Configurer IAP pour Compute Engine

Étape 1 : Créez un modèle Compute Engine

Dans la console Google Cloud, accédez à la page Compute Engine > Créer un modèle d'instance, puis sélectionnez le projet dans lequel vous souhaitez créer un modèle.

ACCÉDER À LA PAGE "CRÉER UN MODÈLE D'INSTANCE"

Utilisez les valeurs par défaut, sauf pour les champs suivants :

• Type de machine :
  • micro (f1-micro)
• Niveaux d'accès :
  • Définir l'accès pour chaque API
  • Compute Engine : lecture seule
• Pare-feu :
  • Autoriser le trafic HTTP
• Dans la section Gestion, sous Automatisation > Script de démarrage, copiez et collez le script suivant :
  # Copyright 2021 Google LLC
  #
  # Licensed under the Apache License, Version 2.0 (the "License");
  # you may not use this file except in compliance with the License.
  # You may obtain a copy of the License at
  #
  #      http://www.apache.org/licenses/LICENSE-2.0
  #
  # Unless required by applicable law or agreed to in writing, software
  # distributed under the License is distributed on an "AS IS" BASIS,
  # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  # See the License for the specific language governing permissions and
  # limitations under the License.
  
  apt-get -y update
  apt-get -y install git
  apt-get -y install virtualenv
  git clone https://github.com/GoogleCloudPlatform/python-docs-samples
  cd python-docs-samples/iap
  virtualenv venv -p python3
  source venv/bin/activate
  pip install -r requirements.txt
  cat example_gce_backend.py |
    sed -e "s/YOUR_BACKEND_SERVICE_ID/$(gcloud compute backend-services describe my-backend-service --global --format="value(id)")/g" |
    sed -e "s/YOUR_PROJECT_ID/$(gcloud config get-value account | tr -cd "[0-9]")/g" > real_backend.py
  gunicorn real_backend:app -b 0.0.0.0:80
  

Une fois les valeurs mises à jour, cliquez sur Créer pour créer le modèle.

Étape 2 : Créez un groupe d'instances géré

Dans la console Google Cloud, accédez à la page Compute Engine > Créer un groupe d'instances, puis sélectionnez le projet dans lequel vous souhaitez créer un groupe d'instances géré.

ACCÉDER À LA PAGE "CRÉER UN GROUPE D'INSTANCES"

Utilisez les valeurs par défaut, sauf pour les champs suivants :

• Nom : my-managed-instance-group
• Zone : Multizone
• Modèle d'instance : sélectionnez le modèle d'instance créé à l'étape 1.
• Nombre d'instances:pour modifier le nombre d'instances, vous devez d'abord désactiver l'autoscaling.
• Mode autoscaling : Ne pas procéder à un autoscaling

• Vérification d'état : sélectionnez Créer une vérification d'état, puis saisissez les valeurs suivantes :

  • Nom : my-health-check
  • Protocole : HTTP

  Pour utiliser la nouvelle vérification d'état, cliquez sur Enregistrer et continuer.

Une fois les valeurs mises à jour, cliquez sur Créer pour créer le groupe d'instances géré.

Étape 3 : Obtenez un nom de domaine et un certificat

Pour utiliser l'équilibreur de charge avec le trafic HTTPS, vous avez besoin d'un nom de domaine et d'un certificat signé. Vous pouvez enregistrer un domaine sur Google Domains ou utiliser le service d'enregistrement de noms de domaine que vous souhaitez. Enregistrez votre domaine avant de poursuivre.

Configurer votre certificat

Créez un certificat qui identifie votre site Web auprès de vos utilisateurs. Pour savoir comment créer un certificat, consultez la section Utiliser des certificats SSL gérés par Google.

L'autorité de certification doit vérifier que vous êtes le propriétaire du nom de domaine que vous avez enregistré. Lors des étapes suivantes, vous allez créer une VM pour authentifier votre domaine auprès de l'autorité de certification.

Créer une VM pour authentifier la propriété du domaine

Dans la console Google Cloud, accédez à la page Compute Engine > Créer une instance.

ACCÉDER À LA PAGE "CRÉER UNE INSTANCE"

Utilisez les valeurs par défaut, sauf pour les champs suivants :

• Nom : certbot-vm
• Type de machine : micro (f1-micro)
• Niveaux d'accès :
  • Définir l'accès pour chaque API
  • Compute Engine : lecture/écriture
• Image du disque de démarrage :
  • Debian GNU/Linux 9 (stretch)
• Pare-feu :
  • Autoriser le trafic HTTP
  • Autoriser le trafic HTTPS

Une fois les valeurs mises à jour, cliquez sur Créer pour créer l'instance de VM. Notez l'adresse IP externe de la VM que vous venez de créer. Vous en aurez besoin à l'étape suivante.

Configurer le domaine pour qu'il pointe vers la VM

Pour configurer votre domaine de sorte qu'il pointe vers la VM, suivez cette procédure de configuration des enregistrements A :

1. Connectez-vous au compte que vous possédez auprès de votre hébergeur de domaine.
2. Recherchez la page pour mettre à jour les enregistrements DNS de votre domaine. Cette page porte généralement un nom tel que "Gestion DNS", "Gestion du serveur de noms" ou "Paramètres avancés".
3. Modifiez les valeurs de vos enregistrements A comme suit :
   • Nom/Hôte/Alias : @
   • Valeur : adresse IP externe de la VM que vous avez créée pour authentifier la propriété de votre domaine précédemment.
   • Valeur TTL : valeur par défaut de votre bureau d'enregistrement, soit 86 400 (un jour).
4. Patientez jusqu'à la mise à jour de l'enregistrement DNS. La propagation de l'enregistrement ajouté peut prendre jusqu'à un jour complet.

Pour en savoir plus, consultez l'article À propos des enregistrements A.

Tester le serveur

Pour vérifier que votre serveur fonctionne correctement, procédez comme suit :

1. Dans la console Google Cloud, accédez à la page Compute Engine > Instances de VM.
   ACCÉDER À LA PAGE "INSTANCES DE VM"

2. Sous Se connecter pour certbot-vm, cliquez sur SSH.

3. Exécutez un petit serveur Web sur votre VM à l'aide de la commande suivante :

     mkdir web
     cd web
     echo "Hello" > index.html
     sudo busybox httpd -v -f
   

4. Dans un navigateur Web, accédez au nom de domaine que vous avez enregistré. Hello doit être indiqué dans votre navigateur Web, et votre session SSH doit afficher un message contenant ... response:200. Si ce n'est pas le cas, patientez quelques minutes, puis répétez cette opération.

5. Une fois le test réussi, appuyez sur les touches Ctrl+C pour interrompre le serveur Web.

Créer un certificat

Pour créer un certificat, enregistrez-vous auprès de Let's Encrypt en exécutant les commandes suivantes sur la VM, où YOUR_DOMAIN correspond à votre nom de domaine (sans le protocole) :

sudo pkill busybox
sudo apt-get install -y certbot
sudo certbot certonly --standalone -d YOUR-DOMAIN

Au cours de cette procédure, Let's Encrypt pourra vous demander une adresse e-mail afin de pouvoir vous envoyer un rappel avant l'expiration de votre certificat (par défaut, trois mois après son émission). Vous devrez également accepter les conditions d'utilisation de Let's Encrypt.

Une fois que vous êtes enregistré, le message suivant doit s'afficher : Congratulations! Your certificate and chain have been saved at...

Ajouter le certificat au projet

Pour ajouter le certificat à votre projet, exécutez les commandes suivantes sur la machine VM :

sudo su
cd /etc/letsencrypt/live/YOUR_DOMAIN
gcloud compute ssl-certificates create my-cert --certificate=fullchain.pem --private-key=privkey.pem

Une fois le certificat créé, un message de ce type doit s'afficher : Created [https://www.googleapis.com/compute/v1/projects/example-project/global/sslCertificates/my-cert]

Avant de continuer, fermez la session SSH.

Étape 4 : Créez un équilibreur de charge

Avant de commencer cette étape, assurez-vous de bien avoir fermé la session SSH que vous avez lancée à l'étape précédente. Lorsque vous êtes prêt, procédez comme suit pour créer un équilibreur de charge :

1. Dans la console Google Cloud, accédez à la page Services réseau > Créer un équilibreur de charge, puis sélectionnez le projet pour lequel vous souhaitez créer un équilibreur de charge.
   ACCÉDER À LA PAGE "CRÉER UN ÉQUILIBREUR DE CHARGE"

2. Dans la section Équilibrage de charge HTTP(S), cliquez sur Démarrer la configuration.

3. Sélectionnez D'Internet vers mes VM.

4. Sur la page Nouvel équilibreur de charge d'application externe qui s'affiche, saisissez un nom pour votre équilibreur de charge.

5. Cliquez sur Configuration du backend, puis sélectionnez Services backend > Créer un service backend.

6. Dans le panneau Créer un service de backend, saisissez my-backend-service dans le champ Nom.
   

7. Sous Nouveau backend, utilisez les valeurs par défaut, sauf pour le champ suivant :

   • Groupe d'instances : my-managed-instance-group

8. Sous Vérification d'état, sélectionnez my-health-check.

9. Une fois les valeurs mises à jour, cliquez sur Créer. Le panneau Nouvel équilibreur de charge HTTP(S) s'affiche de nouveau.

10. Cliquez sur Règles d'hôte et de chemin d'accès pour charger les valeurs par défaut. Vous n'avez pas besoin d'ajouter de règles.

11. Cliquez sur Configuration du frontend. Utilisez les valeurs par défaut, sauf pour les champs suivants :

    • Protocole : HTTPS
    • Adresse IP : cliquez sur Créer une adresse IP.
      • Saisissez un nom à associer à votre nouvelle adresse IP statique.
      • Cliquez sur Réserver pour réserver l'adresse IP statique.
    • Certificat : my-cert

12. Une fois les valeurs de la configuration du frontend saisies, cliquez sur OK.

13. Cliquez sur Créer. La page Équilibrage de charge s'affiche, et votre équilibreur de charge est créé dans la liste des équilibreurs de charge.

14. Une fois que la console Google Cloud a fini de créer l'équilibreur de charge, cliquez sur son nom et notez l'adresse IP externe sous Détails > Interface. Vous en aurez besoin à l'étape suivante.

Configurer le domaine pour qu'il pointe vers l'équilibreur de charge

Pour configurer votre domaine afin qu'il pointe vers l'équilibreur de charge, configurez les enregistrements A en procédant comme suit :

1. Connectez-vous au compte que vous possédez auprès de votre hébergeur de domaine.
2. Recherchez la page pour mettre à jour les enregistrements DNS de votre domaine. Cette page porte généralement un nom tel que "Gestion DNS", "Gestion du serveur de noms" ou "Paramètres avancés".
3. Modifiez les valeurs de vos enregistrements A comme suit :
   • Nom/Hôte/Alias : @
   • Valeur : adresse IP externe de l'équilibreur de charge que vous venez de créer. N'incluez pas le port :443 dans votre enregistrement DNS.
   • Valeur TTL : valeur par défaut de votre bureau d'enregistrement, soit 86 400 (un jour).
4. Patientez jusqu'à la mise à jour de l'enregistrement DNS. La propagation de l'enregistrement que vous venez d'ajouter peut prendre jusqu'à un jour entier.
5. Pour tester l'équilibreur de charge, utilisez un navigateur Web pour accéder à votre domaine à l'aide d'un protocole https://.
   • Si l'équilibreur de charge n'est pas encore configuré, des erreurs "HTTP 502" s'affichent.
   • Lorsque l'équilibreur de charge est prêt, le message "Requête non autorisée" apparaît.

Pour en savoir plus, consultez l'article À propos des enregistrements A.

Redémarrer les VM

Pour authentifier correctement les requêtes d'IAP, vous devez redémarrer les VM de votre groupe d'instances géré en procédant comme suit :

1. Dans la console Google Cloud, accédez à la page Compute Engine > Groupes d'instances.
   ACCÉDER À LA PAGE "GROUPES D'INSTANCES"
2. Cliquez sur my-managed-instance-group.
3. En haut des informations relatives au groupe d'instances qui s'affichent, cliquez sur Redémarrer/Remplacer progressivement.
4. Sur la page Redémarrer/Remplacer les instances de my-managed-instance-group qui s'affiche, définissez les valeurs suivantes :
   • Opération : Redémarrer
   • Nombre maximal d'instances indisponibles : 3 instances sur 3
   • Durée d'attente minimale : 0 s
5. Une fois les valeurs mises à jour, cliquez sur Redémarrer.

Étape 5 : Configurez IAP

Configurer le pare-feu

Vous allez ensuite configurer votre pare-feu pour bloquer l'accès des VM sous-jacentes et n'autoriser que les accès via IAP :

1. Dans la console Google Cloud, accédez à Réseau VPC > Règles de pare-feu.
   ACCÉDER À LA PAGE "RÈGLES DE PARE-FEU"
2. Cochez les cases situées à côté des règles suivantes :
   • default-allow-http
   • default-allow-https
   • default-allow-internal
3. Cliquez sur Supprimer.
4. Cliquez sur Créer une règle de pare-feu, puis définissez les valeurs suivantes :
   • Nom : allow-iap-traffic
   • Cibles : Toutes les instances du réseau
   • Plages d'adresses IP sources (appuyez sur Entrée après avoir collé chaque valeur dans le champ). Les plages d'adresses IP sont ajoutées à la liste d'autorisation, car il s'agit d'une condition préalable à la communication de l'équilibreur de charge avec les backends.
     • 130.211.0.0/22
     • 35.191.0.0/16
   • Protocoles et ports :
     • Protocoles et ports spécifiés
     • tcp:80
5. Une fois les valeurs mises à jour, cliquez sur Créer.

Configurer IAP

Pour configurer IAP pour votre projet, procédez comme suit :

1. Dans la console Google Cloud, accédez à la page Sécurité > Identity-Aware Proxy et sélectionnez le projet pour lequel vous souhaitez activer IAP.
   ACCÉDER À LA PAGE "IDENTITY-AWARE PROXY"

2. Si vous n'avez pas configuré l'écran d'autorisation OAuth de votre projet, vous êtes invité à le faire :

   1. Accédez à l'écran d'autorisation OAuth.
      Configurer l'écran d'autorisation
   2. Sous Adresse e-mail d'assistance, sélectionnez l'adresse e-mail que vous souhaitez afficher en tant que contact public. L'adresse e-mail doit appartenir au compte utilisateur actuellement connecté ou à un groupe Google dont l'utilisateur actuellement connecté est administrateur ou propriétaire.
   3. Saisissez le nom de l'application que vous souhaitez afficher.
   4. Ajoutez des détails, si nécessaire.
   5. Cliquez sur Save.

   Pour modifier ultérieurement les informations affichées sur l'écran d'autorisation OAuth, comme le nom du produit ou l'adresse e-mail, répétez les étapes de configuration précédentes.

3. En regard de my-backend-service, appuyez sur le bouton Activé/Désactivé dans la colonne IAP.

4. Dans la fenêtre Activer IAP qui s'affiche, cochez la case en regard de "J'ai consulté la configuration requise, et j'ai configuré ma ressource Compute Engine conformément à la documentation".

5. Cliquez sur Activer.

Ajouter des comptes principaux à la liste d'accès

Vous allez ensuite ajouter des comptes principaux à la liste d'accès IAP de votre projet.

1. Dans la section Accès située sur le côté droit de la page IAM et administration > Identity-Aware Proxy, cliquez sur Ajouter.
2. Saisissez les comptes principaux auxquels vous souhaitez accorder l'accès, y compris vous-même, puis attribuez-leur le rôle Utilisateur de l'application Web sécurisée par IAP. Les comptes principaux peuvent être :
   • Comptes Google : utilisateur@gmail.com
   • Groupes Google : administrateurs@googlegroups.com
   • Comptes de service: serveur@example.gserviceaccount.com
   • Domaines Google Workspace : example.com

Étape 6 : Testez IAP

Pour savoir si IAP fonctionne correctement, procédez comme suit :

1. Dans votre navigateur Web, accédez à votre domaine.
   1. Si le message "Requête non autorisée" s'affiche, réessayez dans quelques minutes.
2. Lorsque l'écran de connexion Google s'affiche, connectez-vous à l'aide du compte Google auquel vous avez accordé l'accès lors de l'étape précédente.
3. Un message du type "Bonjour, user@example.com. Je suis my-managed-instance-group-29z6" doit s'afficher.
4. Essayez d'actualiser la page. Votre navigateur doit afficher le nom des trois machines de votre groupe d'instances géré. Il s'agit de l'équilibreur de charge, qui répartit le trafic sur les VM du groupe.

Félicitations ! Vous avez activé un service à équilibrage de charge à l'aide d'IAP.