Mantenha tudo organizado com as coleções
Salve e categorize o conteúdo com base nas suas preferências.
Neste guia, você aprenderá como proteger um app local baseado em HTTP ou HTTPS fora do
Google Cloud com o
Identity-Aware Proxy (IAP), implantando um
conector do IAP.
O URL externo a ser usado como ponto de entrada para o tráfego em
Google Cloud. Por exemplo, www.hr-domain.com.
Ter um certificado SSL ou TLS para o nome do host de DNS que será usado como ponto de entrada
do tráfego para Google Cloud. É possível usar um certificado autogerenciado ou
gerenciado pelo Google
que você já tenha. Se você ainda não tem um certificado, crie um usando a
Let's Encrypt (em inglês).
Se o VPC Service Controls estiver ativado, use uma rede VPC com uma política de saída na ação cp da conta de serviço da VM para o bucket gce-mesh, que está no projeto 278958399328. Isso concede à rede VPC permissão para recuperar o arquivo binário Envoy do bucket gce-mesh.
A permissão será concedida por padrão se o VPC Service Controls não estiver ativado.
Desative um IP externo concluindo as seguintes etapas:
Ative o Acesso privado do Google na sub-rede VPC usada para o conector do IAP marcando a caixa na configuração. Para mais informações, consulte Acesso privado do Google.
Verifique se a configuração do firewall da rede VPC permite acesso das VMs aos endereços IP usados pelas APIs e serviços do Google. Isso é implicitamente permitido por padrão, mas pode ser alterado explicitamente pelos usuários. Veja informações sobre como encontrar o intervalo de IP em Endereços IP para domínios padrão.
Comece a configurar a implantação do conector em um app no local clicando em
Configuração de conectores no local.
Verifique se as APIs necessárias estão carregadas clicando em Ativar APIs.
Escolha se a implantação usará um certificado gerenciado pelo Google ou um gerenciado por você, selecione a rede e a sub-rede para a implantação (ou crie um novo) e clique em Avançar.
Insira os detalhes de um aplicativo no local que você quer adicionar:
O URL externo das solicitações que chegam a Google Cloud. Esse URL é
por onde o tráfego entra no ambiente;
um nome para o aplicativo. Ele também será usado como o nome de um novo
serviço de back-end por trás do balanceador
de carga.
O tipo de endpoint local e os detalhes dele:
Nome de domínio totalmente qualificado (FQDN, na sigla em inglês): o domínio para onde o conector deve encaminhar o tráfego.
Endereço IP: uma ou mais zonas em que o conector do IAP precisa ser implantado (por exemplo, us-central1-a). Para cada uma, o endereço IPv4 do destino interno do app local em que o IAP encaminha o tráfego depois de o usuário ter sido autorizado e autenticado.
O protocolo usado pelo endpoint no local.
O número da porta usado pelo endpoint no local, como 443 para HTTPS ou 80 para HTTP.
clique em Concluído para salvar os detalhes do app. Se você quiser, defina
mais aplicativos locais para a implantação.
Quando tudo estiver pronto, clique em Enviar para começar a implantação dos apps que você
definiu.
Após a conclusão da implantação, os apps de conector no local aparecerão na tabela
Recursos HTTP, e o IAP poderá ser ativado.
Se você optar por permitir que o Google gere e gerencie automaticamente os certificados, pode levar alguns minutos para que os certificados sejam provisionados. Verifique o status na página de detalhes do Cloud Load Balancing. Para mais informações sobre o status, consulte a página de solução de problemas.
Gerencie um conector para um app no local
É possível adicionar mais aplicativos à sua implantação a qualquer momento clicando em
Configuração de conectores no local.
É possível excluir o conector local excluindo toda a implantação:
Na lista de implantações, marque a caixa de seleção ao lado da
implantação "on-prem-app-deployment".
No topo da página, clique em Excluir.
É possível excluir um app individual clicando no botão "Excluir" na configuração dos conectores locais. O conector local precisa conter pelo menos um app. Para remover todos os apps, exclua toda a implantação.
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2025-08-18 UTC."],[],[],null,["# Enabling IAP for on-premises apps\n\nThis guide explains how to secure an HTTP or HTTPS based, on-premises app outside of\nGoogle Cloud with\n[Identity-Aware Proxy (IAP)](/iap/docs/concepts-overview) by deploying an\nIAP connector.\nFor more information on how IAP secures on-premises apps and resources, see the [IAP for on-premises apps overview](/iap/docs/cloud-iap-for-on-prem-apps-overview).\n\nBefore you begin\n----------------\n\nBefore you begin, you need the following:\n\n- An HTTP or HTTPS based on-premises app.\n- A Cloud Identity member [granted the\n **Owner** role](/iam/docs/granting-changing-revoking-access#grant_access) on your Google Cloud project.\n- Granted the [Google APIs Service Agent](/iam/docs/service-agents#google-apis-service-agent) with owner role.\n- A Google Cloud project with [billing enabled](/billing/docs/how-to/modify-project).\n- The external URL to use as the ingress point for traffic to Google Cloud. For example, `www.hr-domain.com`.\n- An SSL or TLS certificate for the DNS hostname that is used as the ingress point for traffic to Google Cloud. An existing self-managed or [Google-managed](/load-balancing/docs/ssl-certificates#managed-certs) certificate can be used. If you don't have a certificate, create one using [Let's Encrypt](https://letsencrypt.org/).\n- If VPC Service Controls is enabled, a VPC network with an [egress policy](/vpc-service-controls/docs/ingress-egress-rules#egress_rules_reference) on `cp` action for the VM service account to the gce-mesh bucket, which is in project 278958399328. This grants the VPC network permission to retrieve the Envoy binary file from the gce-mesh bucket. The permission is granted by default, if VPC Service Controls is not enabled.\n- Disable an external IP by completing the following steps:\n\n 1. Enable Private Google Access on the VPC subnet that is used for the IAP connector by checking the box in the configuration. For additional information, see [Private Google Access](https://cloud.google.com/vpc/docs/private-google-access).\n 2. Ensure that the firewall configuration of the VPC network allows access from the VMs to the IP addresses used by the Google APIs and services. This is implicitly allowed by default, but can be changed by the users explicitly. For information about how to find the IP range, see [IP addresses for default domains](https://cloud.google.com/vpc/docs/configure-private-google-access#ip-addr-defaults).\n\nDeploy a connector for an on-premises app\n-----------------------------------------\n\n1. Go to the [IAP admin page](https://console.cloud.google.com/security/iap).\n\n [Go to the IAP admin page](https://console.cloud.google.com/security/iap)\n2. Begin setting up your connector deployment for an on-premises app by clicking\n **On-prem connectors setup**.\n\n3. Ensure that the required APIs are loaded by clicking **Enable APIs**.\n\n4. Choose whether the deployment should use a Google-managed certificate or one\n managed by you, select the network and subnet for the deployment (or choose\n to create a new one), and then click **Next**.\n\n5. Enter the details for an on-premises app you want to add:\n\n - The external URL of requests coming to Google Cloud. This URL is where traffic enters the environment.\n - A name for the app. It will also be used as the name for a new [backend service](/load-balancing/docs/backend-service) behind the load balancer.\n - The on-prem endpoint type and its details:\n\n - Fully qualified domain name (FQDN): The domain where the connector should forward the traffic.\n - IP address: One or more zones for where the IAP connector should be deployed (for example, `us-central1-a`) and, for each, the IPv4 address of the internal destination for the on-premises app to which IAP routes traffic after a user has been authorized and authenticated.\n\n | **Note:** If your on-prem endpoint is an IP address, consider using a [hybrid connectivity network endpoint group](https://cloud.google.com/load-balancing/docs/negs/hybrid-neg-concepts#use-case_routing_traffic_to_an_on-premises_location_or_another_cloud) directly with a load balancer instead of using the IAP on-prem connector.\n - The protocol used by the on-prem endpoint.\n\n - The port number used by the on-prem endpoint, such as 443 for HTTPS or 80 for HTTP.\n\n6. Click **Done** to save the details for that app. If you want, you can then\n define additional on-premises apps for the deployment.\n\n7. When you're ready, click **Submit** to begin deployment of the apps you've\n defined.\n\nOnce the deployment is complete, your on-prem connector apps appear in the\n**HTTP resources** table and IAP can be enabled.\n\nIf you choose to let Google auto-generate and manage the certificates, it might\ntake a few minutes for the certificates to provision. You can check the status\nat the Cloud Load Balancing detail page. For more information about the\nstatus, see\n[troubleshooting page](/load-balancing/docs/ssl-certificates/troubleshooting#certificate-managed-status).\n\nManage a connector for an on-premises app\n-----------------------------------------\n\n- You can add more apps to your deployment at any time by clicking **On-prem connectors setup**.\n- You can delete the on-premises connector by deleting the entire\n deployment:\n\n 1. Go to the [Deployment Manager page](https://console.cloud.google.com/dm/deployments).\n\n [Go to the Deployment Manager page](https://console.cloud.google.com/dm/deployments)\n 2. In the list of deployments, select the checkbox next to the\n \"on-prem-app-deployment\" deployment.\n\n 3. On the top of the page, click **Delete**\n\n- You can delete individual app by clicking the delete button in the\n **On-prem connectors setup**\n The on-premises connector must contains at least one app. To remove all app,\n please delete the entire deployment."]]
