本页面介绍了如何通过部署 IAP 连接器，使用 Identity-Aware Proxy (IAP) 保护 Google Cloud 之外基于 HTTP 或 HTTPS 的本地应用。
准备工作
在开始之前，您需要做好以下准备：
基于 HTTP 或 HTTPS 的本地应用。
在您的 Google Cloud 项目中被授予所有者角色的 Cloud Identity 成员。
被授予 Owner 角色的 Google APIs 服务代理。
启用了结算功能的 Google Cloud 项目。
用作Google Cloud流量入站点的外部网址。例如
hr.example.com。DNS 主机名的 SSL 或 TLS 证书，用作到 Google Cloud的流量的入口点。您可以使用现有的自行管理证书或由 Google 管理的证书。如果您没有证书，请使用 Let's Encrypt 创建一个。
如果启用了 VPC Service Controls，则 VPC 网络具有针对虚拟机服务账号对项目
278958399328中的gce-mesh存储桶执行cp操作的出站流量政策。该政策会向 VPC 网络授予从 gce-mesh 存储桶检索 Envoy 二进制文件的权限。如果未启用 VPC Service Controls，则默认授予权限。通过完成以下步骤停用外部 IP：
在用于 IAP 连接器的 VPC 子网上启用专用 Google 访问通道。如需了解详情，请参阅专用 Google 访问通道。
验证 VPC 网络的防火墙配置是否允许虚拟机访问 Google API 和服务的 IP 地址。默认情况下，系统会授予此访问权限，但用户可以明确更改此设置。如需了解如何查找 IP 范围，请参阅默认网域的 IP 地址。
为本地应用部署连接器
前往 IAP 页面。
如需开始为本地应用设置连接器部署，请点击连接新应用，然后选择通过本地连接器连接。
为确保已启用所需的 API，请点击右侧面板中的启用 API 并继续。
选择配置详细信息，然后点击下一步：
选择部署应使用由 Google 管理的证书还是由您管理的证书。
选择部署的网络和子网（或选择创建新网络和子网）。
填写要添加的本地应用的以下详细信息：
输入传入 Google Cloud的请求的外部网址。此网址是流量进入环境的位置。
输入应用的名称，该名称也将用作负载均衡器后的新后端服务的名称。
选择区域。
提供本地端点类型及其详细信息：
完全限定域名 (FQDN)：连接器应将流量转发到的网域。
IP 地址：应部署 IAP 连接器的一个或多个可用区（例如
us-central1-a）。对于每个可用区，请指定本地应用的内部目标的 IPv4 地址，在用户获得授权并通过身份验证后，IAP 会将流量路由到该地址。
选择本地端点使用的协议。
输入本地端点使用的端口号，例如 HTTPS 的 443 或 HTTP 的 80。
如需保存该应用的详细信息，请点击完成。您还可以为部署定义其他本地应用。
如需开始部署您定义的应用，请点击提交。
部署完成后，您的本地连接器应用会显示在应用表中，您可以启用 IAP。
如果您选择让 Google 自动生成和管理证书，供应证书可能需要几分钟时间。您可以在 Cloud Load Balancing 详细信息页面上查看状态。如需详细了解这些状态，请参阅“问题排查”页面。
管理本地应用的连接器
如需向部署添加更多应用，请点击连接新应用，然后点击通过本地连接器连接。
如需通过删除整个部署来删除本地连接器，请执行以下操作：
转到 Deployment Manager 页面。
在部署列表中，选中
on-prem-app-deployment部署旁边的复选框。点击页面顶部的删除。
如需删除单个应用，请点击应用标签页中的删除按钮。本地连接器必须至少包含一个应用。如需移除所有应用，请删除整个部署。
后续步骤
- 通过应用访问权限级别设置更丰富的情境规则。
- 请参阅 Cloud Audit Logs 中的情境感知访问权限日志。
- 详细了解 IAP。