Protezione delle applicazioni non Google Cloud utilizzando il connettore on-prem

Questa guida spiega come proteggere un'app on-premise basata su HTTP o HTTPS esterna a Google Cloud con Identity-Aware Proxy (IAP) eseguendo il deployment di un connettore IAP.

Prima di iniziare

Prima di iniziare, devi disporre di quanto segue:

  • Un'app on-premise basata su HTTP o HTTPS.
  • Un membro di Cloud Identity a cui è stato concesso il ruolo di Proprietario nel tuo progetto Google Cloud .
  • È stato concesso l'agente di servizio API di Google con il ruolo di proprietario.
  • Un progetto Google Cloud con la fatturazione abilitata.
  • L'URL esterno da utilizzare come punto di ingresso per il traffico verso Google Cloud. Ad esempio, www.hr-domain.com.
  • Un certificato SSL o TLS per il nome host DNS utilizzato come punto di ingresso per il traffico verso Google Cloud. Può essere utilizzato un certificato autogestito o gestito da Google esistente. Se non hai un certificato, creane uno utilizzando Let's Encrypt.
  • Se i Controlli di servizio VPC sono abilitati, una rete VPC con una policy di uscita sull'azione cp per il account di servizio VM nel bucket gce-mesh, che si trova nel progetto 278958399328. Questo ruolo concede alla rete VPC l'autorizzazione per recuperare il file binario Envoy dal bucket gce-mesh. L'autorizzazione viene concessa per impostazione predefinita se i Controlli di servizio VPC non sono abilitati.

  • Disattiva un IP esterno completando i seguenti passaggi:

    1. Abilita l'accesso privato Google nella subnet VPC utilizzata per il connettore IAP selezionando la casella nella configurazione. Per ulteriori informazioni, vedi Accesso privato Google.
    2. Assicurati che la configurazione firewall della rete VPC consenta l'accesso dalle VM agli indirizzi IP utilizzati dalle API e dai servizi Google. Questa operazione è consentita implicitamente per impostazione predefinita, ma può essere modificata esplicitamente dagli utenti. Per informazioni su come trovare l'intervallo IP, consulta Indirizzi IP per i domini predefiniti.

Esegui il deployment di un connettore per un'app on-premise

  1. Vai alla pagina di amministrazione IAP.

    Vai alla pagina di amministrazione di IAP

  2. Inizia a configurare il deployment del connettore per un'app on-premise facendo clic su Configurazione dei connettori on-premise.

  3. Assicurati che le API richieste siano caricate facendo clic su Abilita API.

  4. Scegli se il deployment deve utilizzare un certificato gestito da Google o uno gestito da te, seleziona la rete e la subnet per il deployment (o scegli di crearne una nuova), quindi fai clic su Avanti.

  5. Inserisci i dettagli di un'app on-premise che vuoi aggiungere:

    • L'URL esterno delle richieste in arrivo a Google Cloud. Questo URL è il punto di ingresso del traffico nell'ambiente.
    • Un nome per l'app. Verrà utilizzato anche come nome per un nuovo servizio di backend dietro il bilanciamento del carico.

    • Il tipo di endpoint on-prem e i relativi dettagli:

      • Nome di dominio completo (FQDN): il dominio a cui il connettore deve inoltrare il traffico.
      • Indirizzo IP: una o più zone in cui deve essere deployato il connettore IAP (ad esempio, us-central1-a) e, per ciascuna, l'indirizzo IPv4 della destinazione interna per l'app on-premise a cui IAP indirizza il traffico dopo che un utente è stato autorizzato e autenticato.

    • Il protocollo utilizzato dall'endpoint on-premise.

    • Il numero di porta utilizzato dall'endpoint on-premise, ad esempio 443 per HTTPS o 80 per HTTP.

  6. Fai clic su Fine per salvare i dettagli dell'app. Se vuoi, puoi definire altre app on-premise per l'implementazione.

  7. Quando è tutto pronto, fai clic su Invia per iniziare il deployment delle app che hai definito.

Una volta completato il deployment, le app connettore on-prem vengono visualizzate nella tabella Risorse HTTP e IAP può essere abilitato.

Se scegli di consentire a Google di generare e gestire automaticamente i certificati, il provisioning potrebbe richiedere alcuni minuti. Puoi controllare lo stato nella pagina dei dettagli di Cloud Load Balancing. Per saperne di più sullo stato, consulta la pagina di risoluzione dei problemi.

Gestire un connettore per un'app on-premise

  • Puoi aggiungere altre app al deployment in qualsiasi momento facendo clic su Configurazione dei connettori on-premise.

  • Puoi eliminare il connettore on-premise eliminando l'intero deployment:

    1. Vai alla pagina Deployment Manager.

      Vai alla pagina Deployment Manager

    2. Nell'elenco dei deployment, seleziona la casella di controllo accanto al deployment "on-prem-app-deployment".

    3. Nella parte superiore della pagina, fai clic su Elimina.

  • Puoi eliminare singole app facendo clic sul pulsante di eliminazione nella configurazione dei connettori on-premise. Il connettore on-premise deve contenere almeno un'app. Per rimuovere tutte le app, elimina l'intero deployment.

Passaggi successivi