Tetap teratur dengan koleksi
Simpan dan kategorikan konten berdasarkan preferensi Anda.
Panduan ini menjelaskan cara mengamankan aplikasi lokal berbasis HTTP atau HTTPS di luar
Google Cloud dengan
Identity-Aware Proxy (IAP) dengan men-deploy
konektor IAP.
URL eksternal yang akan digunakan sebagai titik masuk untuk traffic keGoogle Cloud. Contoh, www.hr-domain.com.
Sertifikat SSL atau TLS untuk nama host DNS yang digunakan sebagai titik
masuk untuk traffic ke Google Cloud. Sertifikat yang dikelola sendiri atau
dikelola Google
yang ada dapat digunakan. Jika Anda tidak memiliki sertifikat, buat sertifikat menggunakan Let's Encrypt.
Jika Kontrol Layanan VPC diaktifkan, jaringan VPC dengan
kebijakan keluar
pada tindakan cp untuk akun layanan VM ke bucket gce-mesh, yang berada di
project 278958399328. Tindakan ini akan memberikan izin jaringan VPC untuk mengambil file biner Envoy dari bucket gce-mesh.
Izin diberikan secara default, jika Kontrol Layanan VPC tidak diaktifkan.
Nonaktifkan IP eksternal dengan menyelesaikan langkah-langkah berikut:
Aktifkan Akses Google Pribadi di subnet VPC yang digunakan untuk konektor IAP dengan mencentang kotak di konfigurasi. Untuk informasi tambahan, lihat Akses Google Pribadi.
Pastikan konfigurasi firewall jaringan VPC mengizinkan akses dari VM ke alamat IP yang digunakan oleh Google API dan layanan Google. Hal ini secara implisit diizinkan secara default, tetapi dapat diubah oleh pengguna secara eksplisit. Untuk mengetahui informasi tentang cara menemukan rentang IP, lihat Alamat IP untuk domain default.
Mulai siapkan deployment konektor untuk aplikasi lokal dengan mengklik
Penyiapan konektor lokal.
Pastikan API yang diperlukan dimuat dengan mengklik Aktifkan API.
Pilih apakah deployment harus menggunakan sertifikat yang dikelola Google atau yang dikelola oleh Anda, pilih jaringan dan subnet untuk deployment (atau pilih untuk membuat yang baru), lalu klik Berikutnya.
Masukkan detail untuk aplikasi lokal yang ingin Anda tambahkan:
URL eksternal permintaan yang masuk ke Google Cloud. URL ini adalah tempat traffic memasuki lingkungan.
Nama untuk aplikasi. Nama ini juga akan digunakan sebagai nama untuk
layanan backend baru di belakang load
balancer.
Jenis endpoint on-prem dan detailnya:
Nama domain yang sepenuhnya memenuhi syarat (FQDN): Domain tempat konektor harus meneruskan traffic.
Alamat IP: Satu atau beberapa zona tempat konektor IAP harus di-deploy (misalnya, us-central1-a) dan, untuk setiap zona, alamat IPv4 tujuan internal untuk aplikasi lokal tempat IAP merutekan traffic setelah pengguna diberi otorisasi dan diautentikasi.
Protokol yang digunakan oleh endpoint on-prem.
Nomor port yang digunakan oleh endpoint on-premise, seperti 443 untuk HTTPS atau 80 untuk HTTP.
Klik Selesai untuk menyimpan detail aplikasi tersebut. Jika mau, Anda dapat
menentukan aplikasi on-premise tambahan untuk deployment.
Jika sudah siap, klik Kirimkan untuk memulai deployment aplikasi yang telah Anda
tentukan.
Setelah deployment selesai, aplikasi konektor lokal Anda akan muncul di tabel resource HTTP dan IAP dapat diaktifkan.
Jika Anda memilih untuk mengizinkan Google membuat dan mengelola sertifikat secara otomatis, mungkin perlu waktu beberapa menit untuk menyediakan sertifikat. Anda dapat memeriksa statusnya di halaman detail Cloud Load Balancing. Untuk mengetahui informasi selengkapnya tentang status, lihat halaman pemecahan masalah.
Mengelola konektor untuk aplikasi lokal
Anda dapat menambahkan lebih banyak aplikasi ke deployment kapan saja dengan mengklik
Penyiapan konektor on-prem.
Anda dapat menghapus konektor on-premise dengan menghapus seluruh deployment:
Dalam daftar deployment, centang kotak di samping deployment "on-prem-app-deployment".
Di bagian atas halaman, klik Hapus
Anda dapat menghapus aplikasi satu per satu dengan mengklik tombol hapus di
Penyiapan konektor on-prem
Konektor on-premise harus berisi minimal satu aplikasi. Untuk menghapus semua aplikasi,
hapus seluruh deployment.
[[["Mudah dipahami","easyToUnderstand","thumb-up"],["Memecahkan masalah saya","solvedMyProblem","thumb-up"],["Lainnya","otherUp","thumb-up"]],[["Sulit dipahami","hardToUnderstand","thumb-down"],["Informasi atau kode contoh salah","incorrectInformationOrSampleCode","thumb-down"],["Informasi/contoh yang saya butuhkan tidak ada","missingTheInformationSamplesINeed","thumb-down"],["Masalah terjemahan","translationIssue","thumb-down"],["Lainnya","otherDown","thumb-down"]],["Terakhir diperbarui pada 2025-08-18 UTC."],[],[],null,["# Enabling IAP for on-premises apps\n\nThis guide explains how to secure an HTTP or HTTPS based, on-premises app outside of\nGoogle Cloud with\n[Identity-Aware Proxy (IAP)](/iap/docs/concepts-overview) by deploying an\nIAP connector.\nFor more information on how IAP secures on-premises apps and resources, see the [IAP for on-premises apps overview](/iap/docs/cloud-iap-for-on-prem-apps-overview).\n\nBefore you begin\n----------------\n\nBefore you begin, you need the following:\n\n- An HTTP or HTTPS based on-premises app.\n- A Cloud Identity member [granted the\n **Owner** role](/iam/docs/granting-changing-revoking-access#grant_access) on your Google Cloud project.\n- Granted the [Google APIs Service Agent](/iam/docs/service-agents#google-apis-service-agent) with owner role.\n- A Google Cloud project with [billing enabled](/billing/docs/how-to/modify-project).\n- The external URL to use as the ingress point for traffic to Google Cloud. For example, `www.hr-domain.com`.\n- An SSL or TLS certificate for the DNS hostname that is used as the ingress point for traffic to Google Cloud. An existing self-managed or [Google-managed](/load-balancing/docs/ssl-certificates#managed-certs) certificate can be used. If you don't have a certificate, create one using [Let's Encrypt](https://letsencrypt.org/).\n- If VPC Service Controls is enabled, a VPC network with an [egress policy](/vpc-service-controls/docs/ingress-egress-rules#egress_rules_reference) on `cp` action for the VM service account to the gce-mesh bucket, which is in project 278958399328. This grants the VPC network permission to retrieve the Envoy binary file from the gce-mesh bucket. The permission is granted by default, if VPC Service Controls is not enabled.\n- Disable an external IP by completing the following steps:\n\n 1. Enable Private Google Access on the VPC subnet that is used for the IAP connector by checking the box in the configuration. For additional information, see [Private Google Access](https://cloud.google.com/vpc/docs/private-google-access).\n 2. Ensure that the firewall configuration of the VPC network allows access from the VMs to the IP addresses used by the Google APIs and services. This is implicitly allowed by default, but can be changed by the users explicitly. For information about how to find the IP range, see [IP addresses for default domains](https://cloud.google.com/vpc/docs/configure-private-google-access#ip-addr-defaults).\n\nDeploy a connector for an on-premises app\n-----------------------------------------\n\n1. Go to the [IAP admin page](https://console.cloud.google.com/security/iap).\n\n [Go to the IAP admin page](https://console.cloud.google.com/security/iap)\n2. Begin setting up your connector deployment for an on-premises app by clicking\n **On-prem connectors setup**.\n\n3. Ensure that the required APIs are loaded by clicking **Enable APIs**.\n\n4. Choose whether the deployment should use a Google-managed certificate or one\n managed by you, select the network and subnet for the deployment (or choose\n to create a new one), and then click **Next**.\n\n5. Enter the details for an on-premises app you want to add:\n\n - The external URL of requests coming to Google Cloud. This URL is where traffic enters the environment.\n - A name for the app. It will also be used as the name for a new [backend service](/load-balancing/docs/backend-service) behind the load balancer.\n - The on-prem endpoint type and its details:\n\n - Fully qualified domain name (FQDN): The domain where the connector should forward the traffic.\n - IP address: One or more zones for where the IAP connector should be deployed (for example, `us-central1-a`) and, for each, the IPv4 address of the internal destination for the on-premises app to which IAP routes traffic after a user has been authorized and authenticated.\n\n | **Note:** If your on-prem endpoint is an IP address, consider using a [hybrid connectivity network endpoint group](https://cloud.google.com/load-balancing/docs/negs/hybrid-neg-concepts#use-case_routing_traffic_to_an_on-premises_location_or_another_cloud) directly with a load balancer instead of using the IAP on-prem connector.\n - The protocol used by the on-prem endpoint.\n\n - The port number used by the on-prem endpoint, such as 443 for HTTPS or 80 for HTTP.\n\n6. Click **Done** to save the details for that app. If you want, you can then\n define additional on-premises apps for the deployment.\n\n7. When you're ready, click **Submit** to begin deployment of the apps you've\n defined.\n\nOnce the deployment is complete, your on-prem connector apps appear in the\n**HTTP resources** table and IAP can be enabled.\n\nIf you choose to let Google auto-generate and manage the certificates, it might\ntake a few minutes for the certificates to provision. You can check the status\nat the Cloud Load Balancing detail page. For more information about the\nstatus, see\n[troubleshooting page](/load-balancing/docs/ssl-certificates/troubleshooting#certificate-managed-status).\n\nManage a connector for an on-premises app\n-----------------------------------------\n\n- You can add more apps to your deployment at any time by clicking **On-prem connectors setup**.\n- You can delete the on-premises connector by deleting the entire\n deployment:\n\n 1. Go to the [Deployment Manager page](https://console.cloud.google.com/dm/deployments).\n\n [Go to the Deployment Manager page](https://console.cloud.google.com/dm/deployments)\n 2. In the list of deployments, select the checkbox next to the\n \"on-prem-app-deployment\" deployment.\n\n 3. On the top of the page, click **Delete**\n\n- You can delete individual app by clicking the delete button in the\n **On-prem connectors setup**\n The on-premises connector must contains at least one app. To remove all app,\n please delete the entire deployment."]]
