IAP für Compute Engine einrichten

In diesem Handbuch wird gezeigt, wie Sie eine Compute Engine-Instanz mit Identity-Aware Proxy (IAP) einrichten. Wenn Sie Ihre Compute Engine-Instanz bereits eingerichtet haben und IAP nur aktivieren müssen, finden Sie entsprechende Informationen unter IAP für Compute Engine aktivieren.

Ziele

In dieser Anleitung erfahren Sie Folgendes:

  • Compute Engine-Instanzvorlage und verwaltete Instanzgruppe erstellen
  • Domainname und Zertifikat abrufen
  • HTTPS-Load-Balancer mit einem Zertifikat erstellen
  • IAP aktivieren
  • IAP auf Funktionsfähigkeit testen

Kosten

In dieser Anleitung werden kostenpflichtige Komponenten von Google Cloud verwendet, darunter die folgenden:

  • Compute Engine
    • 4 virtuelle Maschinen (VM)
  • Netzwerk
    • Globale Weiterleitungsregel für Load-Balancer
    • Eingehender Traffic

Mit dem Preisrechner können Sie die Kosten basierend auf der geplanten Nutzung schätzen.

Neuen Cloud Platform-Nutzern steht gegebenenfalls eine kostenlose Testversion zur Verfügung.

Vorbereitung

Für diese Anleitung müssen Sie Folgendes ausführen:

  1. Wählen Sie ein Google Cloud-Projekt aus oder erstellen Sie eines.
    ZUR SEITE "PROJEKTE"

  2. Aktivieren Sie die Abrechnung für Ihr Projekt. Erfahren Sie mehr darüber, wie Sie die Abrechnungseinstellungen eines Projekts ändern können.

Schritt 1: Compute Engine-Vorlage erstellen

Rufen Sie in der Cloud Console die Seite Compute Engine > Instanzvorlage erstellen auf und wählen Sie das Projekt aus, in dem Sie eine Vorlage erstellen möchten.

ZUR SEITE "INSTANZVORLAGE ERSTELLEN"

Übernehmen Sie die Standardwerte mit Ausnahme der folgenden:

  • Maschinentyp:
    • micro (f1-micro)
  • Zugriffsbereiche:
    • Zugriff für jede API festlegen
    • Compute Engine: Schreibgeschützt
  • Firewall:
    • HTTP-Traffic zulassen
  • Kopieren Sie im Abschnitt Verwaltung unter Automatisierung > Startskript das folgende Skript und fügen Sie es ein:
    apt-get -y update
    apt-get -y install git
    apt-get -y install virtualenv
    git clone https://github.com/GoogleCloudPlatform/python-docs-samples
    cd python-docs-samples/iap
    virtualenv venv -p python3
    source venv/bin/activate
    pip install -r requirements.txt
    cat example_gce_backend.py |
      sed -e "s/YOUR_BACKEND_SERVICE_ID/$(gcloud compute backend-services describe my-backend-service --global --format="value(id)")/g" |
      sed -e "s/YOUR_PROJECT_ID/$(gcloud config get-value account | tr -cd "[0-9]")/g" > real_backend.py
    gunicorn real_backend:app -b 0.0.0.0:80
    

Wenn Sie alle Werte aktualisiert haben, klicken Sie auf Erstellen, um die Vorlage zu erstellen.

Schritt 2: Verwaltete Instanzgruppe erstellen

Rufen Sie in der Cloud Console die Seite Compute Engine > Neue Instanzgruppe erstellen auf und wählen Sie das Projekt aus, in dem Sie eine verwaltete Instanzgruppe erstellen möchten.

ZUR SEITE "INSTANZGRUPPE ERSTELLEN"

Übernehmen Sie die Standardwerte mit Ausnahme der folgenden:

  • Name: my-managed-instance-group
  • Ort: Multi-Zone
  • Instanzvorlage: Wählen Sie die Instanzvorlage aus, die Sie in Schritt 1 erstellt haben.
  • Anzahl der Instanzen: 3
  • Systemdiagnose: Wählen Sie Systemdiagnose erstellen aus und geben Sie folgende Werte ein:

    • Name: my-health-check
    • Protokoll: HTTP

    Verwenden Sie die neue Systemdiagnose und klicken Sie dafür auf Speichern und fortfahren.

Wenn Sie alle Werte aktualisiert haben, klicken Sie auf Erstellen, um die verwaltete Instanzgruppe zu erstellen.

Schritt 3: Domainname und Zertifikat abrufen

Um den Load-Balancer mit HTTPS-Traffic nutzen zu können, benötigen Sie einen Domainnamen und ein signiertes Zertifikat. Sie können eine Domain bei Google Domains registrieren oder den Domain-Registrator Ihrer Wahl verwenden. Registrieren Sie Ihre Domain, bevor Sie mit dieser Anleitung fortfahren.

Zertifikat einrichten

Let's Encrypt ist eine kostenlose, gemeinnützige Zertifizierungsstelle. Mithilfe ihrer Dienste erstellen Sie ein Zertifikat, das Ihre Website gegenüber Ihren Nutzern gegenüber identifiziert.

Die Zertifizierungsstelle muss bestätigen, dass Sie Inhaber des von Ihnen registrierten Domainnamens sind. In den folgenden Schritten erstellen Sie eine VM, um Ihre Domain bei der Zertifizierungsstelle zu authentifizieren.

VM zum Authentifizieren der Domaininhaberschaft erstellen

Rufen Sie in der Cloud Console die Seite Compute Engine > Instanz erstellen auf.

ZUR SEITE "INSTANZ ERSTELLEN"

Übernehmen Sie die Standardwerte mit Ausnahme der folgenden:

  • Name: certbot-vm
  • Maschinentyp: micro (f1-micro)
  • Zugriffsbereiche:
    • Zugriff für jede API festlegen
    • Compute Engine: Lesen/Schreiben
  • Bootlaufwerk-Image:
    • Debian GNU/Linux 9 (Stretch)
  • Firewall:
    • HTTP-Traffic zulassen
    • HTTPS-Traffic zulassen

Wenn Sie mit dem Aktualisieren der Werte fertig sind, klicken Sie auf Erstellen, um die VM-Instanz zu erstellen. Notieren Sie die externe IP-Adresse der VM, die Sie gerade erstellt haben. Sie benötigen sie im nächsten Schritt.

Domain so einrichten, dass sie auf die VM verweist

Konfigurieren Sie mithilfe der folgenden Schritte die A-Einträge, um Ihre Domain so einzurichten, dass sie auf die VM verweist:

  1. Melden Sie sich in Ihrem Domainkonto bei Ihrem Domainhost an.
  2. Suchen Sie die Seite, um die DNS-Einträge der Domain zu aktualisieren. Der Name dieser Seite lautet in etwa "DNS-Verwaltung", "Nameserver-Verwaltung", "Erweiterte Einstellungen" oder ähnlich.
  3. Ändern Sie die Werte der A-Einträge folgendermaßen:
    • Name/Host/Alias: @
    • Wert: Die externe IP-Adresse der VM, die Sie zuvor für die Authentifizierung Ihrer Domaininhaberschaft erstellt haben.
    • TTL: Der Standardwert für Ihren Registrator oder 86400 (ein Tag).
  4. Warten Sie, bis der DNS-Eintrag aktualisiert wurde. Es kann bis zu einem Tag dauern, bis der Eintrag, den Sie hinzugefügt haben, weitergegeben wird.

Weitere Informationen finden Sie unter A-Einträge.

Server testen

Gehen Sie so vor, um zu testen, ob der Server ordnungsgemäß funktioniert:

  1. Rufen Sie in der Cloud Console die Seite Compute Engine > VM-Instanzen auf.
    ZUR SEITE "VM-INSTANZEN"

  2. Klicken Sie unter Verbinden für certbot-vm auf SSH.

  3. Führen Sie die folgenden Befehle aus, um einen kleinen Webserver auf Ihrer VM auszuführen:

      mkdir web
      cd web
      echo "Hello" > index.html
      sudo busybox httpd -v -f
    
  4. Geben Sie in einem Webbrowser den Domainnamen ein, den Sie zuvor registriert haben. Im Webbrowser sollte Hello angezeigt werden und Ihre SSH-Sitzung sollte eine Nachricht darstellen, die ... response:200 enthält. Ist dies nicht der Fall, warten Sie einige Minuten und wiederholen Sie diesen Schritt.

  5. Nach erfolgreichem Test drücken Sie Strg+C, um den Webserver zu beenden.

Zertifikat erstellen

Melden Sie sich bei Let's Encrypt an und erstellen Sie ein Zertifikat. Führen Sie dazu die folgenden Befehle auf der VM aus, wobei YOUR_DOMAIN Ihr Domainname ohne Protokoll ist:

sudo pkill busybox
sudo apt-get install -y certbot
sudo certbot certonly --standalone -d YOUR-DOMAIN

Während dieses Vorgangs kann Let's Encrypt eine E-Mail-Adresse anfordern, um eine Erinnerung zu senden, wenn Ihr Zertifikat abläuft (standardmäßig 3 Monate nach der Ausstellung). Sie müssen außerdem den Nutzungsbedingungen von Let's Encrypt zustimmen.

Nach erfolgreicher Registrierung wird folgende Meldung angezeigt: Congratulations! Your certificate and chain have been saved at...

Zertifikat zu Projekt hinzufügen

Zum Hinzufügen des Zertifikats zu Ihrem Projekt führen Sie die folgenden Befehle auf der VM aus:

sudo su
cd /etc/letsencrypt/live/YOUR_DOMAIN
gcloud compute ssl-certificates create my-cert --certificate=fullchain.pem --private-key=privkey.pem

Wenn Ihr Zertifikat erstellt wurde, sollte eine Meldung angezeigt werden, die der folgenden ähnelt: Created [https://www.googleapis.com/compute/v1/projects/example-project/global/sslCertificates/my-cert]

Schließen Sie die SSH-Sitzung, bevor Sie fortfahren.

Schritt 4: Load-Balancer erstellen

Bevor Sie diesen Schritt ausführen, müssen Sie die im vorherigen Schritt gestartete SSH-Sitzung beenden. Wenn Sie bereit sind, erstellen Sie mit den folgenden Schritten einen Load-Balancer:

  1. Rufen Sie in der Cloud Console die Seite Netzwerkdienste > Load-Balancer erstellen auf und wählen Sie das Projekt aus, für das Sie einen Load-Balancer anlegen möchten.
    ZUR SEITE "LOAD-BALANCER ERSTELLEN"

  2. Klicken Sie unter HTTP(S)-Load-Balancing auf Konfiguration starten.

  3. Wählen Sie Vom Internet zu meinen VMs aus.

  4. Geben Sie auf der angezeigten Seite Neuer externer HTTP(S) -Load Balancer einen Namen für Ihren Load Balancer ein.

  5. Klicken Sie auf Back-End-Konfiguration und wählen Sie Back-End-Dienste > Back-End-Dienst erstellen aus.

  6. Geben Sie im Bereich Back-End-Dienst erstellen im Feld Name den Wert my-backend-service ein.

  7. Verwenden Sie unter Neues Back-End die Standardwerte mit Ausnahme des folgenden:

    • Instanzgruppe: my-managed-instance-group
  8. Wählen Sie unter Systemdiagnose die Option my-health-check aus.

  9. Wenn Sie mit dem Aktualisieren der Werte fertig sind, klicken Sie auf Erstellen. Die Seite Neuer HTTP(S)-Load-Balancer wird wieder angezeigt.

  10. Klicken Sie auf Host- und Pfadregeln, um die Standardwerte zu laden. Sie müssen keine Regeln hinzufügen.

  11. Klicken Sie auf Front-End-Konfiguration. Verwenden Sie die Standardwerte mit Ausnahme der folgenden:

    • Protokoll: HTTPS
    • IP-Adresse: Klicken Sie auf IP-Adresse erstellen.
      • Geben Sie unter Name einen Namen für die neue statische IP-Adresse ein.
      • Klicken Sie auf Reservieren, um die statische IP-Adresse zu reservieren.
    • Zertifikat: my-cert
  12. Wenn Sie die Eingabe der Werte für die Front-End-Konfiguration abgeschlossen haben, klicken Sie auf Fertig. Die Seite Neuer externer HTTP(S)-Load-Balancer wird wieder angezeigt.

  13. Klicken Sie unter Neuer externer HTTP(S)-Load-Balancer auf Erstellen. Die Seite Load-Balancing wird angezeigt und der neue Load-Balancer in der Load-Balancer-Liste erstellt.

  14. Klicken Sie nach der Erstellung des neuen Load-Balancers in der Cloud Console auf seinen Namen und notieren Sie sich die externe IP-Adresse unter Details > Front-End. Sie benötigen sie im nächsten Schritt.

Domain so einrichten, dass sie auf den Load-Balancer verweist

Konfigurieren Sie mithilfe der folgenden Schritte die A-Einträge, um Ihre Domain so einzurichten, dass sie auf den Load-Balancer verweist:

  1. Melden Sie sich in Ihrem Domainkonto bei Ihrem Domainhost an.
  2. Suchen Sie die Seite, um die DNS-Einträge der Domain zu aktualisieren. Der Name dieser Seite lautet in etwa "DNS-Verwaltung", "Nameserver-Verwaltung", "Erweiterte Einstellungen" oder ähnlich.
  3. Ändern Sie die Werte der A-Einträge folgendermaßen:
    • Name/Host/Alias: @
    • Wert: Die externe IP-Adresse des Load-Balancers, den Sie oben erstellt haben. Fügen Sie den Port :443 nicht in den DNS-Eintrag ein.
    • TTL: Der Standardwert für Ihren Registrator oder 86400 (ein Tag).
  4. Warten Sie, bis der DNS-Eintrag aktualisiert wurde. Es kann bis zu einem Tag dauern, bis der Eintrag, den Sie gerade hinzugefügt haben, weitergegeben wird.
  5. Zum Testen des Load-Balancers rufen Sie mit einem Webbrowser Ihre Domain mit einem https://-Protokoll auf.
    • Wenn der Load-Balancer noch nicht eingerichtet ist, wird der Fehler "HTTP 502" angezeigt.
    • Wenn der Load-Balancer bereit ist, wird "Nicht autorisierte Anfrage" angezeigt.

Weitere Informationen finden Sie unter A-Einträge.

VMs neu starten

Zum ordnungsgemäßen Authentifizieren von IAP-Anfragen P müssen Sie die VMs in der verwalteten Instanzgruppe mit den folgenden Schritte neu starten:

  1. Rufen Sie in der Cloud Console die Seite Compute Engine > Instanzgruppen auf.
    ZUR SEITE "INSTANZGRUPPEN"
  2. Klicken Sie auf my-managed-instance-group.
  3. Klicken Sie oben in den angezeigten Instanzgruppendetails auf Schrittweises Neustarten/Ersetzen.
  4. Legen Sie auf der Seite Instanzen von my-managed-instance-group neu starten/ersetzen die folgenden Werte fest:
    • Vorgang: Neustart
    • Maximal nicht verfügbar: 3 Instanzen von 3 Instanzen
    • Mindestwartezeit: 0 s
  5. Wenn Sie mit dem Aktualisieren der Werte fertig sind, klicken Sie auf Neu starten.

Schritt 5: IAP einrichten

Firewall konfigurieren

Als Nächstes konfigurieren Sie Ihre Firewall so, dass der Zugriff auf die zugrunde liegenden VMs blockiert wird und nur der Zugriff über IAP zugelassen wird:

  1. Rufen Sie in der Cloud Console VPC-Netzwerk > Firewallregeln auf.
    ZUR SEITE "FIREWALLREGELN"
  2. Klicken Sie auf das Kästchen neben den folgenden Regeln:
    • default-allow-http
    • default-allow-https
    • default-allow-internal
  3. Klicken Sie auf Löschen.
  4. Klicken Sie auf Firewallregel erstellen und legen Sie die folgenden Werte fest:
    • Name: allow-iap-traffic
    • Ziele: Alle Instanzen im Netzwerk
    • Quell-IP-Bereiche (drücken Sie jeweils die Eingabetaste, nachdem Sie den Wert in das Feld eingefügt haben):
      • 130.211.0.0/22
      • 35.191.0.0/16
    • Protokolle und Ports:
      • Angegebene Protokolle und Ports
      • tcp:80
  5. Wenn Sie mit dem Aktualisieren der Werte fertig sind, klicken Sie auf Erstellen.

IAP einrichten

So richten Sie IAP für Ihr Projekt ein:

  1. Wechseln Sie in der Cloud-Konsole zur Seite Sicherheit > Identitätsbewusster Proxy und wählen Sie das Projekt aus, für das Sie IAP aktivieren möchten.
    ZUR SEITE "IDENTITY-AWARE PROXY"
  2. Wenn Sie den OAuth-Zustimmungsbildschirm Ihres Projekts noch nicht konfiguriert haben, werden Sie jetzt dazu aufgefordert.

    1. Rufen Sie den OAuth-Zustimmungsbildschirm auf.
      Zustimmungsbildschirm konfigurieren
    2. Wählen Sie unter Support-E-Mail-Adresse die E-Mail-Adresse aus, die als öffentlicher Kontakt angezeigt werden soll. Dies muss Ihre E-Mail-Adresse oder die einer Google-Gruppe sein, deren Inhaber Sie sind.
    3. Geben Sie unter Name der Anwendung den Namen der Anwendung ein, der angezeigt werden soll.
    4. Fügen Sie nach Belieben weitere Details hinzu.
    5. Klicken Sie auf Speichern.

    Zum Ändern von Informationen im OAuth-Zustimmungsbildschirm wie Produktname oder E-Mail-Adresse müssen Sie die vorherigen Schritte zur Konfiguration des Zustimmungsbildschirms wiederholen.

  3. Aktivieren bzw. deaktivieren Sie neben my-backend-service,

  4. Klicken Sie im eingeblendeten Fenster IAP aktivieren auf das Kästchen neben "Ich habe die Konfigurationsanforderungen gelesen und meine Compute Engine-Ressource entsprechend der Dokumentation konfiguriert."

  5. Klicken Sie auf Aktivieren.

Mitglieder der Zugriffsliste hinzufügen

Als Nächstes fügen Sie Mitglieder zur IAP-Zugriffsliste für Ihr Projekt hinzu.

  1. Klicken Sie unter IAM & Verwaltung > Identity-Aware Proxy auf der rechten Seite im Abschnitt Zugriff auf Hinzufügen.
  2. Geben Sie die Mitglieder ein, denen Sie Zugriff gewähren möchten, einschließlich sich selbst. Es sind folgende Mitglieder möglich:
    • Google-Konten: user@gmail.com
    • Google Groups: admins@googlegroups.com
    • Dienstkonten: server@example.gserviceaccount.com
    • Google Workspace-Domains: example.com

Schritt 6: IAP testen

Testen Sie, ob IAP korrekt funktioniert mit folgenden Schritten:

  1. Rufen Sie in einem Webbrowser Ihre Domain auf.
    1. Wenn "Nicht autorisierte Anfrage" angezeigt wird, versuchen Sie es in einigen Minuten wieder.
  2. Wenn eine Google-Anmeldeseite aufgerufen, melden Sie sich mit dem Google-Konto an, dem Sie im vorherigen Schritt Zugriff gewährt haben.
  3. Es sollte eine Meldung wie "Hi, user@example.com. I am my-managed-instance-group-29z6" angezeigt werden.
  4. Versuchen Sie, die Seite zu aktualisieren. Der Browser sollte die Namen der 3 Maschinen in Ihrer verwalteten Instanzgruppe anzeigen. Das ist der Load-Balancer, der Traffic über die VMs in der Gruppe verteilt.

Das wars! Sie haben einen Dienst mit Load-Balancing mithilfe von IAP aktiviert.

Bereinigen

So vermeiden Sie, dass Ihrem Google Cloud Platform-Konto die in dieser Anleitung verwendeten Ressourcen in Rechnung gestellt werden:

Nachdem Sie IAP für Compute Engine eingerichtet haben, können Sie die von Ihnen in Google Cloud erstellten Ressourcen bereinigen, damit Ihnen diese künftig nicht mehr in Rechnung gestellt werden. In den folgenden Abschnitten erfahren Sie, wie Sie diese Ressourcen löschen oder deaktivieren.

Projekt löschen

Am einfachsten vermeiden Sie weitere Kosten, wenn Sie das zum Ausführen der Anleitung erstellte Projekt löschen.

So löschen Sie das Projekt:

  1. Wechseln Sie in der Cloud Console zur Seite Ressourcen verwalten.

    Zur Seite „Ressourcen verwalten“

  2. Wählen Sie in der Projektliste das Projekt aus, das Sie löschen möchten, und klicken Sie dann auf Löschen.
  3. Geben Sie im Dialogfeld die Projekt-ID ein und klicken Sie auf Shut down (Beenden), um das Projekt zu löschen.

Instanzen löschen

So löschen Sie eine Compute Engine-Instanz:

  1. Öffnen Sie in der Cloud Console die Seite VM-Instanzen.

    Zu „VM-Instanzen“

  2. Klicken Sie auf das Kästchen für die Instanz, die Sie löschen möchten.
  3. Klicken Sie auf  Löschen, um die Instanz zu löschen.

Firewallregeln für das Standardnetzwerk löschen

So löschen Sie eine Firewallregel:

  1. Rufen Sie in der Cloud Console die Seite Firewallregeln auf.

    Zur Seite „Firewallregeln“

  2. Klicken Sie auf das Kästchen für die Firewallregel, die Sie löschen möchten.
  3. Klicken Sie auf Löschen , um die Firewallregel zu löschen.

Nächste Schritte

  • Die in dieser Anleitung verwendete Beispielanwendung ändern, um andere Daten bereitzustellen
  • Lesen Sie unter Best Practices, wie Sie eigene Anwendungen schreiben und mit IAP schützen können.