pastikan Anda menutup sesi SSH yang dimulai di langkah sebelumnya. Jika sudah siap, ikuti langkah-langkah di bawah ini untuk membuat load balancer:

  1. Di konsol Google Cloud, buka halaman Network Services > Create a load balancer, lalu pilih project yang ingin Anda buat load balancer-nya.
    BUKA HALAMAN CREATE LOAD BALANCER

  2. Pada HTTP(S) Load Balancing, klik Start configuration.

  3. Pilih From Internet to my VMs.

  4. Di halaman New external Application Load Balancer yang muncul, masukkan Name untuk load balancer Anda.

  5. Klik Backend configuration, lalu pilih Backend services > Create a backend service.

  6. Di panel Create back-end service, di kotak Name, masukkan my-backend-service.

  7. Di bagian Backend baru, gunakan nilai default kecuali untuk hal berikut:

    • Instance group: my-managed-instance-group

  8. Di bagian Health check, pilih my-health-check.

  9. Setelah selesai memperbarui nilai, klik Buat. Panel Load balancer HTTP(S) baru akan muncul kembali.

  10. Klik Host and path rules untuk memuat nilai default. Anda tidak perlu menambahkan aturan apa pun.

  11. Klik Frontend configuration. Gunakan nilai default kecuali untuk hal berikut:

    • Protokol: HTTPS
    • Alamat IP: klik Create IP address
      • Masukkan Nama untuk dikaitkan dengan alamat IP statis baru Anda.
      • Klik Reserve untuk mereservasi alamat IP statis.
    • Sertifikat: my-cert

  12. Setelah selesai memasukkan nilai konfigurasi frontend, klik Selesai.

  13. Klik Create. Halaman Load balancing akan muncul dan load balancer baru Anda akan dibuat dalam daftar load balancer.

  14. Setelah konsol Google Cloud selesai membuat load balancer baru, klik nama load balancer dan catat alamat IP eksternal di bagian Details > Frontend. Anda akan membutuhkannya pada langkah berikutnya.

Menyiapkan domain untuk mengarah ke load balancer

Untuk menyiapkan domain agar mengarah ke load balancer, konfigurasikan data A dengan mengikuti langkah-langkah di bawah ini:

  1. Login ke akun domain di host domain Anda.
  2. Temukan halaman untuk memperbarui data DNS domain Anda. Halaman ini mungkin bernama "Pengelolaan DNS", "Pengelolaan Server Nama", atau "Setelan Lanjutan".
  3. Ubah data A Anda ke nilai berikut:
    • Nama/Host/Alias: @
    • Nilai: alamat IP eksternal load balancer yang Anda buat di atas. Jangan sertakan port :443 dalam data DNS Anda.
    • TTL: default untuk registrar Anda, atau 86400 (satu hari).
  4. Tunggu hingga data DNS diperbarui. Mungkin perlu waktu hingga satu hari agar data yang baru saja Anda tambahkan dapat diterapkan.
  5. Untuk menguji load balancer, gunakan browser web untuk membuka domain Anda dengan protokol https://.
    • Jika load balancer belum disiapkan, Anda akan melihat error "HTTP 502".
    • Saat load balancer siap, Anda akan melihat "Permintaan tidak sah".

Untuk mempelajari lebih lanjut, lihat Tentang data A.

Mulai ulang VM

Untuk mengautentikasi permintaan dari IAP dengan benar, Anda harus memulai ulang VM di MIG dengan mengikuti langkah-langkah di bawah:

  1. Di konsol Google Cloud, buka halaman Compute Engine > Instance groups.
    BUKA HALAMAN GRUP INSTANCE
  2. Klik my-managed-instance-group.
  3. Di bagian atas detail grup instance yang muncul, klik Rolling Restart/Replace.
  4. Di halaman Restart/replace instances of my-managed-instance-group yang muncul, tetapkan nilai berikut:
    • Operasi: Mulai ulang
    • Maksimum tidak tersedia: 3 instance dari 3 instance
    • Waktu tunggu minimum: 0 dtk
  5. Setelah selesai memperbarui nilai, klik Mulai ulang.

Langkah 5: Siapkan IAP

Mengonfigurasi firewall

Selanjutnya, Anda akan mengonfigurasi firewall untuk memblokir akses ke VM yang mendasarinya dan hanya mengizinkan akses melalui IAP:

  1. Buka Konsol Google Cloud VPC network > Firewall rules.
    BUKA HALAMAN PERATURAN FIREWALL
  2. Centang kotak di samping aturan berikut:
    • default-allow-http
    • default-allow-https
    • default-allow-internal
  3. Klik Hapus.
  4. Klik Create firewall rule dan tetapkan nilai berikut:
    • Nama: allow-iap-traffic
    • Target: Semua instance dalam jaringan
    • Rentang IP sumber (tekan Enter setelah Anda menempelkan setiap nilai di kotak). Rentang IP diizinkan karena merupakan prasyarat untuk komunikasi load balancer ke backend.
      • 130.211.0.0/22
      • 35.191.0.0/16
    • Protokol dan port:
      • Protokol dan port yang ditentukan
      • tcp:80
  5. Setelah selesai memperbarui nilai, klik Buat.

Menyiapkan IAP

Untuk menyiapkan IAP untuk project Anda, ikuti langkah-langkah di bawah ini:

  1. Di konsol Google Cloud, buka halaman Security > Identity-Aware Proxy, lalu pilih project yang IAP-nya ingin Anda aktifkan.
    BUKA HALAMAN IDENTITY-AWARE PROXY

  2. Jika belum mengonfigurasi layar izin OAuth project, Anda akan diminta untuk melakukannya:

    1. Buka OAuth consent screen.
      Konfigurasi layar izin
    2. Di bagian Email dukungan, pilih alamat email yang ingin Anda tampilkan sebagai kontak publik. Alamat email harus milik akun pengguna yang saat ini login atau milik Grup Google yang pengelola atau pemiliknya adalah pengguna yang saat ini login.
    3. Masukkan Nama aplikasi yang ingin ditampilkan.
    4. Tambahkan detail opsional yang Anda inginkan.
    5. Klik Simpan.

    Untuk mengubah informasi di layar izin OAuth nanti, seperti nama produk atau alamat email, ulangi langkah-langkah sebelumnya untuk mengonfigurasi layar izin.

  3. Di samping my-backend-service,

  4. Di jendela Turn on IAP yang muncul, centang kotak di samping "I have read the configuration requirements and configured my Compute Engine resource according to documentation."

  5. Klik Aktifkan.

Menambahkan akun utama ke daftar akses

Selanjutnya, Anda akan menambahkan akun utama ke daftar akses IAP untuk project Anda.

  1. Di bagian Access di sisi kanan IAM & admin > Identity-Aware Proxy, klik Add.
  2. Masukkan akun utama yang ingin Anda beri akses, termasuk diri Anda sendiri, dan tetapkan akun utama tersebut ke peran IAP-secured Web App User. Akun utama dapat berupa:
    • Akun Google: user@gmail.com
    • Google Grup: admins@googlegroups.com
    • Akun layanan: server@example.gserviceaccount.com
    • Domain Google Workspace: example.com

Langkah 6: Uji IAP

Untuk menguji apakah IAP berfungsi dengan benar, ikuti langkah-langkah di bawah:

  1. Di browser web, buka domain Anda.
    1. Jika Anda melihat "Permintaan tidak sah", coba lagi dalam beberapa menit.
  2. Saat Anda melihat layar login Google, login menggunakan Akun Google yang Anda beri akses di langkah sebelumnya.
  3. Anda akan melihat pesan seperti "Halo, user@example.com. Saya adalah my-managed-instance-group-29z6".
  4. Coba muat ulang halaman. Browser Anda akan menampilkan nama 3 mesin di grup instance terkelola. Ini adalah load balancer yang mendistribusikan traffic di seluruh VM dalam grup.

Selamat! Anda telah berhasil mengaktifkan layanan load-balanced menggunakan IAP.

Pembersihan

Agar tidak perlu membayar biaya pada akun Google Cloud Anda untuk resource yang digunakan dalam tutorial ini, hapus project yang berisi resource tersebut, atau simpan project dan hapus setiap resource.

Setelah selesai menyiapkan IAP untuk Compute Engine, Anda dapat menghapus resource yang dibuat di Google Cloud sehingga Anda tidak akan ditagih untuk resource tersebut di masa mendatang. Bagian berikut menjelaskan cara menghapus atau menonaktifkan resource ini.

Menghapus project

Cara termudah untuk menghilangkan penagihan adalah dengan menghapus project yang Anda buat untuk tutorial.

Untuk menghapus project:

  1. In the Google Cloud console, go to the Manage resources page.

    Go to Manage resources

  2. In the project list, select the project that you want to delete, and then click Delete.
  3. In the dialog, type the project ID, and then click Shut down to delete the project.

Menghapus instance

Untuk menghapus instance Compute Engine:

  1. In the Google Cloud console, go to the VM instances page.

    Go to VM instances

  2. Select the checkbox for the instance that you want to delete.
  3. To delete the instance, click More actions, click Delete, and then follow the instructions.

Menghapus aturan firewall untuk jaringan default

Untuk menghapus aturan firewall:

  1. In the Google Cloud console, go to the Firewall page.

    Go to Firewall

  2. Select the checkbox for the firewall rule that you want to delete.
  3. To delete the firewall rule, click Delete.

Langkah selanjutnya

  • Coba ubah contoh aplikasi yang kita gunakan dalam tutorial ini untuk menayangkan data lain.
  • Baca Praktik Terbaik untuk memahami cara menulis aplikasi Anda sendiri dan mengamankannya dengan IAP.