使用 IAP 保護虛擬機器

主控台

如要允許透過 RDP 和 SSH 存取網路中的所有 VM 執行個體，請按照下列步驟操作：

1. 開啟「Firewall Rules」(防火牆規則) 頁面。

   開啟「Firewall Rules」(防火牆規則) 頁面

   其餘步驟會顯示在 Google Cloud 控制台。

2. 選取 Google Cloud 專案。 操作示範。
3. 在「Firewall Rules」(防火牆規則) 頁面中，按一下「Create firewall rule」(建立防火牆規則)。
4. 進行下列設定：
   • Name (名稱)：allow-ingress-from-iap
   • Direction of traffic (流量方向)：「Ingress」(輸入)
   • Target (目標)：「All instances in the network」(網路中的所有執行個體)
   • Source filter (來源篩選器)：「IP ranges」(IP 範圍)
   • Source IP ranges (來源 IP 範圍)：35.235.240.0/20
   • 「Protocols and ports」 (通訊協定和通訊埠)：選取「TCP」並輸入 22,3389，以允許 RDP 和 SSH。
5. 按一下 [建立]。

gcloud

如要允許透過遠端桌面協定存取網路中的所有 VM，請執行：

gcloud compute firewall-rules create allow-rdp-ingress-from-iap \
  --direction=INGRESS \
  --action=allow \
  --rules=tcp:3389 \
  --source-ranges=35.235.240.0/20

如要取得 SSH 存取權，請執行以下指令：

gcloud compute firewall-rules create allow-ssh-ingress-from-iap \
  --direction=INGRESS \
  --action=allow \
  --rules=tcp:22 \
  --source-ranges=35.235.240.0/20

如要使用其他通訊協定，請執行

gcloud compute firewall-rules create allow-ingress-from-iap \
  --direction=INGRESS \
  --action=allow \
  --rules=tcp:PORT \
  --source-ranges=35.235.240.0/20

其中 PORT 是通訊協定使用的通訊埠。

主控台

1. 在 Google Cloud 控制台中開啟「IAM & Admin」(IAM 與管理) 頁面。

   開啟「IAM & Admin」(IAM 與管理員) 頁面

   其餘步驟會顯示在 Google Cloud 控制台。

2. 在「IAM & admin」(IAM 與管理) 頁面上，按一下「Add」(新增) 並設定下列選項：
   • 「New principals」(新增主體)：指定您要授予存取權的使用者或群組。
   • 「Select a role」(選取角色)：依序選取「Cloud IAP」>「IAP-Secured Tunnel User」(受 IAP 保護的通道使用者)。
3. 視需要按一下「Add Conditions」(新增條件) 並設定條件：
   • Title (名稱)：輸入條件名稱。
   • Expression (運算式)：輸入使用者必須符合哪項條件，才能取得「受 IAP 保護的通道使用者」角色的權限。

   舉例來說，下列 CEL 運算式只會授予通訊埠 22 的存取權：

   destination.port == 22

   您也可以根據存取層級授予存取權：

   destination.port == 22 &&
   "FULL_ACCESS_LEVEL_NAME" in request.auth.access_levels

   其中 FULL_ACCESS_LEVEL_NAME 是現有的存取層級，採用下列格式：

   accessPolicies/POLICY_NAME/accessLevels/ACCESS_LEVEL_NAME

4. 按一下「Add another role」(新增其他角色)，然後進行下列設定：
   • 在「Select a role」(選取角色) 中，依序選取「Compute Engine」>「Compute Instance Admin (v1)」(Compute 執行個體管理員 (v1))。
5. 按一下 [儲存]。

gcloud

執行下列指令，將這兩個角色授予使用者：

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=user:EMAIL \
    --role=roles/iap.tunnelResourceAccessor
gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=user:EMAIL \
    --role=roles/compute.instanceAdmin.v1

更改下列內容：

• PROJECT_ID：專案 ID
• EMAIL：您要授予存取權的使用者電子郵件地址，例如 user@example.com。

主控台

1. 開啟 IAP 管理員頁面，然後選取「SSH and TCP Resources」(SSH 和 TCP 資源) 分頁標籤。

   開啟 Chrome Enterprise 進階版管理員頁面

   其餘步驟會顯示在 Google Cloud 控制台。

2. 在 IAP 管理員頁面的「SSH and TCP Resources」(SSH 與 TCP 資源) 分頁中，選取要設定的 VM 執行個體。
3. 如果畫面上未顯示資訊面板，請按一下「Show info panel」(顯示資訊面板)。

4. 按一下「Add principal」(新增主體)，然後進行以下設定：

   • 「New principals」(新增主體)：指定您要授予存取權的使用者或群組。
   • 「Select a role」(選取角色)：依序選取「Cloud IAP」>「IAP-Secured Tunnel User」(受 IAP 保護的通道使用者)。

5. 視需要按一下「Add Conditions」(新增條件) 並設定條件：

   • Title (名稱)：輸入條件名稱。
   • Expression (運算式)：輸入使用者必須符合哪項條件，才能取得「受 IAP 保護的通道使用者」角色的權限。

   舉例來說，下列 CEL 運算式只會授予通訊埠 22 的存取權：

         destination.port == 22

   您也可以根據存取層級授予存取權：

       destination.port == 22 &&
       "FULL_ACCESS_LEVEL_NAME" in request.auth.access_levels

   其中 FULL_ACCESS_LEVEL_NAME 是現有的存取層級，採用 accessPolicies/POLICY_NAME/accessLevels/ACCESS_LEVEL_NAME 格式。

6. 按一下 [儲存]。

API

如要編輯應用程式的 policy.json 檔案，請遵循下列程序。如要進一步瞭解如何使用 IAM API 管理存取政策，請參閱「管理受 Chrome Enterprise 進階版保護資源的存取權」一文。

1. 匯出下列變數。

   export IAP_BASE_URL=https://iap.googleapis.com/v1/projects/PROJECT_NUMBER/iap_tunnel
   # Replace POLICY_FILE.JSON with the name of JSON file to use for setIamPolicy
   export JSON_NEW_POLICY=POLICY_FILE.JSON
   

2. 使用 getIamPolicy 方法取得 Compute Engine 執行個體的 IAM 政策。結尾的空資料位元會將 curl 要求轉換為 POST，而不是 GET。

   curl -i -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        ${IAP_BASE_URL}/zones/ZONE_NAME/instances/INSTANCE_ID or INSTANCE_NAME:getIamPolicy \
        -d ''

3. 修改 IAM 政策 JSON 檔案，將 iap.tunnelResourceAccessor 角色授予您的授權對象。
   

4. 您也可以選擇根據 IAM 條件和存取層級，只將角色授予符合特定條件的主體。

   以下是編輯後的 policy.json 檔案範例，會將 iap.tunnelResourceAccessor 角色授予 VM 執行個體管理員群組，為其授予 Chrome Enterprise Premium 安全通道資源的存取權。新增 IAM 條件，讓只有 VM 執行個體管理員群組中的主體可以存取資源，這些主體的私人 IP 位址為 10.0.0.1，位於 22 連接埠，並使用 destination.ip 和 destination.port IAM 條件。並且必須符合 ACCESS_LEVEL_NAME 存取層級的規定。

   請注意，如果主體具有Owner 角色，則有權使用 IAP 進行 TCP 轉送。

   
   範例 policy.json 檔案

   {
     "policy": {
       "bindings": [
         {
           "role": "roles/iap.tunnelResourceAccessor",
           "members": ["group:instance-admins@example.com"],
           "condition": {
             "expression": "\"accessPolicies/POLICY_NAME/accessLevels/ACCESS_LEVEL_NAME\" in request.auth.access_levels && destination.ip == \"10.0.0.1\" && destination.port == 22",
             "title": "CONDITION_NAME"
           }
         }
       ]
     }
   }

   如要尋找政策名稱，請呼叫 accessPolicies.list：

   GET https://accesscontextmanager.googleapis.com/v1/accessPolicies
   

5. 使用 setIamPolicy 方法設定新的 policy.json 檔案。

   curl -i -H "Content-Type:application/json" \
             -H "Authorization: Bearer $(gcloud auth print-access-token)" \
             ${IAP_BASE_URL}/zones/ZONE_NAME/instances/INSTANCE_ID or INSTANCE_NAME:setIamPolicy \
             -d @${JSON_NEW_POLICY}

主控台

如要連線至執行個體，請使用Google Cloud 主控台中的 SSH 按鈕。執行個體的存取設定 (透過 IAM 權限定義) 必須允許透過 IAP 進行 TCP 隧道。

gcloud

如要連線至執行個體，請使用 gcloud compute ssh 指令。執行個體的存取設定 (透過 IAM 權限定義) 必須允許 TCP 透過 IAP 進行通訊。

gcloud compute ssh INSTANCE_NAME

將 INSTANCE_NAME 替換為要 SSH 前往的執行個體名稱。

如果執行個體沒有外部 IP 位址，連線會自動使用 IAP TCP 通道。如果執行個體有外部 IP 位址，連線會使用外部 IP 位址，而不是 IAP TCP 通道。

您可以使用 --tunnel-through-iap 標記，讓 gcloud compute ssh 一律使用 IAP TCP 隧道。

請使用 --internal-ip 標記，讓 gcloud compute ssh 永遠不會使用 IAP TCP 通道，而是直接連線至 VM 的內部 IP。這項操作對於與目標 VM 連線至相同虛擬私有雲網路的用戶端而言相當實用。

IAP Desktop

您可以使用 IAP Desktop，透過 SSH 和 IAP TCP 轉送連線至 VM 執行個體。

1. 在應用程式中，依序選取「File」 >「Add Google Cloud project」。

2. 輸入專案 ID 或名稱，然後按一下「確定」。

3. 在「Project Explorer」視窗中，以滑鼠右鍵按一下要連線的 VM 執行個體，然後選取「Connect」。

如要進一步瞭解 IAP Desktop，請參閱 GitHub 專案頁面。

PuTTY 應用程式

您可以設定 PuTTY Windows 終端機模擬器應用程式，讓該應用程式使用 IAP TCP 轉送功能連線至 VM 執行個體。執行個體的存取設定 (透過 IAM 權限定義) 必須允許透過 IAP 建立 TCP 通道。

設定 PuTTY 應用程式前，請先使用 gcloud compute ssh 指令一次，確保本機電腦上有私密安全殼層 (SSH) 金鑰，且公開安全殼層 (SSH) 金鑰已發布至 Compute Engine：

1. 開啟指令提示字元並執行下列指令，連線至 VM 執行個體：

   gcloud compute ssh INSTANCE_NAME `
     --tunnel-through-iap `
     --project PROJECT_ID `
     --zone ZONE

   更改下列內容：

   • INSTANCE_NAME：要連線的執行個體名稱
   • PROJECT_ID：VM 執行個體所在專案的專案 ID
   • ZONE：VM 執行個體所在區域

   如有需要，請按下 Y 確認是否要產生安全殼層金鑰。

2. 請在 VM 上執行下列指令，判斷您的使用者名稱：

   whoami

   您稍後會需要這個使用者名稱。

您現在可以設定 PuTTY 應用程式，以便使用 IAP TCP 轉送功能：

1. 開啟 PuTTY 應用程式，然後依序選取「Connection」 >「Proxy」。

2. 設定下列 Proxy 設定：

   • 在「Proxy type」(Proxy 類型) 中，選取「Local」(本機)。

   • 在「Telnet 指令或本機 Proxy 指令」欄位中輸入以下內容：

     gcloud.cmd compute start-iap-tunnel %host %port --listen-on-stdin --project PROJECT_ID --zone ZONE

     更改下列內容：

     • PROJECT_ID：VM 執行個體所在專案的專案 ID
     • ZONE：VM 執行個體所在區域

   • 針對「在終端機視窗中列印 Proxy 診斷資訊」，請選取「僅在工作階段開始前」。

3. 依序選取「Connection」 >「SSH」 >「Auth」。

4. 按一下「瀏覽」並貼上下列檔案名稱，然後點選「開啟」：

   %USERPROFILE%\.ssh\google_compute_engine.ppk

5. 選取「工作階段」類別。

6. 設定下列 Proxy 設定：

   • 在「主機名稱 (或 IP 位址)」欄位中輸入以下內容：

     USERNAME@INSTANCE_NAME

     更改下列內容：

     • USERNAME：您先前指定的 Linux 使用者名稱
     • INSTANCE_NAME：您要連線的 VM 執行個體名稱

   • 已儲存的工作階段：輸入工作階段名稱。

7. 按一下 [儲存]。

8. 按一下「Open」，即可開始 SSH 工作階段。

ssh

您可以直接使用 ssh 指令，搭配使用 gcloud 啟動隧道的 ProxyCommand 選項。使用這個指令產生完整的 ssh 指令：

gcloud compute ssh INSTANCE_NAME --dry-run

IAP Desktop

您可以使用 IAP Desktop，透過 IAP TCP 轉送連線至一或多個 VM 執行個體的遠端桌面。

1. 在應用程式中，依序選取「File」 >「Add Google Cloud project」。

2. 輸入專案 ID 或名稱，然後按一下「確定」。

3. 在「Project Explorer」視窗中，以滑鼠右鍵按一下要連線的 VM 執行個體，然後選取「Connect」。

如要進一步瞭解 IAP Desktop，請參閱 GitHub 專案頁面。

gcloud

如要連線至 VM 執行個體的遠端桌面，請先建立隧道。

1. 使用 gcloud compute start-iap-tunnel 指令，為 VM 執行個體的 RDP 通訊埠建立加密通道。

   gcloud compute start-iap-tunnel INSTANCE_NAME 3389 \
       --local-host-port=localhost:LOCAL_PORT \
       --zone=ZONE

   將 INSTANCE_NAME 替換為您要連線的 VM 執行個體名稱。將 LOCAL_PORT 替換為您要將 Proxy 繫結至的本機端口，或使用 0 讓系統自動選取未使用的端口。將 ZONE 替換為 VM 執行個體所在的區域。

2. gcloud 會對 VM 執行個體執行連線測試，然後開啟隧道並顯示連接埠號碼。

   Listening on port [LOCAL_PORT].

   所有傳送至 localhost:LOCAL_PORT 的流量都會轉送至 VM 執行個體。只有在本機電腦上執行的應用程式才能存取此連接埠。

3. 讓 gcloud 繼續執行，並開啟 Microsoft Windows 遠端桌面連線應用程式。

4. 輸入通道端點做為電腦名稱：

   localhost:LOCAL_PORT

   將 LOCAL_PORT 替換為 gcloud 開啟通道時顯示的通訊埠編號。

5. 按一下「連線」。

gcloud

建立 VM 執行個體通訊埠的加密通道：

gcloud compute start-iap-tunnel INSTANCE_NAME INSTANCE_PORT \
    --local-host-port=localhost:LOCAL_PORT \
    --zone=ZONE

將 INSTANCE_NAME 和 INSTANCE_PORT 替換為您要連線的 VM 執行個體名稱和通訊埠。將 LOCAL_PORT 替換為您要將 Proxy 繫結到的本機端口。將 ZONE 替換為 VM 執行個體所在的區域。

gcloud 會對 VM 執行個體執行連線測試，然後開啟隧道並顯示連接埠號碼。

Listening on port [LOCAL_PORT].

所有傳送至 localhost:LOCAL_PORT 的流量都會轉送至 VM 執行個體。只有在本機電腦上執行的應用程式才能存取這個通訊埠。

Linux

如要在 Unix 平台上使用 pip 安裝 NumPy，請在新的終端機例項中執行下列指令：

$(gcloud info --format="value(basic.python_location)") -m pip install numpy

如果安裝 NumPy 後仍持續顯示錯誤訊息，請完成下列步驟： 執行下列指令，允許 gcloud 存取外部套件：

export CLOUDSDK_PYTHON_SITEPACKAGES=1

Windows

如要在 Windows 平台上使用 pip 安裝 NumPy，請在新的 PowerShell 例項中執行下列指令：

start (gcloud info --format="value(basic.python_location)") "-m pip install numpy"

如果安裝 NumPy 後仍持續顯示這則訊息，則必須採取其他步驟。執行下列指令，允許 gcloud 存取外部套件：

$env:CLOUDSDK_PYTHON_SITEPACKAGES="1"