Configurazione di IAP per Compute Engine

---

Questa guida descrive come configurare un'istanza Compute Engine Identity-Aware Proxy (IAP). Se hai già dell'istanza Compute Engine e deve solo abilitarla IAP, vedi Abilitazione di IAP per Compute Engine.

Obiettivi

In questo tutorial imparerai a:

• Creazione di un modello di istanza Compute Engine e di un gruppo di istanze gestite (MIG).
• Ottenere un nome di dominio e un certificato.
• Creazione di un bilanciatore del carico HTTPS con un certificato.
• Attivazione di IAP.
• Il test di IAP funziona.

Costi

Questo tutorial utilizza componenti fatturabili di Google Cloud, tra cui:

• Google Compute Engine
  • 4 macchine virtuali (VM)
• Networking
  • Regola di forwarding del bilanciatore del carico globale
  • Traffico in ingresso

Per una stima dei costi basati sull'utilizzo previsto, consulta questo Calcolatore prezzi.

I nuovi utenti della piattaforma Cloud hai diritto a una prova gratuita.

Prima di iniziare

Prima di iniziare questo tutorial, avrai bisogno di quanto segue:

1. Seleziona o crea un progetto Google Cloud.
   VAI ALLA PAGINA PROGETTI

2. Abilita la fatturazione per il tuo progetto. Leggi come Modificare le impostazioni di fatturazione di un progetto

Passaggio 1: crea un modello Compute Engine

Nella console Google Cloud, vai alla Compute Engine > Crea un modello di istanza e seleziona il progetto in cui vuoi creare un modello.

VAI ALLA PAGINA CREARE UN MODELLO DI ISTANZA

Utilizza i valori predefiniti, ad eccezione di quanto segue:

• Tipo di macchina:
  .
  • micro (f1-micro)
• Ambiti di accesso:
  .
  • Imposta l'accesso per ogni API
  • Compute Engine: Sola lettura
• Firewall:
  .
  • Consenti traffico HTTP
• Nella sezione Gestione, in Automazione > Script di avvio, copia e incolla il seguente script:

  # Copyright 2021 Google LLC
  #
  # Licensed under the Apache License, Version 2.0 (the "License");
  # you may not use this file except in compliance with the License.
  # You may obtain a copy of the License at
  #
  #      http://www.apache.org/licenses/LICENSE-2.0
  #
  # Unless required by applicable law or agreed to in writing, software
  # distributed under the License is distributed on an "AS IS" BASIS,
  # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  # See the License for the specific language governing permissions and
  # limitations under the License.
  
  apt-get -y update
  apt-get -y install git
  apt-get -y install virtualenv
  git clone https://github.com/GoogleCloudPlatform/python-docs-samples
  cd python-docs-samples/iap
  virtualenv venv -p python3
  source venv/bin/activate
  pip install -r requirements.txt
  cat example_gce_backend.py |
    sed -e "s/YOUR_BACKEND_SERVICE_ID/$(gcloud compute backend-services describe my-backend-service --global --format="value(id)")/g" |
    sed -e "s/YOUR_PROJECT_ID/$(gcloud config get-value account | tr -cd "[0-9]")/g" > real_backend.py
  gunicorn real_backend:app -b 0.0.0.0:80
  

Dopo aver aggiornato i valori, fai clic su Crea per creare il modello.

Passaggio 2: crea un gruppo di istanze gestite

Nella console Google Cloud, vai alla Compute Engine > Crea un nuovo gruppo di istanze e seleziona il progetto in cui vuoi creare un'istanza gestita Gruppo.

VAI ALLA PAGINA CREA UN GRUPPO DI ISTANZE

Utilizza i valori predefiniti, ad eccezione di quanto segue:

• Nome:my-managed-instance-group
• Località:multizona
• Modello di istanza:seleziona il modello di istanza che hai creato nel passaggio 1.
• Numero di istanze: per modificare il numero di istanze, devi prima disattivare la scalabilità automatica.
• Modalità di scalabilità automatica: Non scalare automaticamente

• Controllo di integrità:seleziona Crea un controllo di integrità, quindi inserisci quanto segue valori:

  • Nome: my-health-check
  • Protocollo: HTTP

  Utilizza il nuovo controllo di integrità facendo clic su Salva e continua.

Dopo aver aggiornato i valori, fai clic su Crea per creare l'interfaccia utente gruppo di istanze (MIG).

Passaggio 3: ottieni un nome di dominio e un certificato

Per utilizzare il bilanciatore del carico con il traffico HTTPS, sono necessari un nome di dominio e una certificato firmato. Puoi registrare un dominio su Google Domains, oppure utilizza il registrar di dominio che preferisci. Registrare il dominio prima di continua questa guida.

Configurare il certificato

Crea un certificato che identifichi il tuo sito web per i tuoi utenti. Per informazioni su come creare un certificato, consulta l'articolo sull'utilizzo dei certificati SSL gestiti da Google.

La tua CA deve verificare che il nome di dominio che hai registrato sia di tua proprietà. Nei passaggi di seguito, creerai una VM per autenticare il tuo dominio con la CA.

Crea una VM per autenticare la proprietà del dominio

Nella console Google Cloud, vai alla Compute Engine > Crea una pagina dell'istanza.

VAI ALLA PAGINA CREA UN'ISTANZA

Utilizza i valori predefiniti, ad eccezione di quanto segue:

• Nome:certbot-vm
• Tipo di macchina: micro (f1-micro)
• Ambiti di accesso:
  .
  • Imposta l'accesso per ogni API
  • Compute Engine: lettura/scrittura
• Immagine disco di avvio:
  .
  • Debian GNU/Linux 9 (stretch)
• Firewall:
  .
  • Consenti traffico HTTP
  • Consenti traffico HTTPS

Dopo aver aggiornato i valori, fai clic su Crea per creare la VM. in esecuzione in un'istanza Compute Engine. Prendi nota dell'indirizzo IP esterno della VM appena creata. Ti serviranno nel passaggio successivo.

Configura il dominio in modo che rimandi alla VM

Per configurare il dominio in modo che punti alla VM, segui questi passaggi record:

1. Accedi all'account del tuo dominio presso l'host.
2. Trova la pagina per aggiornare i record DNS del dominio. Questa pagina potrebbe essere chiamata ad esempio "Gestione DNS", "Name Server Management" (Gestione server dei nomi), o "Impostazioni avanzate"
3. Modifica i record A con i seguenti valori:
   • Nome/Host/Alias: @
   • Valore: l'indirizzo IP esterno della VM creata in precedenza per autenticare la proprietà del dominio.
   • TTL: il valore predefinito per il registrar o 86400 (un giorno).
4. Attendi l'aggiornamento del record DNS. La registrazione può richiedere fino a un giorno aggiunto per la propagazione.

Per saperne di più, vedi Informazioni sui record A.

testa il server

Per verificare che il server funzioni correttamente, segui questi passaggi:

1. Nella console Google Cloud, vai alla Compute Engine > Istanze VM.
   VAI ALLA PAGINA ISTANZE VM

2. In Connetti per certbot-vm, fai clic su SSH.

3. Esegui questi comandi per eseguire un piccolo server web sulla VM:

     mkdir web
     cd web
     echo "Hello" > index.html
     sudo busybox httpd -v -f
   

4. In un browser web, vai al nome di dominio che hai registrato in precedenza. Il tuo sito web nel browser dovrebbe essere visualizzato Hello e la sessione SSH dovrebbe visualizzare che contiene ... response:200. In caso contrario, attendi qualche minuto. ripeti questo passaggio.

5. Se il test ha esito positivo, premi Ctrl+C per interrompere il web o server web.

Crea un certificato

Per creare un certificato, registrati con Let's Encrypt eseguendo questi comandi sulla VM in cui YOUR_DOMAIN è nome di dominio, escluso il protocollo:

sudo pkill busybox
sudo apt-get install -y certbot
sudo certbot certonly --standalone -d YOUR-DOMAIN

Durante questo processo, Let's Encrypt potrebbe richiedere un indirizzo email per inviare un un promemoria relativo alla scadenza del certificato (per impostazione predefinita, tre mesi dopo quando viene emesso). Devi anche accettare i Termini di servizio stabiliti da Let's Encrypt.

Una volta completata la registrazione, dovrebbe essere visualizzato il messaggio Congratulations! Your certificate and chain have been saved at...

Aggiungi il certificato al progetto

Per aggiungere il certificato al progetto, esegui i comandi seguenti sulla VM:

sudo su
cd /etc/letsencrypt/live/YOUR_DOMAIN
gcloud compute ssl-certificates create my-cert --certificate=fullchain.pem --private-key=privkey.pem

Dopo avere creato il certificato, dovresti visualizzare un messaggio simile a: Created [https://www.googleapis.com/compute/v1/projects/example-project/global/sslCertificates/my-cert]

Prima di continuare, chiudi la sessione SSH.

Passaggio 4: crea un bilanciatore del carico

Prima di iniziare questo passaggio, assicurati di aver chiuso la sessione SSH avviata al passaggio precedente. Quando è tutto pronto, segui questi passaggi per creare un caricamento bilanciatore del carico:

1. Nella console Google Cloud, vai alla Servizi di rete > Crea un bilanciatore del carico e seleziona il progetto per il quale vuoi creare un bilanciatore del carico.
   VAI ALLA PAGINA CREARE UN Bilanciatore del carico

2. In Bilanciamento del carico HTTP(S), fai clic su Avvia configurazione.

3. Seleziona Da internet alle mie VM.

4. Nella pagina Nuovo bilanciatore del carico delle applicazioni esterno che viene visualizzata, inserisci un Nome per il bilanciatore del carico.

5. Fai clic su Configurazione backend, quindi seleziona Servizi di backend > Crea un di backend.

6. Nel riquadro Crea servizio di backend, nella casella Nome, inserisci my-backend-service.
   

   Attenzione: devi usare l'impostazione esatta Nome my-backend-service. Se usi un nome diverso, lo script di avvio sulle tue VM non sarà trovare l'ID servizio di backend corretto per autenticare le richieste.

7. In Nuovo backend, utilizza i valori predefiniti, ad eccezione di quanto segue:

   • Gruppo di istanze: my-managed-instance-group

8. In Controllo di integrità, seleziona my-health-check.

9. Dopo aver aggiornato i valori, fai clic su Crea. Il nuovo protocollo HTTP(S) del bilanciatore del carico.

10. Fai clic su Regole host e percorso per caricare i valori predefiniti. Non è necessario e aggiungere regole.

11. Fai clic su Configurazione frontend. Utilizza i valori predefiniti, ad eccezione di seguenti:

    • Protocollo:HTTPS
    • Indirizzo IP:fai clic su Crea indirizzo IP.
      .
      • Inserisci un Nome da associare al nuovo indirizzo IP statico.
      • Fai clic su Prenota per prenotare l'indirizzo IP statico.
    • Certificato:my-cert

12. Dopo aver inserito i valori della configurazione frontend, fai clic su Fine.

13. Fai clic su Crea. Il carico viene visualizzata la pagina e il nuovo bilanciatore del carico verrà creato dei bilanciatori del carico.

14. Al termine della creazione del nuovo bilanciatore del carico, fai clic sul nome del bilanciatore del carico e prendi nota dell'indirizzo IP esterno Dettagli > Frontend. Ti servirà nel passaggio successivo.

Configura il tuo dominio in modo che punti al bilanciatore del carico

Per configurare il dominio in modo che punti al bilanciatore del carico, configura i record A procedendo nel seguente modo:

1. Accedi all'account del tuo dominio presso l'host.
2. Trova la pagina per aggiornare i record DNS del dominio. Questa pagina potrebbe essere chiamata ad esempio "Gestione DNS", "Name Server Management" (Gestione server dei nomi), o "Impostazioni avanzate"
3. Modifica i record A con i seguenti valori:
   • Nome/Host/Alias: @
   • Valore:l'indirizzo IP esterno del bilanciatore del carico che hai creato in alto. Non includere la porta :443 nel tuo record DNS.
   • TTL: il valore predefinito per il registrar o 86400 (un giorno).
4. Attendi l'aggiornamento del record DNS. La registrazione può richiedere fino a un giorno che hai appena aggiunto per la propagazione.
5. Per testare il bilanciatore del carico, utilizza un browser web per accedere al tuo dominio con una protocollo https://.
   • Se il bilanciatore del carico non è ancora configurato, verrà visualizzato "HTTP 502" errori.
   • Quando il bilanciatore del carico è pronto, vedrai "Richiesta non autorizzata".

Per saperne di più, vedi Informazioni sui record A.

Riavvia le VM

Per autenticare correttamente le richieste da IAP, devi riavviare alle VM nel gruppo di istanze gestite seguendo questi passaggi:

1. Nella console Google Cloud, vai alla Compute Engine > Pagina Gruppi di istanze.
   VAI ALLA PAGINA GRUPPI DI ISTANZE
2. Fai clic su my-managed-instance-group.
3. Nella parte superiore dei dettagli del gruppo di istanze visualizzati, fai clic su Rotazione in sequenza Riavvia/sostituisci.
4. Nella pagina Riavvia/sostituisci le istanze di my-managed-instance-group che , imposta i seguenti valori:
   .
   • Operazione: riavvia
   • Numero massimo non disponibili: 3 istanze su 3
   • Tempo di attesa minimo: 0 s
5. Dopo avere aggiornato i valori, fai clic su Riavvia.

Passaggio 5: configura IAP

Configura il firewall

Il passaggio successivo consiste nel configurare il firewall in modo da bloccare l'accesso alle VM sottostanti Consenti l'accesso solo tramite IAP:

1. Vai alla console Google Cloud Rete VPC > Regole firewall.
   VAI ALLA PAGINA REGOLE FIREWALL
2. Seleziona la casella di controllo accanto alle seguenti regole:
   • default-allow-http
   • default-allow-https
   • default-allow-internal
3. Fai clic su Elimina.
4. Fai clic su Crea regola firewall e imposta i seguenti valori:
   .
   • Nome:allow-iap-traffic
   • Destinazioni: tutte le istanze nella rete
   • Intervalli IP di origine (premi Invio dopo aver incollato ogni valore) contenuto nella confezione). Gli intervalli IP sono inseriti nella lista consentita perché è un prerequisito per la comunicazione del bilanciatore del carico con i backend.
     • 130.211.0.0/22
     • 35.191.0.0/16
   • Protocolli e porte:
     .
     • Protocolli e porte specificati
     • tcp:80
5. Dopo aver aggiornato i valori, fai clic su Crea.

Configura IAP

Per configurare IAP per il tuo progetto, segui questi passaggi:

1. Nella console Google Cloud, vai alla Sicurezza > Identity-Aware Proxy e seleziona il progetto per cui vuoi abilitare IAP.
   VAI ALLA PAGINA PROXY DI IDENTITY-AWARE

2. Se non hai configurato la schermata per il consenso OAuth del progetto, dovrai richiesto:

   Attenzione: non inserire informazioni riservate nella schermata per il consenso OAuth. Le informazioni salvate nella schermata per il consenso OAuth potrebbero essere visibili pubblicamente a chiunque acceda al tuo URL. L'email e i dettagli del prodotto vengono visualizzati nella schermata di accesso e quando qualcuno tenta di accedere a una risorsa per la quale non ha l'autorizzazione.
   1. Vai alla schermata di consenso OAuth.
      Configura la schermata per il consenso
   2. In Email di assistenza, seleziona l'indirizzo email da visualizzare come contatto pubblico. L'indirizzo email deve appartenere all'account utente attualmente collegato o a un gruppo Google per cui l'utente che ha attualmente eseguito l'accesso è un gestore o proprietario.
   3. Inserisci il nome dell'applicazione da visualizzare.
   4. Aggiungi eventuali dettagli facoltativi.
   5. Fai clic su Salva.

   Per modificare le informazioni sulla schermata per il consenso OAuth in un secondo momento, ad esempio il nome del prodotto o l'indirizzo email, ripeti i passaggi precedenti per configurare la schermata per il consenso.

3. Accanto a my-backend-service, attiva o disattiva l'opzione Colonna IAP.

4. Nella finestra Attiva IAP visualizzata, seleziona la casella di controllo accanto "Ho letto i requisiti di configurazione e configurato Compute Engine risorsa in base alla documentazione."

5. Fai clic su Attiva.

Nota: se non hai una licenza Chrome Enterprise Premium e configuri la tua applicazione usando un bilanciatore del carico interno, la tua applicazione non viene mostrata la pagina Identity-Aware Proxy. Per utilizzare bilanciatore del carico interno devi avere una licenza Chrome Enterprise Premium.

Aggiungi entità all'elenco per gli accessi

Successivamente, aggiungerai entità all'elenco per gli accessi IAP del progetto.

1. Nella piattaforma IAM e amministratore > Identity-Aware Proxy a destra nella sezione Accesso, fai clic su Aggiungi.
2. Inserisci le entità a cui vuoi concedere l'accesso, incluso te, e e assegnare alle entità il ruolo Utente applicazione web con protezione IAP. Le entità possono essere:
   • Account Google: [e-mail]
   • Google Gruppi: [e-mail]
   • Account di servizio: [e-mail]
   • Domini Google Workspace: example.com

Passaggio 6: testa IAP

Per verificare che IAP funzioni correttamente, segui questi passaggi:

1. Nel browser web, vai al tuo dominio.
   1. Se vedi il messaggio "Richiesta non autorizzata", riprova tra qualche minuto.
2. Quando vedi una schermata di accesso a Google, accedi con l'Account Google che a cui hai concesso l'accesso nel passaggio precedente.
3. Dovresti visualizzare un messaggio simile a "Ciao, [e-mail]. Sono my-managed-instance-group-29z6."
4. Prova ad aggiornare la pagina. Il browser dovrebbe mostrare i nomi dei tre nel tuo gruppo di istanze gestite. Questo è il bilanciatore del carico che distribuisce il traffico tra le VM nel gruppo.

Complimenti! Hai abilitato un servizio con bilanciamento del carico utilizzando IAP.

Esegui la pulizia

Per evitare che al tuo Account Google Cloud vengano addebitati costi relativi alle risorse utilizzate in questo tutorial, elimina il progetto che contiene le risorse oppure mantieni il progetto ed elimina le singole risorse.

Dopo aver configurato IAP per Compute Engine, puoi eseguire la pulizia delle risorse che hai creato su Google Cloud per evitare fatturati in futuro. Le seguenti sezioni descrivono come eliminare o per disattivare queste risorse.

Elimina il progetto

Il modo più semplice per eliminare la fatturazione creato per il tutorial.

Per eliminare il progetto:

Attenzione: l'eliminazione di un progetto ha i seguenti effetti:

• L'intero contenuto del progetto viene eliminato. Se hai utilizzato un progetto esistente per le attività in questo documento, quando lo elimini elimini anche qualsiasi altro lavoro svolto nel progetto.
• Gli ID progetto personalizzati non sono più disponibili. Quando hai creato questo progetto, potresti aver creato un ID progetto personalizzato che vuoi utilizzare in futuro. Per conservare gli URL che utilizzano l'ID progetto, ad esempio un URL appspot.com, elimina le risorse selezionate all'interno del progetto anziché eliminare l'intero progetto.

Se intendi esplorare più architetture, tutorial o guide rapide, puoi riutilizzare i progetti ed evitare così di superare i limiti di quota.

1. Nella console Google Cloud, vai alla pagina Gestisci risorse.

   Vai a Gestisci risorse

2. Nell'elenco dei progetti, seleziona il progetto che vuoi eliminare, quindi fai clic su Elimina.
3. Nella finestra di dialogo, digita l'ID del progetto e fai clic su Chiudi per eliminare il progetto.

Eliminazione di istanze

Per eliminare un'istanza di Compute Engine:

1. Nella console Google Cloud, vai alla pagina Istanze VM.

   Vai a Istanze VM

2. Seleziona la casella di controllo per l'istanza che vuoi eliminare.
3. Per eliminare l'istanza, fai clic su Altre azioni, quindi su Elimina e segui le istruzioni.

Eliminazione delle regole firewall per la rete predefinita in corso...

Per eliminare una regola firewall:

1. Nella console Google Cloud, vai alla pagina Firewall.

   Vai a Firewall

2. Seleziona la casella di controllo per la regola firewall che vuoi eliminare.
3. Per eliminare la regola firewall, fai clic su Elimina.

Passaggi successivi

• Prova a modificare il app di esempio che abbiamo usato in questo tutorial per gestire altri dati.
• Leggi le best practice per a scrivere le tue app e a proteggerle con IAP.