Sicherer Zugriff auf private Webanwendungen

In diesem Dokument wird beschrieben, wie Sie ein sicheres Chrome Enterprise Premium-Gateway einrichten, um den Zugriff auf Ihre privaten Webanwendungen zu schützen.

Ein sicheres Gateway von Chrome Enterprise Premium fungiert als Forward-Proxy, erzwingt ein Zero-Trust-Zugriffsframework und bietet eine detaillierte, kontextsensitive Kontrolle darüber, wer auf Ihre privaten Webanwendungen zugreift.

So funktioniert der sichere Zugriff auf private Webanwendungen

Durch das Einrichten eines sicheren Tunnels und das Erzwingen von Richtlinien für kontextsensitiven Zugriff bleiben private Anwendungen privat und sind vor dem öffentlichen Internet geschützt. Eine clientseitige Browserkonfiguration leitet den Traffic für diese Anwendungen über den Proxy-Endpunkt des sicheren Gateways weiter. Das sichere Gateway wendet dann die entsprechende Zugriffsrichtlinie an und leitet die Anfrage, sofern zulässig, an die Zielanwendung weiter.

Das sichere Gateway kann private Webanwendungen schützen, die in den folgenden Umgebungen gehostet werden:

  • Google Cloud -Projekt: Das sichere Gateway kann direkt auf Anwendungen zugreifen, die in Ihrem Google Cloud VPC-Netzwerk ausgeführt werden.

  • Nicht-Google Cloud (lokale Rechenzentren oder andere Clouds): Sie müssen zuerst eine Verbindung zwischen Ihrem privaten VPC-Netzwerk inGoogle Cloud und dem Nicht-Google Cloud -Netzwerk herstellen. Dies geschieht in der Regel über Cloud VPN oder Cloud Interconnect. Das sichere Gateway verwendet dann die Verbindung, um den Traffic an Ihr privates VPC-Netzwerk zu senden, das ihn wiederum an die Nicht-Google Cloud -Umgebung weiterleitet.

Erforderliche Rollen

Bitten Sie Ihren Administrator, die folgenden Rollen zuzuweisen:

Weitere Informationen zu IAM-Rollen (Identity and Access Management)

Erforderliche Chrome Enterprise-Richtlinien

Für die Proxy-Authentifizierung des sicheren Gateways ist das HTTP-Authentifizierungsschema Basic erforderlich. Wenn Sie Chrome Enterprise-Authentifizierungsrichtlinien für Ihre Organisation konfigurieren, prüfen Sie die folgenden Richtlinieneinstellungen:

  • AuthSchemes muss die basic-Authentifizierung enthalten (standardmäßig aktiviert, wenn die Richtlinie nicht festgelegt ist). Andere Werte in dieser Richtlinie haben keinen Einfluss auf die Proxy-Authentifizierung für das sichere Gateway.

  • BasicAuthOverHttpEnabled muss auf 0 (false oder deaktiviert) gesetzt sein, um die Verwendung des Authentifizierungsschemas Basic für nicht sichere HTTP-Verbindungen zu verhindern.

Hinweis

Bevor Sie das sichere Gateway einrichten, müssen die folgenden Voraussetzungen erfüllt sein:

Shell-Umgebung einrichten

Um die Einrichtung zu vereinfachen und mit den APIs der sicheren Gateways zu interagieren, definieren Sie die folgenden Umgebungsvariablen in Ihrer Arbeits-Shell.

  • Allgemeine Parameter 
    PROJECT_ID=PROJECT_ID

    Ersetzen Sie Folgendes:

    • PROJECT_ID: Die ID des Projekts, in dem das sichere Gateway erstellt wird.
  • Parameter für das sichere Gateway 
    SECURITY_GATEWAY_ID=SECURITY_GATEWAY_ID
SECURITY_GATEWAY_DISPLAY_NAME="SECURITY_GATEWAY_DISPLAY_NAME"

    Ersetzen Sie Folgendes:

    • SECURITY_GATEWAY_ID: Die ID des sicheren Gateways, das Sie erstellen möchten. Die ID darf maximal 63 Zeichen lang sein und kann Kleinbuchstaben, Ziffern und Bindestriche enthalten. Das erste Zeichen muss ein Buchstabe sein und das letzte Zeichen kann ein Buchstabe oder eine Ziffer sein.
    • SECURITY_GATEWAY_DISPLAY_NAME: Der menschenlesbare Name des sicheren Gateways. Der Name kann bis zu 63 Zeichen lang sein und druckbare Zeichen enthalten.

Sicheres Gateway erstellen

Ein sicheres Gateway von Chrome Enterprise Premium ist ein grundlegender Baustein für die Einrichtung sicherer Verbindungen zu Ihren Anwendungen.

Console

So erstellen Sie ein sicheres Gateway:

  1. Rufen Sie in der Google Cloud Console die Seite Sicheres Gateway auf.
    Zum sicheren Gateway
  2. Wählen Sie das Projekt aus, für das Sie das sichere Gateway erstellen möchten.
  3. Klicken Sie auf Neues Gateway erstellen, um ein sicheres Gateway zu erstellen, und warten Sie, bis der Vorgang abgeschlossen ist. Sie können den Fortschritt im Bereich Benachrichtigungen der Google Cloud Console verfolgen.

gcloud

Führen Sie den folgenden Befehl aus, um ein sicheres Gateway mit gcloud zu erstellen:

gcloud beyondcorp security-gateways create SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --display-name="SECURITY_GATEWAY_DISPLAY_NAME" \
    --service-discovery={}

REST

Führen Sie den folgenden Befehl aus, um ein sicheres Gateway mit der REST API zu erstellen:

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -X POST \
    -d '{ "display_name": "SECURITY_GATEWAY_DISPLAY_NAME", "service_discovery": {} }' \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways?security_gateway_id=SECURITY_GATEWAY_ID"

Private Webanwendung konfigurieren

Bevor Sie bestimmte Anwendungsressourcen im sicheren Gateway definieren können, müssen Sie die erforderlichen Berechtigungen und Einstellungen für Werbenetzwerke konfigurieren, um die Verbindung und das richtige Routing zu ermöglichen.

Gewähren Sie dem Dienstkonto Berechtigungen

Damit Traffic erfolgreich an Ihr VPC-Netzwerk gesendet werden kann, benötigt das sichere Gateway bestimmte IAM-Berechtigungen, die seinem delegierenden Dienstkonto gewährt werden. Dadurch kann das sichere Gateway Ihre privaten Anwendungen erreichen, unabhängig davon, ob sie in einer Google Cloud -VPC oder in einer Nicht-Google Cloud -Umgebung gehostet werden, die über Cloud VPN oder Cloud Interconnect verbunden ist.

So gewähren Sie dem Dienstkonto Berechtigungen:

  1. Rufen Sie die Details Ihres sicheren Gateways ab, um die E-Mail-Adresse des delegierenden Dienstkontos zu ermitteln. Die E-Mail-Adresse befindet sich im Feld delegatingServiceAccount der Antwort.

    gcloud

    gcloud beyondcorp security-gateways describe SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global

    REST

    curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID"
  2. Legen Sie Umgebungsvariablen für das Dienstkonto und Ihr Ziel-VPC-Projekt fest. Mit dem folgenden Befehl können Sie die E-Mail-Adresse des Dienstkontos abrufen: 
    DELEGATING_SERVICE_ACCOUNT=`gcloud beyondcorp security-gateways describe SECURITY_GATEWAY_ID --project=PROJECT_ID --location=global --format="value(delegatingServiceAccount)"`
  3. Weisen Sie dem delegierenden Dienstkonto in Ihrem privaten VPC-Projekt die IAM-Rolle roles/beyondcorp.upstreamAccess zu. 
    gcloud projects add-iam-policy-binding PRIVATE_VPC_PROJECT_ID \
    --role=roles/beyondcorp.upstreamAccess \
    --member=serviceAccount:DELEGATING_SERVICE_ACCOUNT
    Ersetzen Sie PRIVATE_VPC_PROJECT_ID durch die Projekt-ID des VPC-Netzwerk, in dem die private Web-App bereitgestellt wird oder in dem Cloud VPN/Interconnect konfiguriert ist.

Es dauert etwa zwei Minuten, bis Identity and Access Management-Richtlinie nach dem Zuweisen der Rolle wirksam wird.

Netzwerkrouting und Firewallregeln konfigurieren

Konfigurieren Sie Firewallregeln, Netzwerkrouting und DNS-Einstellungen, damit Traffic vom sicheren Gateway Ihre privaten Webanwendungen erreichen kann.

Firewallregeln für Anwendungen in Google Cloud

Wenn Ihre private Webanwendung in Ihrem Google Cloud VPC-Netzwerk gehostet wird, z. B. auf einer Compute Engine-VM, einem Google Kubernetes Engine-Dienst mit einer internen IP-Adresse oder hinter einem internen TCP/UDP-Load-Balancer, konfigurieren SieGoogle Cloud VPC-Firewallregeln. Dadurch wird eingehender TCP-Traffic aus dem IP-Bereich des sicheren Gateways zugelassen: 136.124.16.0/20.

gcloud

Führen Sie den folgenden Befehl aus, um eine Firewallregel mit gcloud zu erstellen:

gcloud compute firewall-rules create FIREWALL_RULE_NAME \
   --project=PRIVATE_VPC_PROJECT_ID \
   --network=NETWORK_NAME \
   --allow=tcp \
   --source-ranges=136.124.16.0/20

Ersetzen Sie Folgendes:

  • FIREWALL_RULE_NAME: Ein Name für die Firewallregel.
  • PRIVATE_VPC_PROJECT_ID: Die ID des Projekts, in dem Ihr VPC-Netzwerk gehostet wird.
  • NETWORK_NAME: Der Name des VPC-Netzwerk, in dem Ihre Anwendung gehostet wird.

Firewallregeln für Anwendungen in Nicht-Google Cloud -Umgebungen

Wenn sich Ihre private Webanwendung in einem lokalen Rechenzentrum oder im Netzwerk eines anderen Cloud-Anbieters befindet und über Cloud VPN oder Cloud Interconnect mit Ihrer Google Cloud-VPC verbunden ist, konfigurieren Sie Firewallregeln in Ihrer lokalen Firewall oder die entsprechenden Netzwerksicherheitskontrollen, z. B. Sicherheitsgruppen und Netzwerk-ACLs, in der anderen Cloud-Umgebung. Dadurch wird eingehender TCP-Traffic aus dem IP-Bereich des sicheren Gateways zugelassen: 136.124.16.0/20.

Routing von Nicht-Google Cloud -Umgebungen zu einem sicheren Gateway konfigurieren

Um die bidirektionale Kommunikation für private Anwendungen zu ermöglichen, die in Nicht-Google Cloud -Umgebungen gehostet werden, z. B. lokal oder in anderen Clouds, muss Ihr externes Netzwerk einen Rückgabepfad zum folgenden IP-Bereich des sicheren Gateways erstellen: 136.124.16.0/20.

Prüfen Sie, ob Ihr privates Netzwerk die IP-Bereiche des sicheren Gateways über Ihr Cloud VPN oder Cloud Interconnect erreichen kann:

  • Dynamisches Routing: Wenn Sie dynamisches Routing wie das Border Gateway Protocol (BGP) mit Cloud Router verwenden, legen Sie den dynamischen Routingmodus Ihres VPC-Netzwerks auf Global fest, damit über BGP ermittelte Routen an alle Regionen im VPC-Netzwerk weitergegeben werden. Da ein sicheres Gateway ein globaler Dienst ist, sorgt das globale dynamische Routing dafür, dass Traffic aus jeder Region Ihre private Anwendung erreichen kann.

    Prüfen Sie auch, ob Ihr Cloud Router in Google Cloud die IP-Bereiche des sicheren Gateways explizit an Ihr lokales BGP-Gerät sendet. Obwohl BGP viele Routen dynamisch austauscht, müssen die IP-Bereiche des sicheren Gateways explizit beworben werden.

    gcloud

    Führen Sie den folgenden Befehl aus, um zu prüfen, ob der Quellbereich beworben wird:

    gcloud compute routers list-bgp-routes ROUTER_NAME \
--peer=PEER_NAME \
--region=REGION \
--project=PROJECT_ID \
--route-direction=OUTBOUND \
--address-family=IPV4 \
--destination-range=136.124.16.0/20

    Ersetzen Sie Folgendes:

    • ROUTER_NAME: Der Name Ihres Cloud Router.
    • PEER_NAME: Der Name Ihres BGP-Peers
    • REGION: die Region, in der sich der Router befindet
    • PROJECT_ID: die ID des Projekts, das den Router enthält

  • Statisches Routing: Wenn Sie statische Routen verwenden, müssen Sie manuell Routen für jeden der IP-Bereiche des sicheren Gateways auf Ihren lokalen Netzwerkgeräten wie Ihrem Router oder Ihrer Firewall hinzufügen. In diesen statischen Routen muss angegeben werden, dass Traffic, der für die IP-Bereiche des sicheren Gateways bestimmt ist, über die Cloud VPN- oder Cloud Interconnect-Verbindung gesendet werden muss.

    Wenn Sie Cloud VPN mit statischen Routen anstelle von dynamischem Routing (BGP) konfigurieren, sind diese Routen nur in der Region verfügbar, in der der VPN-Tunnel eingerichtet ist. Da ein sicheres Gateway ein globaler Dienst ist, erreicht eingehender Traffic aus einer anderen Region Ihre private Anwendung nicht, da statische Routen nicht global über Regionen hinweg beworben werden. Führen Sie einen der folgenden Schritte aus, um regionenübergreifende Routingfehler bei der Verwendung statischer Routen zu vermeiden:

    • Zu dynamischem Routing (BGP) wechseln: Setzen Sie den dynamischen Routingmodus Ihres VPC-Netzwerk auf Global, damit über BGP gelernte Routen in allen Regionen des VPC-Netzwerk verfügbar sind.

    • Richtlinie für ausgehenden Traffic konfigurieren: Wenn Sie die Anwendungsressource erstellen, konfigurieren Sie eine Richtlinie für ausgehenden Traffic im Upstream-Netzwerk, um Traffic vom sicheren Gateway in der spezifischen Region ausgehen zu lassen, in der Ihre Cloud VPN- oder Cloud Interconnect-Verbindung hergestellt wird.

    Wenn Sie statisches Routing verwenden, muss sich Cloud VPN in einer der folgenden unterstützten Regionen befinden:

    • africa-south1
    • asia-east1
    • asia-east2
    • asia-northeast1
    • asia-northeast2
    • asia-northeast3
    • asia-south1
    • asia-south2
    • asia-southeast1
    • asia-southeast2
    • asia-southeast3
    • australia-southeast2
    • europe-central2
    • europe-north1
    • europe-north2
    • europe-southwest1
    • europe-west1
    • europe-west10
    • europe-west12
    • europe-west2
    • europe-west3
    • europe-west4
    • europe-west6
    • europe-west8
    • europe-west9
    • me-central1
    • me-central2
    • me-west1
    • northamerica-northeast1
    • northamerica-northeast2
    • northamerica-south1
    • southamerica-east1
    • southamerica-west1
    • us-central1
    • us-central2
    • us-east1
    • us-east4
    • us-east5
    • us-east7
    • us-south1
    • us-west1
    • us-west2
    • us-west3
    • us-west4
    • us-west8

DNS-Konfiguration für die Auflösung privater Hostnamen für das sichere Gateway

Damit das sichere Gateway die Hostnamen Ihrer privaten Anwendungen auflösen kann, muss IhrGoogle Cloud -VPC-Netzwerk die Hostnamen über Cloud DNS auflösen können. Die spezifische Cloud DNS-Konfiguration hängt davon ab, wo Ihre privaten DNS-Einträge autoritativ gehostet werden:

  • Anwendungen in Google Cloud mit privaten Cloud DNS-Zonen: Wenn Ihre privaten Anwendungen in Google Cloud gehostet werden und ihre DNS-Einträge in privaten Cloud DNS-Zonen verwaltet werden, die mit Ihrem VPC-Netzwerk verknüpft sind, prüfen Sie, ob die Zonen richtig konfiguriert und zugänglich sind. Das sichere Gateway verwendet die vorhandenen Cloud DNS-Auflösungsfunktionen Ihrer VPC.

  • Anwendungen in Nicht-Google Cloud -Umgebungen oder mit externen DNS-Servern: Wenn sich Ihre privaten Anwendungen in Nicht-Google Cloud-Umgebungen (lokal oder in anderen Clouds) befinden oder ihre DNS-Einträge von DNS-Servern außerhalb der privaten Cloud DNS-Zonen Ihrer VPC verwaltet werden, müssen Sie Cloud DNS so konfigurieren, dass Abfragen für diese privaten Domains weitergeleitet werden. Dazu werden in der Regel Cloud DNS-Weiterleitungszonen in Ihrer VPC erstellt. Diese Zonen leiten DNS-Abfragen für Ihre angegebenen privaten Domains an Ihre autoritativen privaten DNS-Server weiter, z. B. lokal oder in anderen Clouds.

Eine ausführliche Anleitung zur DNS-Konfiguration finden Sie unter Weiterleitungszone erstellen.

Anwendungsressource erstellen

Wenn Sie Zugriff auf eine private Webanwendung gewähren möchten, müssen Sie die Anwendung im Secure Gateway-Framework einrichten, indem Sie eine Anwendungsressource erstellen. Diese Ressource definiert, wie das sichere Gateway Traffic für Ihre Anwendung (basierend auf dem Hostnamen) identifiziert und wohin dieser Traffic weitergeleitet werden soll.

  1. Legen Sie die erforderlichen Umgebungsvariablen mit dem folgenden Befehl fest: 
       APPLICATION_ID=APPLICATION_ID
   APP_DISPLAY_NAME="APP_DISPLAY_NAME"
   HOST_NAME=HOST_NAME
   PRIVATE_NETWORK_RESOURCE_NAME=PRIVATE_NETWORK_RESOURCE_NAME
    Ersetzen Sie Folgendes:
    • APPLICATION_ID: Eine eindeutige ID für die Anwendungsressource.
    • APP_DISPLAY_NAME: Der menschenlesbare Name, der angezeigt werden soll.
    • HOST_NAME: Der primäre Hostname, auf den Nutzer zugreifen (z. B. private.local).
    • PRIVATE_NETWORK_RESOURCE_NAME: Der vollständige Ressourcenname des VPC-Netzwerk (z. B. projects/my-project/global/networks/my-network).
  2. Erstellen Sie die Anwendungsressource.

    Console

    So erstellen Sie die Anwendungsressource mit der Google Cloud Console:

    1. Rufen Sie in der Google Cloud Console die Seite Sicheres Gateway auf.
      Zum sicheren Gateway
    2. Klicken Sie auf Anwendung hinzufügen, um eine Anwendung hinzuzufügen.
    3. Wählen Sie den Anwendungstyp aus: Private Anwendung.
    4. Geben Sie die Anwendungsdetails ein:
      • Anwendungsname: Geben Sie einen Namen ein, z. B. GitHub.
      • Domain-Matcher: Geben Sie eine durch Kommas getrennte Liste von Domainmustern ein, die über das sichere Gateway geleitet werden sollen. Geben Sie den Port im Format domain:port an. Platzhalter (*) sind zulässig. Beispiel: github.com:443.
    5. VPC-Netzwerk konfigurieren:
      • Im aktuellen Projekt: Wenn sich Ihr VPC-Netzwerk im aktuellen Projekt befindet, wählen Sie das VPC-Netzwerk aus dem Drop-down-Menü aus.
      • In einem anderen Projekt: Wenn sich Ihr VPC-Netzwerk in einem anderen Google Cloud -Projekt befindet, geben Sie den vollständigen Ressourcennamen des VPC-Netzwerks an, z. B. projects/my-project/global/networks/my-network.
    6. Optional: Richtlinie für ausgehenden Traffic definieren: Wählen Sie eine oder mehrere Google Cloud -Regionen aus dem Drop-down-Menü aus. Wenn Sie regionale statische Routen verwenden, wählen Sie die Region aus, in der Ihre Cloud VPN- oder Cloud Interconnect-Verbindung hergestellt wird.
    7. Optional: Zugriffsrichtlinie definieren: Wählen Sie eine Access Context Manager-Zugriffsrichtlinie aus. Sie können diesen Schritt für diese Anleitung überspringen.
    8. Klicken Sie auf Erstellen, um die Anwendungsressource zu erstellen.

    gcloud

    Führen Sie den folgenden Befehl aus, um die Anwendungsressource mit gcloud zu erstellen:

    gcloud beyondcorp security-gateways applications create APPLICATION_ID \
    --project=PROJECT_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --location=global \
    --display-name="APP_DISPLAY_NAME" \
    --endpoint-matchers="hostname=HOST_NAME,ports=[443]" \
    --upstreams=network=name="PRIVATE_NETWORK_RESOURCE_NAME"

    Wenn Sie eine Region für ausgehenden Traffic angeben möchten (z. B. bei Verwendung statischer Routen), fügen Sie egressPolicy in das Flag --upstreams ein:

    gcloud beyondcorp security-gateways applications create APPLICATION_ID \
    --project=PROJECT_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --location=global \
    --display-name="APP_DISPLAY_NAME" \
    --endpoint-matchers="hostname=HOST_NAME,ports=[443]" \
    --upstreams=network=name="PRIVATE_NETWORK_RESOURCE_NAME",egressPolicy=regions=us-central1

    Ersetzen Sie us-central1 durch die Google Cloud Region (z. B. europe-west1 oder asia-northeast1), die Ihrer regionalen statischen Routingkonfiguration entspricht. Wenn Sie keine spezifischen Anforderungen an das regionale statische Routing haben, können Sie die Richtlinie für ausgehenden Traffic in Ihrer Konfiguration weglassen.

    REST

    So erstellen Sie eine Anwendungsressource mit der API:

    1. Erstellen Sie eine Datei mit dem Namen application.json.

      {
"display_name": "APP_DISPLAY_NAME",
"endpoint_matchers": [
   {"hostname": "HOST_NAME", "ports": [443]}
],
"upstreams": [{
   "network": {
      "name": "PRIVATE_NETWORK_RESOURCE_NAME"
   }
}]
}

      Wenn Sie eine Region für ausgehenden Traffic angeben möchten (z. B. bei Verwendung statischer Routen), fügen Sie der Upstream-Konfiguration ein egress_policy hinzu:

      {
"display_name": "APP_DISPLAY_NAME",
"endpoint_matchers": [
   {"hostname": "HOST_NAME", "ports": [443]}
],
"upstreams": [{
   "network": {
      "name": "PRIVATE_NETWORK_RESOURCE_NAME"
   },
   "egress_policy": {
      "regions": [
      "us-central1"
      ]
   }
}]
}

      Ersetzen Sie us-central1 durch die Google Cloud Region (z. B. europe-west1 oder asia-northeast1), die Ihrer regionalen statischen Routingkonfiguration entspricht. Wenn Sie keine spezifischen Anforderungen an das regionale statische Routing haben, können Sie die Richtlinie für ausgehenden Traffic in Ihrer Konfiguration weglassen.

    2. Rufen Sie die API-Methode Create auf.

      curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -X POST \
    -d @application.json \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID/applications?application_id=APPLICATION_ID"

Zugriffsrichtlinie konfigurieren

Sie können eine Zugriffsrichtlinie anwenden, um den Zugriff auf Anwendungsebene zu steuern. Wenn keine Zugriffsrichtlinie konfiguriert ist, wird der Zugriff auf die Anwendung standardmäßig verweigert.

Console

Richtlinie für mehrere Anwendungen erstellen

So konfigurieren Sie eine Zugriffsrichtlinie:

  1. Wenn Sie eine Richtlinie erstellen möchten, die für mehrere mit dem sicheren Gateway verknüpfte Anwendungen gilt, rufen Sie die Seite Richtlinien auf.
    Zu den Richtlinien
  2. Klicken Sie auf Richtlinie erstellen, um Anwendungen Zugriffsrichtlinien hinzuzufügen.
  3. Wählen Sie in der Drop-down-Liste die Anwendungen aus, auf die die Richtlinien angewendet werden sollen.
  4. Fügen Sie der Richtlinie Hauptkonten hinzu:

    Hauptkonten können Nutzer, Gruppen, Domains oder Dienstkonten sein. Diesen Hauptkonten wird der Zugriff basierend auf den von Ihnen zugewiesenen Zugriffsebenen gewährt oder verweigert.

    1. Klicken Sie auf Hauptkonto hinzufügen, um ein Hauptkonto hinzuzufügen.
    2. Geben Sie im Feld Hauptkonto die E‑Mail-Adresse des Nutzers, der Gruppe oder des Dienstkontos oder den Domainnamen ein.
    3. Wählen Sie im Drop-down-Menü Zugriffsebenen eine oder mehrere vordefinierte Ebenen für den kontextsensitiven Zugriff aus. Der Zugriff wird nur gewährt, wenn das Hauptkonto die Bedingungen der ausgewählten Zugriffsebenen erfüllt.

    Wenn Sie weitere Hauptkonten hinzufügen möchten, klicken Sie noch einmal auf Hauptkonto hinzufügen und wiederholen Sie die Unterschritte.

    Sie können Zugriffsebenen in Access Context Manager erstellen und verwalten.

  5. Klicken Sie auf Richtlinie erstellen, um die Richtlinie auf die Anwendung anzuwenden.

Zugriffsrichtlinie auf Anwendungsebene ändern

  1. Wenn Sie eine Richtlinie für eine einzelne Anwendung ändern möchten, rufen Sie die Seite Anwendungen auf.
    Zu „Anwendungen“
  2. So finden Sie die Anwendung, die Sie bearbeiten möchten:
    1. Suchen Sie in der Liste Anwendungen nach der Anwendung, die Sie ändern möchten.
    2. Wenn Sie die Anwendungsdetails aufrufen möchten, klicken Sie auf das Dreipunkt-Menü Weitere Aktionen () und wählen Sie Details ansehen aus.
  3. Klicken Sie zum Bearbeiten der Anwendung auf Bearbeiten.
  4. Fügen Sie der Richtlinie Hauptkonten hinzu:

    Hauptkonten können Nutzer, Gruppen, Domains oder Dienstkonten sein. Diesen Hauptkonten wird der Zugriff basierend auf den von Ihnen zugewiesenen Zugriffsebenen gewährt oder verweigert.

    1. Klicken Sie auf Hauptkonto hinzufügen, um ein Hauptkonto hinzuzufügen.
    2. Geben Sie im Feld Hauptkonto die E‑Mail-Adresse des Nutzers, der Gruppe oder des Dienstkontos oder den Domainnamen ein.
    3. Wählen Sie in der Drop-down-Liste Zugriffsebenen eine oder mehrere vordefinierte kontextsensitive Zugriffsebenen aus. Der Zugriff wird nur gewährt, wenn das Hauptkonto die Bedingungen der ausgewählten Zugriffsebenen erfüllt.

    Wenn Sie weitere Hauptkonten hinzufügen möchten, klicken Sie noch einmal auf Hauptkonto hinzufügen und wiederholen Sie die Unterschritte.

    Sie können Zugriffsebenen in Access Context Manager erstellen und verwalten.

  5. Klicken Sie auf Speichern, um die Richtlinie auf die Anwendung anzuwenden.

gcloud

Gateway-Ebene-Bindung für Service Discovery hinzufügen

Bevor Sie einem Nutzer Zugriff auf eine Anwendung gewähren, müssen Sie sicherstellen, dass er auf der Ebene des sicheren Gateways die Berechtigung „Service Discovery“ hat.

gcloud beyondcorp security-gateways add-iam-policy-binding SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.serviceDiscoveryUser" \
    --member=MEMBER

Ersetzen Sie Folgendes:

  • SECURITY_GATEWAY_ID: die ID des sicheren Gateways
  • PROJECT_ID: die ID des Projekts, in dem das sichere Gateway konfiguriert ist
  • MEMBER: der Nutzer, die Gruppe oder das Dienstkonto, dem Sie die Rolle „Service Discovery“ zuweisen möchten. Weitere Informationen finden Sie unter IAM-Hauptkonten.

Bindung auf Anwendungsebene hinzufügen

gcloud beyondcorp security-gateways applications add-iam-policy-binding APPLICATION_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.sgApplicationUser" \
    --member=MEMBER

Ersetzen Sie Folgendes:

  • APPLICATION_ID: die ID der Anwendungsressource
  • SECURITY_GATEWAY_ID: die ID des sicheren Gateways
  • PROJECT_ID: die ID des Projekts, in dem das sichere Gateway konfiguriert ist
  • MEMBER: der Nutzer, die Gruppe oder das Dienstkonto, dem Sie die Rolle „Service Discovery“ zuweisen möchten. Weitere Informationen finden Sie unter IAM-Hauptkonten.

Bedingte Bindung hinzufügen

Sie können auch eine Bindung mit Bedingungen hinzufügen. Bedingungen geben Anforderungen an, z. B. dass die IP-Adresse eines Nutzers von einem bestimmten Standort stammt. (Die Zugriffsebene kann entweder in einer Zugriffsrichtlinie auf Organisationsebene oder in einer bereichsbezogenen Zugriffsrichtlinie definiert werden.)

Mit dem folgenden Beispielbefehl wird der Zugriff nur gewährt, wenn die Quell-IP-Adresse innerhalb einer angegebenen Zugriffsebene liegt:

gcloud beyondcorp security-gateways applications add-iam-policy-binding APPLICATION_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.sgApplicationUser" \
    --member=MEMBER \
    --condition="expression='accessPolicies/1234567890/accessLevels/in_us' in request.auth.access_levels,title=Source IP must be in US"

Service Discovery-Bindung auf Gateway-Ebene entfernen

Widerrufen Sie die Service Discovery-Berechtigungen eines Nutzers auf der Ebene des sicheren Gateways.

gcloud beyondcorp security-gateways remove-iam-policy-binding SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.serviceDiscoveryUser" \
    --member=MEMBER

Ersetzen Sie Folgendes:

  • SECURITY_GATEWAY_ID: die ID des sicheren Gateways
  • PROJECT_ID: die ID des Projekts, in dem das sichere Gateway konfiguriert ist
  • MEMBER: der Nutzer, die Gruppe oder das Dienstkonto, von dem Sie die Rolle „Service Discovery“ entfernen möchten. Weitere Informationen finden Sie unter IAM-Hauptkonten.

Bindung auf Anwendungsebene entfernen

gcloud beyondcorp security-gateways applications remove-iam-policy-binding APPLICATION_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.sgApplicationUser" \
    --member=MEMBER

Ersetzen Sie Folgendes:

  • APPLICATION_ID: die ID der Anwendungsressource
  • SECURITY_GATEWAY_ID: die ID des sicheren Gateways
  • PROJECT_ID: die ID des Projekts, in dem das sichere Gateway konfiguriert ist
  • MEMBER: der Nutzer, die Gruppe oder das Dienstkonto, von dem Sie die Rolle „Service Discovery“ entfernen möchten. Weitere Informationen finden Sie unter IAM-Hauptkonten.

Bedingte Bindung entfernen

Sie können eine Bindung auch mit Bedingungen entfernen. Bedingungen geben Anforderungen an, z. B. dass die IP-Adresse eines Nutzers von einem bestimmten Standort stammt. (Die Zugriffsebene kann entweder in einer Zugriffsrichtlinie auf Organisationsebene oder in einer bereichsbezogenen Zugriffsrichtlinie definiert werden.)

Mit dem folgenden Beispielbefehl wird eine bedingte Bindung mit einer bestimmten Zugriffsebene entfernt:

gcloud beyondcorp security-gateways applications remove-iam-policy-binding APPLICATION_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.sgApplicationUser" \
    --member=MEMBER \
    --condition="expression='accessPolicies/1234567890/accessLevels/in_us' in request.auth.access_levels,title=Source IP must be in US"

REST

Zugriffsrichtlinie sicher aktualisieren

Mit dem Befehl setIamPolicy wird die gesamte vorhandene Richtlinie durch die von Ihnen angegebene Richtlinie ersetzt. Damit vorhandene Berechtigungen nicht versehentlich entfernt werden, empfehlen wir, das folgende Muster „Lesen-Ändern-Schreiben“ zu verwenden. Dieses Muster hilft, das versehentliche Entfernen vorhandener Berechtigungen zu verhindern.

  1. Lesen: Speichern Sie die aktuelle Zugriffsrichtlinie in einer Datei.
  2. Ändern: Bearbeiten Sie die Richtliniendatei lokal, um Berechtigungen hinzuzufügen oder zu ändern.
  3. Schreiben: Wenden Sie die aktualisierte Richtliniendatei an.

Gateway-Richtlinie für Service Discovery festlegen

Wenn Sie Berechtigungen für die Service Discovery gewähren möchten, müssen Sie eine Zugriffsrichtlinie für das Sicherheits-Gateway und nicht für eine einzelne Anwendung festlegen. Dabei wird dasselbe „Lesen-Ändern-Schreiben“-Muster verwendet.

Rufen Sie die aktuelle Richtlinie ab und speichern Sie sie in einer Datei mit dem Namen gateway_policy.json.

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID:getIamPolicy" > gateway_policy.json

Öffnen Sie als Nächstes die Datei gateway_policy.json in einem Texteditor und fügen Sie die erforderlichen Hauptkonten der Liste members für die Rolle roles/beyondcorp.serviceDiscoveryUser hinzu, ähnlich wie bei den Änderungen auf Anwendungsebene.

Die Datei gateway_policy.json sieht in etwa so aus:

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.serviceDiscoveryUser",
      "members": [
        "group:existing-group@example.com"
      ]
    }
  ],
  "etag": "BwXN8_d-bOM="
}

Sie können auch andere Arten von Mitgliedern wie serviceAccount, user, group, principal und principalSet in Richtlinienbindungen hinzufügen. Weitere Informationen finden Sie unter IAM-Hauptkonten.

Wenden Sie die aktualisierte Richtlinie an:

jq '{policy: .}' gateway_policy.json | curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -d @- \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID:setIamPolicy"

Zugriffsrichtlinie auf Anwendungsebene festlegen

Aktuelle Richtlinie abrufen

Aktuelle Richtlinie abrufen Das Feld etag verhindert widersprüchliche Aktualisierungen, wenn mehrere Administratoren gleichzeitig Änderungen vornehmen.

Mit dem folgenden Befehl wird die Richtlinie abgerufen und in einer Datei namens policy.json gespeichert. 

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID/applications/APPLICATION_ID:getIamPolicy" > policy.json

Ersetzen Sie Folgendes:

  • PROJECT_ID: die ID des Projekts, in dem das sichere Gateway konfiguriert ist
  • SECURITY_GATEWAY_ID: die ID des sicheren Gateways
  • APPLICATION_ID: die ID der Anwendungsressource

Mit dem Befehl wird eine policy.json-Datei erstellt, die die aktuelle Richtlinie enthält.

Richtliniendatei ändern

So gewähren Sie einer Gruppe Zugriff auf das sichere Gateway:

  1. Öffnen Sie die Datei policy.json in einem Texteditor.
  2. Fügen Sie die Gruppe der Liste members für die Rolle roles/beyondcorp.securityGatewayUser hinzu.

Die Datei policy.json sieht in etwa so aus:

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.sgApplicationUser",
      "members": [
        "group:existing-group@example.com"
      ]
    }
  ],
  "etag": "BwXN8_d-bOM="
}

Wenn Sie eine weitere Gruppe hinzufügen möchten, fügen Sie dem Array members einen neuen Eintrag hinzu. Fügen Sie nach dem vorherigen Eintrag ein Komma ein. Im folgenden Beispiel wird new-group@example.com hinzugefügt:

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.sgApplicationUser",
      "members": [
        "group:existing-group@example.com",
        "group:new-group@example.com"
      ]
    }
  ],
  "etag": "BwXN8_d-bOM="
}

Sie können auch andere Arten von Mitgliedern wie serviceAccount, user, group, principal und principalSet in Richtlinienbindungen hinzufügen. Weitere Informationen finden Sie unter IAM-Hauptkonten.

Aktualisierte Richtlinie anwenden

Nachdem Sie die policy.json-Datei bearbeitet und gespeichert haben, wenden Sie sie mit dem Befehl setIamPolicy auf die Ressource an. Dieser Befehl verwendet die etag aus Ihrer Datei, um sicherzustellen, dass Sie die richtige Version aktualisieren.

jq '{policy: .}' policy.json | curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -d @- \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID/applications/APPLICATION_ID:setIamPolicy"

Ersetzen Sie Folgendes:

  • PROJECT_ID: die ID des Projekts, in dem das sichere Gateway konfiguriert ist
  • SECURITY_GATEWAY_ID: die ID des sicheren Gateways
  • APPLICATION_ID: die ID der Anwendungsressource

Richtlinie für bedingten Zugriff hinzufügen

Sie können auch Zugriffsrichtlinien mit Bedingungen festlegen. Bedingungen geben Anforderungen an, z. B. dass die IP-Adresse eines Nutzers von einem bestimmten Standort stammt. (Die Zugriffsebene kann entweder in einer Zugriffsrichtlinie auf Organisationsebene oder in einer bereichsbezogenen Zugriffsrichtlinie definiert werden.)

Die folgende Beispielrichtlinie gewährt nur dann Zugriff, wenn die Quell-IP-Adresse innerhalb einer bestimmten Zugriffsebene liegt:

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.sgApplicationUser",
      "members": [
        "group:group@example.com"
      ],
      "condition": {
        "expression": "request.auth.access_levels.contains('accessPolicies/1234567890/accessLevels/in_us')",
        "title": "Source IP must be in US"
      }
    }
  ],
  "etag": "BwXN8_d-bOM="
}

Folgen Sie den oben beschriebenen Schritten, um diese Richtlinie anzuwenden.

Sicherheit mit kontextsensitivem Zugriff erhöhen

Um die Sicherheit weiter zu erhöhen und dafür zu sorgen, dass nur verwaltete Google Chrome-Instanzen über das sichere Gateway auf Ihre Webanwendungen zugreifen können, empfehlen wir, eine Regel für den kontextsensitiven Zugriff (Context-Aware Access, CAA) hinzuzufügen. Mit dieser Regel wird überprüft, ob das Chrome-Profil des Nutzers verwaltet wird. So wird potenzieller Missbrauch durch nicht verwaltete oder schädliche Browser verhindert.

Hinweis: Für diese Funktion muss die Erweiterung „Endpunktprüfung“ installiert und eingerichtet werden.

Dazu können Sie Ihren benutzerdefinierten Zugriffsebenen in Access Context Manager eine Bedingung hinzufügen. Hier ist ein Beispiel für eine Bedingung, die Sie anpassen können:

  device.chrome.management_state == ChromeManagementState.CHROME_MANAGEMENT_STATE_PROFILE_MANAGED

Weitere Informationen zum Konfigurieren, Prüfen und Verwalten dieses Status finden Sie unter Chrome-Browserattribute.

Chrome Enterprise Premium-Erweiterung installieren

Die Chrome Enterprise Premium-Erweiterung ist ein wichtiger Bestandteil eines sicheren Gateways und hilft bei der Authentifizierung. Installieren Sie die Erweiterung für alle Nutzer des sicheren Gateways. Informationen zum Bereitstellen der Erweiterung finden Sie unter Chrome-Richtlinien für einzelne Apps festlegen. So installieren Sie die Chrome Enterprise Premium-Erweiterung:

  1. Rufen Sie die Google Admin-Konsole auf.
  2. Klicken Sie auf Chrome-Browser > Apps und Erweiterungen.
  3. Klicken Sie auf den Tab Nutzer und Browser.
  4. Klicken Sie auf das Pluszeichen + und wählen Sie Chrome-Apps oder ‑Erweiterungen über die jeweilige ID hinzufügen aus, um die Chrome-Erweiterung hinzuzufügen.

  5. Suchen Sie mit der folgenden ID nach der Erweiterung Secure Enterprise Browser und legen Sie die Installationsrichtlinie für alle Nutzer in der Organisationseinheit oder Gruppe auf Installation erzwingen fest:

    ekajlcmdfcigmdbphhifahdfjbkciflj

  6. Klicken Sie auf die installierte Erweiterung und geben Sie im Feld Richtlinie für Erweiterungen den folgenden JSON-Wert ein:

    {
  "securityGateway": {
    "Value": {
      "authentication": {},
      "context": { "resource": "projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID" },
      "serviceDiscovery": { "routes": {} }
    }
  }
}

    Ersetzen Sie Folgendes:

    • PROJECT_ID: die ID des Projekts, in dem das sichere Gateway konfiguriert ist
    • SECURITY_GATEWAY_ID: die ID des sicheren Gateways

  7. Klicken Sie auf Speichern, um die Konfiguration zu speichern.

Einrichtung der alten PAC-Datei

Wenn die Service Discovery aktiviert ist, kann der Chrome-Browser-Client Traffic automatisch erkennen und über das sichere Gateway an Ihre konfigurierten Anwendungen weiterleiten. Eine manuelle Routingkonfiguration mit einer PAC-Datei ist dann nicht mehr erforderlich.

Wenn Service Discovery auf Ihrem sicheren Gateway nicht aktiviert ist, haben Sie eine Legacy-Einrichtung. Sie müssen eine PAC-Datei konfigurieren, um das Routing im Chrome-Browser-Client zu steuern.

Mit den folgenden Befehlen können Sie prüfen, ob Sie die Legacy-Einrichtung haben und ob die Service Discovery aktiviert ist:

gcloud

gcloud beyondcorp security-gateways describe SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global | grep -i "serviceDiscovery"

REST

curl --silent \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID" | grep -i "serviceDiscovery"

Wenn der Befehl keine Ausgabe zurückgibt, verwendet Ihr Gateway die Legacy-Einrichtung. Bei Gateways, die die Legacy-Einrichtung verwenden, wird das Routing über eine gehostete PAC-Datei abgewickelt.

Schritt 1: PAC-Datei erstellen und hosten

  1. Erstellen Sie eine Datei mit dem Namen pac_config.js und dem folgenden JavaScript-Code. Ersetzen Sie dabei HOST_NAME durch die Domain Ihrer Anwendung (z. B. myapp.example.com):

    function FindProxyForURL(url, host) {
  const PROXY = "HTTPS via.prod.securegateway.goog:443";
  const sites = ["HOST_NAME"];

  for (const site of sites) {
    if (shExpMatch(url, 'https://' + site + '/*') || shExpMatch(url, '*.' + site + '/*')) {
      return PROXY;
    }
  }
  return 'DIRECT';
}

  2. Laden Sie die PAC-Datei in einen Hosting-Dienst hoch, z. B. in einen Cloud Storage-Bucket.

    • Die Datei muss öffentlich herunterladbar sein.
    • Legen Sie den HTTP-Header Cache-Control auf no-cache fest, damit Browser immer die neuesten Routingregeln abrufen.

  3. Kopieren Sie die öffentliche URL der hochgeladenen PAC-Datei.

Schritt 2: PAC-Datei in der Admin-Konsole anwenden

  1. Rufen Sie die Google Admin-Konsole auf.
  2. Rufen Sie Geräte > Chrome > Einstellungen auf.
  3. Wählen Sie Ihre Organisationseinheit oder Gruppe aus und klicken Sie dann auf Proxymodus.
  4. Wählen Sie unter Proxymodus die Option Für den Proxyserver immer die unten angegebene automatische Konfiguration verwenden aus.
  5. Geben Sie die öffentliche URL Ihrer gehosteten PAC-Datei in das entsprechende Feld ein.
  6. Klicken Sie auf Speichern.

Schritt 3: Chrome Enterprise Premium-Erweiterung konfigurieren

Die Erweiterung ist für die Authentifizierung erforderlich. Diese Erweiterungsrichtlinie unterscheidet sich von der Standardkonfiguration, da der Block serviceDiscovery ausgeschlossen ist.

  1. Gehen Sie in der Admin-Konsole zu Chrome-Browser > Apps und Erweiterungen.
  2. Rufen Sie den Tab Nutzer und Browser auf und prüfen Sie, ob die Secure Enterprise Browser-Erweiterung (ekajlcmdfcigmdbphhifahdfjbkciflj) hinzugefügt und erzwungen wurde.

  3. Klicken Sie auf die Erweiterung und geben Sie im Feld Richtlinie für Erweiterungen den folgenden JSON-Wert ein:

    {
  "securityGateway": {
    "Value": {
      "authentication": {},
      "context": {
        "resource": "projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID"
      }
    }
  }
}

  4. Klicken Sie auf Speichern.

Übergang zur Einrichtung von Service Discovery

Wenn Sie Ihr altes sicheres Gateway von einer PAC-Dateikonfiguration auf die neuere Service Discovery-Konfiguration umstellen möchten, müssen Sie die Funktion manuell aktivieren und Ihre Konfigurationen aktualisieren.

  1. Service Discovery auf Ihrem sicheren Gateway aktivieren: Aktualisieren Sie Ihr vorhandenes Gateway, um Service Discovery zu aktivieren.

    gcloud

    gcloud beyondcorp security-gateways update SECURITY_GATEWAY_ID \
--project=PROJECT_ID \
--location=global \
--service-discovery={}

    REST

    curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{ "service_discovery": {} }' \
"https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID?updateMask=service_discovery"

  2. Zugriffsrichtlinie auf Gateway-Ebene festlegen: Gewähren Sie Nutzern die Rolle roles/beyondcorp.serviceDiscoveryUser auf Gateway-Ebene, damit sie die Service Discovery verwenden können. Folgen Sie der Anleitung im Abschnitt Service Discovery-Bindung auf Gateway-Ebene hinzufügen.

  3. Konfiguration der Chrome Enterprise Premium-Erweiterung aktualisieren: Folgen Sie der Anleitung im Abschnitt Chrome Enterprise Premium-Erweiterung installieren, um die Richtlinie für die Erweiterung zu aktualisieren. Die neue JSON-Konfiguration muss den Block "serviceDiscovery": { "routes": {} } enthalten.

  4. Alte PAC-Datei entfernen: Sobald die Service Discovery aktiv ist, wird die alte PAC-Datei nicht mehr benötigt.

    1. Rufen Sie in der Admin-Konsole Geräte > Chrome > Einstellungen > Nutzer- und Browsereinstellungen > Netzwerk auf.
    2. Suchen Sie die Einstellung Proxy-Modus.
    3. Entfernen Sie die URL für die automatische Proxykonfiguration (PAC) oder ändern Sie die Einstellung von Für den Proxyserver immer die unten angegebene automatische Konfiguration verwenden in einen für Ihr Netzwerk geeigneten Modus, z. B. Dem Nutzer die Konfiguration gestatten.
    4. Klicken Sie auf Speichern.

Endnutzererfahrung

Nach Abschluss der Einrichtung wird Endnutzern, die auf die geschützte SaaS-Anwendung zugreifen, der Zugriff basierend auf der Zugriffsrichtlinie gewährt oder verweigert, die auf die Anwendung angewendet wird.

Auf die Anwendung in Chrome zugreifen

Die Chrome Enterprise Premium-Erweiterung ist erforderlich, um den Traffic über das sichere Gateway zu leiten. Die Erweiterung übernimmt die Authentifizierung zwischen dem Nutzer und dem sicheren Gateway. Die Erweiterung wird automatisch über die Domainrichtlinie installiert.

Wenn Nutzer auf die von Ihnen konfigurierte SaaS-Anwendung zugreifen, wird ihr Traffic über das sichere Gateway geleitet, das prüft, ob sie die Zugriffsrichtlinie erfüllen. Wenn die Nutzer die Zugriffsrichtlinienprüfungen bestehen, erhalten sie Zugriff auf die Anwendung.

Wenn der Browserzugriff auf die Anwendung durch die Autorisierungsrichtlinie abgelehnt wird, erhalten Nutzer die Meldung Access denied.

Nächste Schritte