Utiliser IAP pour le transfert TCP

Console

Pour autoriser l'accès RDP et SSH à toutes les instances de VM de votre réseau, procédez comme suit :

1. Ouvrez la page "Règles de pare-feu".

   Ouvrir la page "Règles de pare-feu"

   Les étapes restantes s'affichent dans la console Google Cloud.

2. Sélectionnez un projet Google Cloud.
3. Sur la page "Règles de pare-feu", cliquez sur Créer une règle de pare-feu.
4. Configurez les paramètres suivants :
   • Nom : allow-ingress-from-iap
   • Sens du trafic : entrée
   • Cible : Toutes les instances du réseau
   • Filtre source : IP ranges
   • Plages d'adresses IP sources : 35.235.240.0/20
   • Protocoles et ports : sélectionnez TCP et saisissez 22,3389 pour autoriser à la fois RDP et SSH.
5. Cliquez sur Créer.

gcloud

Pour autoriser l'accès RDP à toutes les instances de VM de votre réseau, exécutez :

gcloud compute firewall-rules create allow-rdp-ingress-from-iap \
  --direction=INGRESS \
  --action=allow \
  --rules=tcp:3389 \
  --source-ranges=35.235.240.0/20

Pour l'accès SSH, exécutez :

gcloud compute firewall-rules create allow-ssh-ingress-from-iap \
  --direction=INGRESS \
  --action=allow \
  --rules=tcp:22 \
  --source-ranges=35.235.240.0/20

Pour les autres protocoles, exécutez :

gcloud compute firewall-rules create allow-ingress-from-iap \
  --direction=INGRESS \
  --action=allow \
  --rules=tcp:PORT \
  --source-ranges=35.235.240.0/20

où PORT est le port utilisé par le protocole.

Console

1. Ouvrez la page IAM et administration dans la console Google Cloud.

   Ouvrir la page IAM et administration

   Les étapes restantes s'affichent dans la console Google Cloud.

2. Sur la page IAM et administration, cliquez sur Ajouter et configurez les paramètres suivants :
   • Nouveaux comptes principaux : spécifiez l'utilisateur ou le groupe auquel vous souhaitez accorder des droits d'accès.
   • Sélectionnez un rôle : sélectionnez Cloud IAP > Utilisateur de tunnels sécurisés par IAP.
3. Vous pouvez également cliquer sur Ajouter une condition et configurer une condition :
   • Titre : saisissez un nom pour la condition.
   • Expression : saisissez une condition qu'un utilisateur doit remplir pour obtenir les autorisations dans le rôle "Utilisateur de tunnels sécurisés par IAP".

   Par exemple, l'expression CEL suivante n'accorde l'accès qu'au port 22 :

   destination.port == 22

   Vous pouvez également accorder l'accès en fonction du niveau d'accès :

   destination.port == 22 &&
   "FULL_ACCESS_LEVEL_NAME" in request.auth.access_levels

   Où FULL_ACCESS_LEVEL_NAME est un niveau d'accès existant utilisant le format suivant :

   accessPolicies/POLICY_NAME/accessLevels/ACCESS_LEVEL_NAME

4. Cliquez sur Ajouter un autre rôle et configurez les éléments suivants :
   • Sélectionnez un rôle : sélectionnez Compute Engine > Administrateur d'instances Compute (v1).
5. Cliquez sur Enregistrer.

gcloud

Attribuez les deux rôles à l'utilisateur en exécutant les commandes suivantes :

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=user:EMAIL \
    --role=roles/iap.tunnelResourceAccessor
gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=user:EMAIL \
    --role=roles/compute.instanceAdmin.v1

Remplacez les éléments suivants :

• PROJECT_ID : ID du projet
• EMAIL : adresse e-mail de l'utilisateur auquel vous souhaitez accorder l'accès, par exemple user@example.com

Console

1. Ouvrez la page d'administration d'IAP et sélectionnez l'onglet Ressources SSH et TCP.

   Ouvrir la page d'administration d'IAP

   Les étapes restantes s'affichent dans la console Google Cloud.

2. Dans l'onglet Ressources SSH et TCP de la page d'administration d'IAP, sélectionnez les instances de VM que vous souhaitez configurer.
3. Cliquez sur Afficher le panneau d'informations si celui-ci n'est pas visible.

4. Cliquez sur Ajouter un compte principal et configurez les éléments suivants :

   • Nouveaux comptes principaux : spécifiez l'utilisateur ou le groupe auquel vous souhaitez accorder des droits d'accès.
   • Sélectionnez un rôle : sélectionnez Cloud IAP > Utilisateur de tunnels sécurisés par IAP.

5. Vous pouvez également cliquer sur Ajouter une condition et configurer une condition :

   • Titre : saisissez un nom pour la condition.
   • Expression : saisissez une condition qu'un utilisateur doit remplir pour obtenir les autorisations dans le rôle "Utilisateur de tunnels sécurisés par IAP".

   Par exemple, l'expression CEL suivante n'accorde l'accès qu'au port 22 :

         destination.port == 22

   Vous pouvez également accorder l'accès en fonction du niveau d'accès :

       destination.port == 22 &&
       "FULL_ACCESS_LEVEL_NAME" in request.auth.access_levels

   Où FULL_ACCESS_LEVEL_NAME est un niveau d'accès existant et utilise le format accessPolicies/POLICY_NAME/accessLevels/ACCESS_LEVEL_NAME.

6. Cliquez sur Enregistrer.

API

Pour modifier le fichier policy.json de votre application, procédez comme suit : Consultez la section Gérer l'accès aux ressources sécurisées par IAP pour plus d'informations sur l'utilisation de l'API IAM pour gérer les stratégies d'accès.

1. Exportez les variables suivantes.

   export IAP_BASE_URL=https://iap.googleapis.com/v1/projects/PROJECT_NUMBER/iap_tunnel
   # Replace POLICY_FILE.JSON with the name of JSON file to use for setIamPolicy
   export JSON_NEW_POLICY=POLICY_FILE.JSON
   

2. Obtenez la stratégie IAM pour l'instance Compute Engine à l'aide de la méthode getIamPolicy. Le bit de données vide à la fin transforme la requête curl en POST plutôt qu'en GET.

   curl -i -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        ${IAP_BASE_URL}/zones/ZONE_NAME/instances/INSTANCE_ID or INSTANCE_NAME:getIamPolicy \
        -d ''

3. Accordez le rôle iap.tunnelResourceAccessor à vos principaux en modifiant le fichier JSON de stratégie IAM.
   

4. Vous pouvez également n'accorder le rôle qu'aux comptes principaux qui répondent à des critères spécifiques, en fonction des conditions IAM et des niveaux d'accès.

   L'exemple suivant présente un fichier policy.json modifié qui accorde le rôle iap.tunnelResourceAccessor à un groupe d'administrateurs d'instances de VM, en leur donnant accès aux ressources de tunnel sécurisées par IAP. Une condition IAM a été ajoutée pour que les ressources ne soient accessibles qu'aux principaux du groupe d'administrateurs d'instances de VM ayant une adresse IP privée de 10.0.0.1 sur le port 22 à l'aide des conditions IAM destination.ip et destination.port. Ils doivent également répondre aux exigences du niveau d'accès ACCESS_LEVEL_NAME.

   Notez que si un principal possède le rôle Propriétaire, il est autorisé à utiliser IAP pour le transfert TCP.

   
   Exemple de fichier policy.json

   {
     "policy": {
       "bindings": [
         {
           "role": "roles/iap.tunnelResourceAccessor",
           "members": ["group:instance-admins@example.com"],
           "condition": {
             "expression": "\"accessPolicies/POLICY_NAME/accessLevels/ACCESS_LEVEL_NAME\" in request.auth.access_levels && destination.ip == \"10.0.0.1\" && destination.port == 22",
             "title": "CONDITION_NAME"
           }
         }
       ]
     }
   }

   Pour trouver un nom de stratégie, appelez accessPolicies.list :

   GET https://accesscontextmanager.googleapis.com/v1/accessPolicies
   

5. Définissez votre nouveau fichier policy.json à l'aide de la méthode setIamPolicy.

   curl -i -H "Content-Type:application/json" \
             -H "Authorization: Bearer $(gcloud auth print-access-token)" \
             ${IAP_BASE_URL}/zones/ZONE_NAME/instances/INSTANCE_ID or INSTANCE_NAME:setIamPolicy \
             -d @${JSON_NEW_POLICY}

Console

Pour vous connecter à votre instance, utilisez le bouton SSH dans la console Google Cloud. La configuration de l'accès de votre instance (définie via des autorisations IAM) doit autoriser la tunnelisation TCP via IAP.

gcloud

Pour vous connecter à votre instance, exécutez la commande gcloud compute ssh. La configuration de l'accès de votre instance (définie via des autorisations IAM) doit autoriser la tunnelisation TCP via IAP.

gcloud compute ssh INSTANCE_NAME

Remplacez INSTANCE_NAME par le nom de l'instance à laquelle se connecter en SSH.

Si l'instance ne possède pas d'adresse IP externe, la connexion utilise automatiquement la tunnelisation TCP IAP. Si elle possède une adresse IP externe, la connexion utilise cette adresse IP externe au lieu de la tunnelisation TCP IAP.

Vous pouvez utiliser l'option --tunnel-through-iap pour que gcloud compute ssh utilise toujours la tunnellisation TCP d'IAP.

Utilisez l'option --internal-ip pour que gcloud compute ssh n'utilise jamais la tunnelisation TCP d'IAP et se connecte directement à l'adresse IP interne de la VM. Cela est utile pour les clients connectés au même réseau VPC que la VM cible.

IAP Desktop

Vous pouvez utiliser IAP Desktop pour vous connecter à une instance de VM en utilisant SSH et le transfert TCP d'IAP.

1. Dans l'application, sélectionnez Fichier > Ajouter un projet Google Cloud.

2. Saisissez l'ID ou le nom de votre projet, puis cliquez sur OK.

3. Dans la fenêtre Explorateur de projets, effectuez un clic droit sur l'instance de VM à laquelle vous souhaitez vous connecter et sélectionnez Connexion.

Pour en savoir plus sur IAP Desktop, consultez la page du projet GitHub.

Application PuTTY

Vous pouvez configurer l'application d'émulateur de terminal Windows PuTTY de sorte qu'elle utilise le transfert TCP d'IAP pour se connecter à une instance de VM. La configuration de l'accès de votre instance (définie via des autorisations IAM) doit autoriser la tunnelisation TCP via IAP.

Avant de configurer l'application PuTTY, exécutez une fois la commande gcloud compute ssh pour vous assurer que vous disposez d'une clé SSH privée sur votre ordinateur local et que votre clé SSH publique est publiée dans Compute Engine:

1. Ouvrez une invite de commande et exécutez la commande suivante pour vous connecter à l'instance de VM :

   gcloud compute ssh INSTANCE_NAME `
     --tunnel-through-iap `
     --project PROJECT_ID `
     --zone ZONE

   Remplacez les éléments suivants :

   • INSTANCE_NAME : nom de l'instance à laquelle se connecter.
   • PROJECT_ID : ID du projet dans lequel se trouve l'instance de VM.
   • ZONE : zone où se trouve l'instance de VM.

   Si nécessaire, confirmez que vous souhaitez générer des clés SSH en appuyant sur Y.

2. Sur la VM, déterminez votre nom d'utilisateur en exécutant la commande suivante :

   whoami

   Vous aurez besoin de ce nom d'utilisateur ultérieurement.

Vous pouvez maintenant configurer l'application PuTTY pour utiliser le transfert TCP d'IAP:

1. Ouvrez l'application PuTTY et sélectionnez la catégorie Connection > Proxy (Connexion > Proxy).

2. Configurez les paramètres de proxy suivants :

   • Pour Proxy type (Type de proxy), sélectionnez Local.

   • Dans le champ Telnet command, or local proxy command (Commande Telnet ou commande proxy locale), saisissez les informations suivantes :

     gcloud.cmd compute start-iap-tunnel %host %port --listen-on-stdin --project PROJECT_ID --zone ZONE

     Remplacez les éléments suivants :

     • PROJECT_ID : ID du projet dans lequel se trouve l'instance de VM.
     • ZONE : zone où se trouve l'instance de VM.

   • Pour Print proxy diagnostics in the terminal window (Imprimer les diagnostics de proxy dans la fenêtre du terminal), sélectionnez Only until session starts (Seulement jusqu'au démarrage de la session).

3. Sélectionnez la catégorie Connection > SSH > Auth (Connexion > SSH > Authentification).

4. Cliquez sur Browse (Parcourir) et collez le nom de fichier suivant, puis cliquez sur Open (Ouvrir) :

   %USERPROFILE%\.ssh\google_compute_engine.ppk

5. Sélectionnez la catégorie Session.

6. Configurez les paramètres de proxy suivants :

   • Dans le champ Hostname (or IP address) (Nom d'hôte (ou adresse IP)), saisissez les informations suivantes :

     USERNAME@INSTANCE_NAME

     Remplacez les éléments suivants :

     • USERNAME : nom d'utilisateur Linux que vous avez déterminé précédemment.
     • INSTANCE_NAME : nom de l'instance de VM à laquelle vous souhaitez vous connecter.

   • Saved sessions (Sessions enregistrées) : saisissez un nom pour la session.

7. Cliquez sur Enregistrer.

8. Cliquez sur Open (Ouvrir) pour démarrer la session SSH.

ssh

Vous pouvez utiliser directement la commande ssh avec une option ProxyCommand qui utilise gcloud pour démarrer le tunnel. Utilisez-le pour générer la commande ssh complète:

gcloud compute ssh INSTANCE_NAME --dry-run

IAP Desktop

Vous pouvez utiliser IAP Desktop pour vous connecter au Bureau à distance d'une ou plusieurs instances de VM à l'aide du transfert TCP d'IAP.

1. Dans l'application, sélectionnez Fichier > Ajouter un projet Google Cloud.

2. Saisissez l'ID ou le nom de votre projet, puis cliquez sur OK.

3. Dans la fenêtre Explorateur de projets, effectuez un clic droit sur l'instance de VM à laquelle vous souhaitez vous connecter et sélectionnez Connexion.

Pour en savoir plus sur IAP Desktop, consultez la page du projet GitHub.

gcloud

Pour vous connecter au Bureau à distance d'une instance de VM, vous créez d'abord un tunnel.

1. À l'aide de la commande gcloud compute start-iap-tunnel, créez un tunnel chiffré vers le port RDP de l'instance de VM.

   gcloud compute start-iap-tunnel INSTANCE_NAME 3389 \
       --local-host-port=localhost:LOCAL_PORT \
       --zone=ZONE

   Remplacez INSTANCE_NAME par le nom de l'instance de VM à laquelle vous souhaitez vous connecter. Remplacez LOCAL_PORT par le port localhost où vous souhaitez lier le proxy, ou utilisez 0 pour qu'un port non utilisé soit automatiquement sélectionné. Remplacez ZONE par la zone où se trouve l'instance de VM.

2. gcloud effectue un test de connectivité avec l'instance de VM, puis ouvre un tunnel et affiche un numéro de port.

   Listening on port [LOCAL_PORT].

   Tout le trafic envoyé à localhost:LOCAL_PORT est transféré à l'instance de VM. Le port n'est accessible que par les applications exécutées sur votre ordinateur local.

3. Laissez gcloud en cours d'exécution et ouvrez l'application Microsoft Windows Remote Desktop Connection.

4. Saisissez le point de terminaison du tunnel comme nom d'ordinateur :

   localhost:LOCAL_PORT

   Remplacez LOCAL_PORT par le numéro de port affiché lorsque le tunnel a été ouvert par gcloud.

5. Cliquez sur Connecter.

gcloud

Créez un tunnel chiffré vers un port de l'instance de VM :

gcloud compute start-iap-tunnel INSTANCE_NAME INSTANCE_PORT \
    --local-host-port=localhost:LOCAL_PORT \
    --zone=ZONE

Remplacez INSTANCE_NAME et INSTANCE_PORT par le nom et le port de l'instance de VM à laquelle vous souhaitez vous connecter. Remplacez LOCAL_PORT par le port localhost où vous souhaitez lier le proxy. Remplacez ZONE par la zone où se trouve l'instance de VM.

gcloud effectue un test de connectivité avec l'instance de VM, puis ouvre un tunnel et affiche un numéro de port.

Listening on port [LOCAL_PORT].

Tout le trafic envoyé à localhost:LOCAL_PORT est transféré à l'instance de VM. Le port n'est accessible que par les applications exécutées sur votre ordinateur local.

Linux

Pour installer NumPy à l'aide de pip sur les plates-formes Unix, exécutez la commande suivante dans une nouvelle instance de terminal:

$(gcloud info --format="value(basic.python_location)") -m pip install numpy

Si le message d'erreur persiste après l'installation de NumPy, procédez comme suit : exécutez la commande suivante pour autoriser gcloud à accéder aux packages externes:

export CLOUDSDK_PYTHON_SITEPACKAGES=1

Windows

Pour installer NumPy à l'aide de pip sur les plates-formes Windows, exécutez la commande suivante dans une nouvelle instance PowerShell:

start (gcloud info --format="value(basic.python_location)") "-m pip install numpy"

Si le message persiste après l'installation de NumPy, une autre étape est nécessaire. Exécutez la commande suivante pour autoriser gcloud à accéder aux packages externes:

$env:CLOUDSDK_PYTHON_SITEPACKAGES="1"