Protezione di app e risorse di Compute Engine con IAP

Questa pagina spiega come proteggere un'istanza Compute Engine con Identity-Aware Proxy (IAP).

Per proteggere le risorse non su Google Cloud, consulta Proteggere app e risorse on-premise.

Prima di iniziare

Per abilitare IAP per Compute Engine, è necessario seguenti:

Se non hai ancora configurato l'istanza Compute Engine, consulta la sezione Configurazione di IAP per Compute Engine per una procedura dettagliata completa.

IAP utilizza un client OAuth gestito da Google per autenticare gli utenti. Solo gli utenti dell'organizzazione possono accedere alla piattaforma abilitata per IAP un'applicazione. Se vuoi consentire l'accesso a utenti esterni all'organizzazione, consulta Attivare l'IAP per le applicazioni esterne.

Puoi attivare IAP su un servizio di backend Compute Engine o su una regola di inoltro Compute Engine. Quando abiliti IAP su un servizio di backend di Compute Engine, solo quel servizio di backend è protetto da IAP. Quando attivi IAP su una regola di inoltro di Compute Engine, tutte le istanze Compute Engine dietro la regola di inoltro sono protette da IAP.

Abilita IAP su una regola di forwarding

Puoi attivare IAP in una regola di inoltro utilizzando il framework dei criteri di autorizzazione del bilanciatore del carico.

gcloud

  1. Esegui il comando seguente per preparare un file policy.yaml.
$ cat << EOF > policy.yaml
action: CUSTOM
description: authz policy with Cloud IAP
name: AUTHZ_POLICY_NAME
customProvider:
  cloudIap: {}
target:
  loadBalancingScheme: EXTERNAL_MANAGED
  resources:
  - https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/LOCATION/forwardingRules/FORWARDING_RULE_ID
EOF
  1. Esegui il comando seguente per abilitare l'IAP in una regola di forwarding.
gcloud beta network-security authz-policies import AUTHZ_POLICY_NAME \
--source=policy.yaml \
--location=LOCATION \
--project=PROJECT_ID

Sostituisci quanto segue:

  • PROJECT_ID: l'ID progetto Google Cloud.
  • LOCATION: la regione in cui si trova la risorsa.
  • FORWARDING_RULE_ID: l'ID della risorsa regola di forwarding.
  • AUTHZ_POLICY_NAME: il nome del criterio di autorizzazione.

API

  1. Esegui il comando seguente per preparare un file policy.json. 
    cat << EOF > policy.json
{
"name": "AUTHZ_POLICY_NAME",
"target": {
"loadBalancingScheme": "INTERNAL_MANAGED",
"resources": [
"https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/LOCATION/forwardingRules/FORWARDING_RULE_ID"
],
},
"action": "CUSTOM",
"httpRules": [],
"customProvider": {
"cloudIap": {}
}
}
EOF

  2. Esegui il comando seguente per abilitare l'IAP in una regola di forwarding. 

    curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Accept: application/json" \
-H "Content-Type: application/json" \
-d @settings.json \
"https://networksecurity.googleapis.com/v1beta1/projects/PROJECT_ID/locations/LOCATION/authzPolicies"

    Sostituisci quanto segue:

    • PROJECT_ID: l'ID progetto Google Cloud.
    • LOCATION: la regione in cui si trova la risorsa.
    • FORWARDING_RULE_ID: l'ID della risorsa regola di forwarding.
    • AUTHZ_POLICY_NAME: il nome del criterio di autorizzazione.

Dopo aver abilitato IAP su una regola di forwarding, puoi applicare autorizzazioni alle risorse.

Attivare IAP su un servizio di backend di Compute Engine

Puoi attivare IAP su un servizio di backend di Compute Engine tramite quel servizio di backend.

console

Il client OAuth gestito da Google non è disponibile quando attivi l'IAP utilizzando la console Google Cloud.

Se non hai configurato la schermata per il consenso OAuth del progetto, ti verrà chiesto di farlo. Per configurare la schermata per il consenso OAuth, consulta Configurare la schermata per il consenso OAuth.

Configurare l'accesso IAP

  1. Vai alla pagina Identity-Aware Proxy.
    Vai alla pagina di Identity-Aware Proxy
  2. Seleziona il progetto che vuoi proteggere con IAP.

  3. Seleziona la casella di controllo accanto alla risorsa a cui vuoi concedere l'accesso.

    Se non vedi una risorsa, assicurati che sia stata creata e che il controller di ingresso Compute Engine di BackendConfig sia sincronizzato.

    Per verificare che il servizio di backend sia disponibile, esegui il seguente comando gcloud:

    gcloud compute backend-services list
  4. Nel riquadro laterale a destra, fai clic su Aggiungi entità.
  5. Nella finestra di dialogo Aggiungi entità che viene visualizzata, inserisci gli indirizzi email dei gruppi o delle persone che devono avere il ruolo Utente applicazione web con protezione IAP per il progetto.

    I seguenti tipi di entità possono avere questo ruolo:

    • Account Google: user@gmail.com
    • Gruppo Google: admins@googlegroups.com
    • Account di servizio: server@example.gserviceaccount.com
    • Dominio Google Workspace: example.com

    Assicurati di aggiungere un Account Google a cui hai accesso.

  6. Seleziona Cloud IAP > Utente applicazione web con protezione IAP dall'elenco a discesa Ruoli.
  7. Fai clic su Salva.

Attivazione di IAP

  1. Nella pagina Identity-Aware Proxy, in APPLICAZIONI, trova il bilanciatore del carico che serve le instance group a cui vuoi limitare l'accesso. Per attivare IAP per una risorsa,
    Per attivare IAP:
    • Almeno un protocollo nella configurazione del frontend del bilanciatore del carico deve essere HTTPS. Scopri di più sulla configurazione di un bilanciatore del carico.
    • Devi disporre delle autorizzazioni compute.backendServices.update, clientauthconfig.clients.create, e clientauthconfig.clients.getWithSecret. Queste autorizzazioni vengono concesse dai ruoli, ad esempio il ruolo Editor del progetto. Per saperne di più, consulta Gestire l'accesso alle risorse protette da IAP.
  2. Nella finestra Attiva IAP visualizzata, fai clic su Attiva per confermare che vuoi che la risorsa venga protetta da IAP. Dopo aver attivato IAP, sono necessarie le credenziali di accesso per tutte le connessioni al bilanciatore del carico. Solo agli account con il ruolo Utente applicazione web con protezione IAP nel progetto verrà fornito l'accesso.

gcloud

Prima di configurare il progetto e IAP, devi disporre di una versione aggiornata di gcloud CLI. Per istruzioni su come installare gcloud CLI, consulta Installare gcloud CLI.

  1. Per l'autenticazione, utilizza Google Cloud CLI ed esegui il comando seguente. 
    gcloud auth login
  2. Per accedere, segui l'URL visualizzato.
  3. Dopo aver eseguito l'accesso, copia il codice di verifica visualizzato e incollalo nella riga di comando.
  4. Esegui il seguente comando per specificare il progetto che contiene la risorsa che vuoi proteggere con IAP. 
    gcloud config set project PROJECT_ID
  5. Per abilitare l'IAP, esegui il comando a livello globale o regionale.

    Ambito globale 
    gcloud compute backend-services update BACKEND_SERVICE_NAME --global --iap=enabled
     Ambito regionale 
    gcloud compute backend-services update BACKEND_SERVICE_NAME --region REGION_NAME --iap=enabled

Dopo aver attivato l'IAP, puoi utilizzare l'interfaccia alla gcloud CLI per modificare il criterio di accesso IAP utilizzando il ruolo IAMroles/iap.httpsResourceAccessor. Scopri di più sulla gestione di ruoli e autorizzazioni.

API

  1. Esegui il comando seguente per preparare un file settings.json. 

    cat << EOF > settings.json
{
"iap":
  {
    "enabled":true
  }
}
EOF

  2. Esegui il comando seguente per abilitare l'IAP. 

    curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Accept: application/json" \
-H "Content-Type: application/json" \
-d @settings.json \
"https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/REGION/backendServices/BACKEND_SERVICE_NAME"

Dopo aver attivato l'IAP, puoi utilizzare Google Cloud CLI per modificare il criterio di accesso IAP utilizzando il ruolo IAMroles/iap.httpsResourceAccessor. Scopri di più sulla gestione di ruoli e autorizzazioni.

Passaggi successivi