アプリコネクタを使用した Google Cloud 以外のアプリケーションの保護

gcloud CLI

次の手順を実施する前に、gcloud CLI SDK がインストールされていることを確認してください。

1. 次のコマンドを実行して、必要な環境変数を設定します。

   PROJECT_ID=my-project
   

   my-project は、Google Cloud プロジェクト ID に置き換えます。

2. 次のコマンドを実行して API を有効にします。

   gcloud config set project $PROJECT_ID
   gcloud services enable beyondcorp.googleapis.com
   

API

1. 次のコマンドを実行してアクセス トークンを取得し、必要な環境変数とエイリアスを設定します。

   PROJECT_NUMBER=my-project-number
   ACCESS_TOKEN=my-access-token
   

   my-project は、Google Cloud プロジェクト ID に置き換えます。

2. アクセス トークンを使用するために、便利なエイリアスを設定します。

   alias gcurl="curl -H 'Authorization: Bearer ${ACCESS_TOKEN}' -H 'Content-Type: application/json'"
   

3. 次のコマンドを実行して API を有効にします。

   gcurl https://serviceusage.googleapis.com/v1/projects/${PROJECT_NUMBER}/services/beyondcorp.googleapis.com:enable -d "{}"
   

gcloud CLI

次の手順を実施する前に、gcloud CLI SDK がインストールされ、beyondcorp.admin ロールを持つアカウントでログインしていることを確認します。

1. 次のコマンドを実行して、必要な環境変数を設定します。

   CONNECTOR_NAME=my-connector
   CONNECTION_NAME=my-connection
   PROJECT_ID=my-project
   REGION=us-central1
   APP_ENDPOINT=APP_HOST:APP_PORT
   

   以下を置き換えます。

   • my-connector: 前のステップで定義したコネクタの名前。
   • my-connection: 接続の一意の名前。
   • my-project: Google Cloud プロジェクト ID。
   • us-central1: 接続とゲートウェイをデプロイするリージョン。
   • APP_HOST: アプリケーションをホストするオンプレミスの IP アドレスまたは FQDN。
   • APP_PORT: アプリケーションに接続するポート番号。

2. アプリケーションと VPC の間の接続を作成するために、次のコマンドを実行します。

   gcloud alpha beyondcorp app connections create $CONNECTION_NAME \
       --project=$PROJECT_ID \
       --location=$REGION \
       --application-endpoint=$APP_ENDPOINT \
       --type=tcp \
       --connectors=$CONNECTOR_NAME \
       --display-name=$CONNECTION_NAME
   

   この手順は、完了まで数分かかることがあります。

3. 接続を作成したら、次のコマンドを実行してゲートウェイ URI を取得します。

   GATEWAY_URI="$(gcloud alpha beyondcorp app connections describe $CONNECTION_NAME --project=$PROJECT_ID --location=$REGION --format='get(gateway.uri)')"
   GATEWAY_URI_L7="${GATEWAY_URI/bce-psc/bce-ps7}"
   

   GATEWAY_URI_L7 は転送ルールの作成に使用されます。Chrome Enterprise Premium アプリコネクタは、Private Service Connect を使用して、コンシューマ プロジェクトを Google マネージド プロジェクトのマネージド リソースにリンクします。

API

1. 次のコマンドを実行して、必要な環境変数を設定します。

   CONNECTOR_NAME=my-connector
   CONNECTION_NAME=my-connection
   PROJECT_ID=my-project
   REGION=us-central1
   APP_HOST=my-app-host
   APP_PORT=my-app-port
   

   以下を置き換えます。

   • my-connector: 前のステップで定義したコネクタの名前。
   • my-connection: 接続の一意の名前。
   • my-project: Google Cloud プロジェクト ID。
   • us-central1: 接続とゲートウェイをデプロイするリージョン。
   • my-app-host: アプリケーションをホストするオンプレミスの IP アドレスまたは FQDN。
   • my-app-port: アプリケーションに接続するポート番号。

2. アプリケーションと VPC の間の接続を作成するために、次のコマンドを実行します。

   gcurl https://beyondcorp.googleapis.com/v1/projects/${PROJECT_NUMBER}/locations/${REGION}/appConnections?app_connection_id=${CONNECTION_NAME} \
   -d "{ \
       'application_endpoint': \
       { \
           'host': '${APP_HOST}', \
           'port': '${APP_PORT}' \
       }, \
       'type': 'TCP_PROXY', \
       'display_name': '${CONNECTION_NAME}' \
   }"
   

   この手順は、完了まで数分かかることがあります。

3. 接続を作成したら、次のコマンドを実行してゲートウェイ URI を取得します。

   GATEWAY_URI=$(gcurl https://beyondcorp.googleapis.com/v1/projects/${PROJECT_NUMBER}/locations/${REGION}/appConnections/${CONNECTION_NAME} | jq -r '.gateway.uri')
   GATEWAY_URI_L7="${GATEWAY_URI/bce-psc/'bce-ps7'}"
   

   GATEWAY_URI_L7 は転送ルールの作成に使用されます。Chrome Enterprise Premium アプリコネクタは、Private Service Connect を使用して、コンシューマ プロジェクトを Google マネージド プロジェクトのマネージド リソースにリンクします。

gcloud CLI

次の手順を実施する前に、gcloud CLI SDK がインストールされ、beyondcorp.admin ロールを持つアカウントでログインしていることを確認します。

1. 次のコマンドを実行して、必要な環境変数を設定します。

   LB_PREFIX=web-app
   PROJECT_ID=my-project
   REGION=us-central1
   DOMAIN_NAME=app.example.com
   

   次のように置き換えます。
   • web-app: すべてのロードバランサ リソースの名前に付加される接頭辞。
   • my-project: Google Cloud プロジェクト ID。
   • us-central1: 接続とゲートウェイがデプロイされるリージョン。
   • app.example.com: アプリケーションのドメイン名。

2. 次のコマンドを使用して、ネットワーク エンドポイント グループ（NEG）を作成します。

   gcloud beta compute network-endpoint-groups create $LB_PREFIX-neg \
       --region=$REGION \
       --network-endpoint-type=private-service-connect \
       --psc-target-service=$GATEWAY_URI_L7
   

   オプションのフラグ:

   • --network フラグを設定して、NEG 内のネットワーク エンドポイントのネットワーク名を指定します。指定しない場合は、デフォルトのプロジェクト ネットワークが使用されます。
   • --subnet フラグを設定して、NEG 内のネットワーク エンドポイントのサブネットワーク名を指定します。指定しない場合、ネットワーク エンドポイントは、ネットワーク エンドポイント グループが作成されたリージョン内の任意のサブネットワークに属する可能性があります。

3. 次のコマンドを実行して、NEG ベースのバックエンド サービスを作成し、Private Service Connect サービス アタッチメントに接続します。

   gcloud beta compute backend-services create $LB_PREFIX-backend-service \
       --global \
       --protocol=HTTPS \
       --load-balancing-scheme=EXTERNAL_MANAGED
   
   gcloud beta compute backend-services add-backend $LB_PREFIX-backend-service \
       --global \
       --network-endpoint-group=$LB_PREFIX-neg \
       --network-endpoint-group-region=$REGION
   

4. 次のコマンドを実行して、ドメインの Google マネージド証明書を作成します。

   gcloud compute addresses create $LB_PREFIX-static-ip \
       --ip-version=IPV4 \
       --global
   gcloud compute ssl-certificates create $LB_PREFIX-ssl-cert \
       --domains=$DOMAIN_NAME \
       --global
   
   LB_IP="$(gcloud compute addresses describe $LB_PREFIX-static-ip --global --format='value(address)')"
   

5. 次のコマンドを実行して、前の手順のバックエンドに基づいて外部アプリケーション ロードバランサを作成します。

   gcloud compute url-maps create $LB_PREFIX-map-https \
       --default-service=$LB_PREFIX-backend-service
   
   gcloud compute target-https-proxies create $LB_PREFIX-https-lb-proxy \
       --url-map=$LB_PREFIX-map-https \
       --ssl-certificates=$LB_PREFIX-ssl-cert
   
   gcloud beta compute forwarding-rules create "$LB_PREFIX-https-lb-forwarding-rule" \
       --global \
       --target-https-proxy=$LB_PREFIX-https-lb-proxy \
       --address=$LB_IP \
       --ports=443 \
       --load-balancing-scheme=EXTERNAL_MANAGED
   

   外部アプリケーション ロードバランサを作成すると、その IP アドレスを使用して、インターネット経由でアプリケーションにアクセスできるようになります。

6. 外部アプリケーション ロードバランサを作成したら、Google Cloud が SSL 証明書をプロビジョニングできるように、その IP アドレスをドメイン名に関連付ける必要があります。IP アドレスを DNS 名に関連付ける方法については、DNS プロバイダの手順をご覧ください。次のコマンドを実行してプロビジョニングのステータスを確認します。

   1. DNS プロバイダで設定する IP アドレスを表示します。

      echo "Load Balancer ip address - $LB_IP"
      

   2. DNS を設定したら、次のコマンドを実行して、ドメイン名が IP アドレスに解決されるかどうかを確認します。

      dig $DOMAIN_NAME
      

   3. 次のコマンドを実行して、プロビジョニングのステータスを取得します。

   gcloud compute ssl-certificates describe $LB_PREFIX-ssl-cert \
       --global \
       --format="get(name,managed.status, managed.domainStatus)"
   

   SSL 証明書がプロビジョニングされると、DNS 名を使用してアプリケーションにアクセスできるようになります。

API

1. 次のコマンドを実行して、必要な環境変数を設定します。

   LB_PREFIX=web-app
   PROJECT_ID=my-project
   REGION=us-central1
   DOMAIN_NAME=app.example.com
   

   次のように置き換えます。
   • web-app: すべてのロードバランサ リソースの名前に付加される接頭辞。
   • my-project: Google Cloud プロジェクト ID。
   • us-central1: 接続とゲートウェイがデプロイされるリージョン。
   • app.example.com: アプリケーションのドメイン名。

2. 次のコマンドを使用して、ネットワーク エンドポイント グループ（NEG）を作成します。

   gcurl https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/regions/${REGION}/networkEndpointGroups \
   -d "{ \
       'name': '${LB_PREFIX}-neg', \
       'network_endpoint_type': 'private-service-connect', \
       'psc_target_service': '${GATEWAY_URI_L7}' \
   }"
   

   オプション フィールド:

   • network フィールドを設定して、NEG 内のネットワーク エンドポイントのネットワークの URL を指定します。指定しない場合は、デフォルトのプロジェクト ネットワークが使用されます。
   • subnetwork フィールドを設定して、NEG 内のネットワーク エンドポイントのサブネットワークの URL を指定します。指定しない場合、ネットワーク エンドポイントは、ネットワーク エンドポイント グループが作成されたリージョン内の任意のサブネットワークに属する可能性があります。

3. 次のコマンドを実行して、NEG ベースのバックエンド サービスを作成し、Private Service Connect サービス アタッチメントに接続します。

   gcurl https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/backendServices \
   -d "{ \
       'name': '${LB_PREFIX}-backend-service', \
       'service_protocol': 'HTTPS', \
       'port_name': 'https', \
       'load_balancing_scheme': 'EXTERNAL_MANAGED' \
   }"
   
   gcurl -X PATCH https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/backendServices/${LB_PREFIX}-backend-service \
   -d "{ \
       'backends': \
       [{ \
           'group': 'https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/regions/${REGION}/networkEndpointGroups/${LB_PREFIX}-neg' \
       }] \
   }"
   

4. 次のコマンドを実行して、ドメインの Google マネージド証明書を作成します。

   gcurl https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/addresses \
   -d "{ \
       'name': '${LB_PREFIX}-static-ip', \
       'ip_version': 'IPV4' \
   }"
   
   gcurl https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/sslCertificates \
   -d "{ \
       'name': '${LB_PREFIX}-ssl-cert', \
       'managed': \
       { \
           'domains': '${DOMAIN_NAME}' \
       }, \
       'type': 'MANAGED' \
   }"
   
   LB_IP=$(gcurl https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/addresses/${LB_PREFIX}-static-ip | jq -r '.address')
   

5. 次のコマンドを実行して、前の手順のバックエンドに基づいて外部アプリケーション ロードバランサを作成します。

   gcurl https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/urlMaps \
   -d "{ \
       'name': '${LB_PREFIX}-map-https', \
       'default_service': 'https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/backendServices/${LB_PREFIX}-backend-service' \
   }"
   
   gcurl https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/targetHttpsProxies \
   -d "{ \
       'name': '${LB_PREFIX}-https-lb-proxy', \
       'url_map': 'https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/urlMaps/${LB_PREFIX}-map-https', \
       'ssl_certificate': 'https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/sslCertificates/${LB_PREFIX}-ssl-cert' \
   }"
   
   gcurl https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/forwardingRules \
   -d "{ \
       'name': '${LB_PREFIX}-https-lb-forwarding-rule', \
       target: 'https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/targetHttpsProxies/${LB_PREFIX}-https-lb-proxy', \
       'ip_address': '${LB_IP}', \
       'port_range': '443-443', \
       'load_balancing_scheme': 'EXTERNAL_MANAGED' \
   }"
   

   外部アプリケーション ロードバランサを作成すると、その IP アドレスを使用して、インターネット経由でアプリケーションにアクセスできるようになります。

6. 外部アプリケーション ロードバランサを作成したら、Google Cloud が SSL 証明書をプロビジョニングできるように、その IP アドレスをドメイン名に関連付ける必要があります。IP アドレスを DNS 名に関連付ける方法については、DNS プロバイダの手順をご覧ください。次のコマンドを実行してプロビジョニングのステータスを確認します。

   1. DNS プロバイダで設定する IP アドレスを表示します。

      echo "Load Balancer ip address - $LB_IP"
      

   2. DNS を設定したら、次のコマンドを実行して、ドメイン名が IP アドレスに解決されるかどうかを確認します。

      dig $DOMAIN_NAME
      

   3. 次のコマンドを実行して、プロビジョニングのステータスを取得します。

   echo $(gcurl https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/sslCertificates/${LB_PREFIX}-ssl-cert \
   | jq -r '.name + " " + .managed.status + " " + (.managed.domainStatus | keys[]) + "=" + .managed.domainStatus[]')
   

   SSL 証明書がプロビジョニングされると、DNS 名を使用してアプリケーションにアクセスできるようになります。

gcloud CLI

1. 次のコマンドを実行して、必要な環境変数を設定します。

   CONNECTOR_NAME=CONNECTOR_NAME
   CONNECTION_NAME=CONNECTION_NAME
   GATEWAY_NAME=GATEWAY_NAME
   PROJECT_ID=PROJECT_ID
   REGION=REGION
   APP_ENDPOINT=APP_HOST:APP_PORT
   

   以下を置き換えます。

   • CONNECTOR_NAME: 前のステップで定義したコネクタの名前。
   • CONNECTION_NAME: 接続の一意の名前。
   • GATEWAY_NAME: アプリ ゲートウェイの名前。
   • PROJECT_ID: Google Cloud プロジェクト ID。
   • REGION: アプリ ゲートウェイをデプロイするリージョン（us-central1 など）。
   • APP_HOST: アプリケーションをホストするオンプレミスの IP アドレスまたは FQDN。
   • APP_PORT: アプリケーションに接続するポート番号。

2. 次のコマンドを実行して、アプリ ゲートウェイを作成します。

   gcloud beta beyondcorp app gateways create $GATEWAY_NAME \
   --project=$PROJECT_ID --location=$REGION --display-name=$GATEWAY_NAME
   

3. 次のコマンドを実行して、create connection 呼び出しでアプリ ゲートウェイを指定します。

   gcloud beta beyondcorp app connections create $CONNECTION_NAME \
   --project=$PROJECT_ID \
   --location=$REGION \
   --application-endpoint=$APP_ENDPOINT \
   --type=tcp \
   --connectors=$CONNECTOR_NAME \
   --display-name=$CONNECTION_NAME \
   --app-gateway=$GATEWAY_NAME
   

API

1. 次のコマンドを実行して、必要な環境変数を設定します。

   CONNECTOR_NAME=CONNECTOR_NAME
   CONNECTION_NAME=CONNECTION_NAME
   GATEWAY_NAME=GATEWAY_NAME
   PROJECT_ID=PROJECT_ID
   REGION=REGION
   APP_ENDPOINT=APP_HOST:APP_PORT
   

   以下を置き換えます。

   • CONNECTOR_NAME: 前のステップで定義したコネクタの名前。
   • CONNECTION_NAME: 接続の一意の名前。
   • GATEWAY_NAME: アプリ ゲートウェイの名前。
   • PROJECT_ID: Google Cloud プロジェクト ID。
   • REGION: アプリ ゲートウェイをデプロイするリージョン（us-central1 など）。
   • APP_HOST: アプリケーションをホストするオンプレミスの IP アドレスまたは FQDN。
   • APP_PORT: アプリケーションに接続するポート番号。

2. 次のコマンドを実行して、アプリ ゲートウェイを作成します。

   gcurl https://beyondcorp.googleapis.com/v1/projects/${PROJECT_ID}/locations/${REGION}/appGateways?app_gateway_id=${GATEWAY_NAME} \
   -d "{ \
   'type': 'TCP_PROXY', \
   'display_name': '${CONNECTION_NAME}' \
   }"
   

3. 次のコマンドを実行して、create connection 呼び出しでアプリ ゲートウェイを指定します。

   gcurl https://beyondcorp.googleapis.com/v1/projects/${PROJECT_ID}/locations/${REGION}/appConnections?app_connection_id=${CONNECTION_NAME} \
   -d "{ \
   'application_endpoint': \
   { \
   'host': '${APP_HOST}', \
   'port': '${APP_PORT}' \
   }, \
   'gateway': { 'app_gateway' : 'projects/${PROJECT_ID}/locations/${REGION}/appGateways/${GATEWAY_NAME}'}, \
   'connectors':['projects/${PROJECT_ID}/locations/${REGION}/appConnectors/${CONNECTOR_NAME}'], \
   'type': 'TCP_PROXY', \
   'display_name': '${CONNECTION_NAME}' \
   

gcloud

1. 次のコマンドを実行して、必要な環境変数を設定します。

   CONNECTOR_NAME=my-connector
   CONNECTION_NAME=my-connection
   REGION=us-central1
   PROJECT_ID=my-project
   

   以下を置き換えます。

   • my-connector: コネクタの名前。connector1,connector2 のようなカンマ区切りリストにすることもできます。
   • my-connection: 更新する接続の名前。
   • us-central1: 接続がデプロイされているリージョン。
   • my-project: Google Cloud プロジェクト ID。

2. 接続に関連付けられたコネクタを変更するには、次のコマンドを実行します。

   gcloud alpha beyondcorp app connections update $CONNECTION_NAME \
       --project=$PROJECT_ID \
       --location=$REGION \
       --connectors=$CONNECTOR_NAME
   

API

1. 次のコマンドを実行して、必要な環境変数を設定します。

   CONNECTOR_NAME=my-connector
   CONNECTION_NAME=my-connection
   REGION=us-central1
   PROJECT_ID=my-project
   

   以下を置き換えます。

   • my-connector: コネクタの名前。
   • my-connection: 更新する接続の名前。
   • us-central1: 接続がデプロイされているリージョン。
   • my-project: Google Cloud プロジェクト ID。

2. 接続に関連付けられたコネクタを変更するには、次のコマンドを実行します。

   gcurl -X PATCH \
   https://beyondcorp.googleapis.com/v1/projects/${PROJECT_ID}/locations/${REGION}/appConnections/${CONNECTION_NAME}?update_mask=connectors \
   -d "{ \
       'connectors': ['projects/${PROJECT_ID}/locations/${REGION}/appConnectors/${CONNECTOR_NAME}'], \
   }"
   

   次のコマンドを実行し、出力の connectors フィールドを確認して、更新を確認できます。

   gcurl https://beyondcorp.googleapis.com/v1/projects/${PROJECT_ID}/locations/${REGION}/appConnections/${CONNECTION_NAME}