本頁面說明如何透過部署 IAP 連接器，使用 Identity-Aware Proxy (IAP) 保護 Google Cloud 以外、以 HTTP 或 HTTPS 為基礎的地端部署應用程式。
事前準備
開始前，請備妥下列項目：
以 HTTP 或 HTTPS 為基礎的地端部署應用程式。
Cloud Identity 成員獲派 Google Cloud 專案的擁有者角色。
Google API 服務代理，已授予擁有者角色。
Google Cloud 專案，且已啟用計費功能。
外部網址，用於做為傳送至Google Cloud的流量輸入點。例如：
hr.example.com。DNS 主機名稱的安全資料傳輸層 (SSL) 或傳輸層安全標準 (TLS) 憑證，用於做為 Google Cloud流量的輸入點。您可以使用現有的自行管理或 Google 代管憑證。如果沒有憑證，請使用 Let's Encrypt 建立。
如果啟用 VPC Service Controls，則虛擬私有雲網路會針對 VM 服務帳戶，對專案
278958399328中gce-meshbucket 的cp動作套用輸出政策。這項政策會授予虛擬私有雲網路權限，允許從 gce-mesh bucket 擷取 Envoy 二進位檔案。如果未啟用 VPC Service Controls，系統預設會授予這項權限。如要停用外部 IP，請完成下列步驟：
在用於 IAP 連接器的虛擬私有雲子網路上啟用私人 Google 存取權。詳情請參閱「Private Google Access」。
確認虛擬私有雲網路的防火牆設定允許 VM 存取 Google API 和服務的 IP 位址。根據預設，系統會授予這項存取權，但使用者可以明確變更。如要瞭解如何找出 IP 範圍，請參閱「預設網域的 IP 位址」。
部署地端部署應用程式連接器
前往 IAP 頁面。
如要開始設定地端部署應用程式的連接器部署作業，請按一下「Connect new application」(連結新應用程式)，然後選取「Connect via on-prem connector」(透過地端部署連接器連結)。
為確保已啟用必要的 API，請按一下右側面板中的「Enable APIs and continue」(啟用 API 並繼續)。
選取設定詳細資料，然後點選「下一步」：
選擇部署作業應使用 Google 代管的憑證，還是由您管理的憑證。
選取部署作業的網路和子網路 (或選擇建立新的網路和子網路)。
為要新增的地端部署應用程式填寫下列詳細資料：
輸入傳送至 Google Cloud的要求外部網址。流量會透過這個網址進入環境。
輸入應用程式名稱，這也會是負載平衡器後方新後端服務的名稱。
選取地區。
提供地端部署端點類型和詳細資料：
完整網域名稱 (FQDN)：連接器應轉送流量的網域。
IP 位址：應部署 IAP 連接器的一或多個可用區 (例如
us-central1-a)。針對每個可用區，指定地端部署應用程式內部目的地的 IPv4 位址，以便 IAP 在使用者獲得授權並通過驗證後，將流量轉送至該應用程式。
選取地端部署端點使用的通訊協定。
輸入地端部署端點使用的通訊埠編號，例如 HTTPS 為 443，HTTP 為 80。
如要儲存該應用程式的詳細資料，請按一下「完成」。您也可以為部署作業定義其他地端部署應用程式。
如要開始部署您定義的應用程式，請按一下「Submit」(提交)。
部署完成後，地端部署連接器應用程式會顯示在「Applications」(應用程式) 表格中，您也可以啟用 IAP。
如果選擇讓 Google 自動生成及管理憑證，可能需要幾分鐘才能佈建憑證。您可以在 Cloud Load Balancing 詳細資料頁面查看狀態。如要進一步瞭解狀態，請參閱疑難排解頁面。
管理地端部署應用程式的連接器
如要將更多應用程式新增至部署作業，請依序點選「Connect new application」(連結新應用程式) 和「Connect via on-prem connector」(透過地端部署連接器連結)。
如要刪除整個部署作業，進而刪除地端部署連接器，請按照下列步驟操作：
前往「Deployment Manager」頁面。
在部署作業清單中，勾選
on-prem-app-deployment部署作業旁的核取方塊。按一下頁面頂端的 [Delete] (刪除)。
如要刪除個別應用程式，請按一下「Applications」分頁中的刪除按鈕。地端部署連接器必須至少包含一個應用程式。如要移除所有應用程式，請刪除整個部署作業。
後續步驟
- 套用存取層級，設定更精細的情境規則。
- 請參閱「Cloud 稽核記錄中的情境感知存取權記錄」。
- 進一步瞭解 IAP。