証明書ベースのアクセスを設定する
mTLS を使用してコンテキストアウェア アクセス（証明書ベースのアクセス（CBA）とも呼ばれます）を設定するには、新しい CBA アクセスレベルを作成し、CBA アクセスレベルを適用し、クライアント アプリケーションで CBA を有効にする必要があります。
始める前に
Google Cloud リソースへのアクセスが必要なすべてのデバイスに、Endpoint Verification Google Chrome 拡張機能と Endpoint Verification ヘルパーアプリがデプロイされていることを確認します。これらは、アクセス権を付与できる信頼できるデバイスになります。
ワークロードまたはウェブ アプリケーションの CBA には、Endpoint Verification は必要ありません。
Endpoint Verification をデプロイする必要がある場合は、証明書ベースのアクセスで使用する Endpoint Verification をデプロイするをご覧ください。
CBA を設定する
CBA を設定するには、次の操作を行います。
リソースへのアクセスを決定するときに証明書を必要とする新しい CBA アクセスレベルを作成します。
次のいずれかの方法で、リソースに CBA アクセスレベルを適用します。
CBA アクセスレベルで VPC Service Controls 境界を作成し、境界にサービスを追加して、VPC Service Controls でサポートされている Google Cloudサービスへのアクセスを制限します。詳細な手順については、VPC Service Controls で証明書ベースのアクセスを有効にするをご覧ください。
アクセスを制限するユーザー グループに CBA アクセスレベルをバインドすることにより、Google Cloud コンソールを含むすべての Google Cloud サービスへのアクセスを制限します。詳細な手順については、ユーザー グループを使用した証明書ベースのアクセスを有効にするをご覧ください。
VM へのアクセスを制限します。詳細な手順については、VM の証明書ベースのアクセスを有効にするをご覧ください。
ウェブ アプリケーションへのアクセスを制限します。詳細な手順については、ウェブ アプリケーションに対する証明書ベースのアクセスを有効にするをご覧ください。
ワークロードからすべての Google Cloud サービスへのアクセスを制限します。詳細な手順については、Workload Identity 連携の証明書ベースのアクセスを構成するをご覧ください。
CBA を適用すると、コンテキストアウェア アクセスはクライアント証明書のないリソースへのアクセスを拒否します。信頼できるデバイスへのアクセス権を付与するには、CBA 互換クライアントで CBA を有効にして、クライアントが mTLS 接続を介して Google API に証明書を送信するようにします。手順については、クライアント アプリケーションで証明書ベースのアクセスを有効にするをご覧ください。
次のステップ
- 証明書ベースのアクセスによるリソースの保護について学習する。