Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

限定公開ウェブアプリケーションへの安全なアクセス

このドキュメントでは、プライベートウェブアプリケーションへのアクセスを保護するために Chrome Enterprise Premium セキュアゲートウェイを設定する方法について説明します。

Chrome Enterprise Premium セキュアゲートウェイは、フォワードプロキシとして機能し、ゼロトラストアクセスフレームワークを適用して、プライベートウェブアプリケーションにアクセスするユーザーに対するきめ細かいコンテキストアウェア制御を実現します。

限定公開ウェブアプリケーションへのアクセスを保護する仕組み

安全なトンネルを確立し、コンテキストアウェアアクセスポリシーを適用することで、セキュアゲートウェイは社内向けアプリケーションを限定公開にし、公共のインターネットに公開されないように保護します。これらのアプリケーションのトラフィックは、クライアントサイドのブラウザ設定によって、セキュアゲートウェイのプロキシエンドポイントを経由するよう制御されます。次に、セキュアゲートウェイが関連するアクセスポリシーを適用し、許可されている場合は、リクエストを宛先アプリケーションにルーティングします。

セキュアゲートウェイは、次の環境でホストされている社内向けウェブアプリケーションの保護に役立ちます。

Google Cloud プロジェクト: セキュアゲートウェイは、 Google Cloud VPC ネットワークで実行されているアプリケーションに直接アクセスできます。
非Google Cloud （オンプレミスデータセンターまたは他のクラウド）: まず、Google Cloud のプライベート VPC ネットワークと非Google Cloud ネットワークの間に接続を確立する必要があります。これは通常、Cloud VPN または Cloud Interconnect を使用して行われます。セキュアゲートウェイは、この接続を使用してトラフィックを社内向け VPC ネットワークに送信し、社内向け VPC ネットワークはトラフィックを非Google Cloud 環境に転送します。

必要なロール

管理者に次のロールの付与を依頼します。

プロジェクトで Chrome Enterprise Premium を設定するための Cloud BeyondCorp 管理者（roles/beyondcorp.admin）
Access Context Manager 管理者（roles/accesscontextmanager.policyAdmin）: 新しいアクセスレベルの読み取りと追加
Google Cloud コンソールを使用するための Service Usage 閲覧者（roles/serviceusage.serviceUsageViewer）

Identity and Access Management（IAM）ロールの詳細を確認する。

始める前に

セキュアゲートウェイを設定する前に、次のことを確認してください。

Chrome Enterprise Premium ライセンス。
管理者アカウントで Google 管理コンソールにアクセスできること。
請求先アカウントが割り当てられ、次の API が有効になっている Google Cloud プロジェクト: BeyondCorp API
Google Cloud 以外の環境にあるプライベートアプリケーションの場合、Google Cloud 環境とアプリケーションが存在するGoogle Cloud 以外の環境の間の Cloud VPN または Cloud Interconnect 接続。ネットワーク接続の設定について詳しくは、次のリソースをご覧ください。
- Cloud VPN のドキュメント
- Cloud Interconnect ドキュメント

シェル環境の設定

作業シェルで次の環境変数を定義して、設定プロセスを合理化し、セキュアゲートウェイ API と通信できるようにします。

一般的なパラメータ
```
PROJECT_ID=PROJECT_ID
      
```
次のように置き換えます。
- PROJECT_ID: セキュアゲートウェイが作成されるプロジェクトの ID。
セキュアゲートウェイのパラメータ
```
SECURITY_GATEWAY_ID=SECURITY_GATEWAY_ID
SECURITY_GATEWAY_DISPLAY_NAME="SECURITY_GATEWAY_DISPLAY_NAME"
      
```
次のように置き換えます。
- SECURITY_GATEWAY_ID: 作成するセキュアゲートウェイの ID。ID は 63 文字以内で、小文字、数字、ハイフンを使用できます。最初の文字は英字にする必要があります。最後の文字は英字または数字にできます。
- SECURITY_GATEWAY_DISPLAY_NAME: セキュアゲートウェイの人が読める形式の名前。名前は最大 63 文字で、印刷可能な文字を含めることができます。

セキュアゲートウェイを作成する

Chrome Enterprise Premium セキュアゲートウェイは、アプリケーションへの安全な接続を確立するための基本的な構成要素です。

Console

セキュアゲートウェイを作成する手順は次のとおりです。

Google Cloud コンソールで、[セキュアゲートウェイ] ページに移動します。
セキュアゲートウェイに移動
セキュアゲートウェイを作成するプロジェクトを選択します。
セキュアゲートウェイを作成するには、[新しいゲートウェイを作成] をクリックして、ゲートウェイの作成プロセスが完了するまで待ちます。進行状況は、 Google Cloud コンソールの [通知] セクションで確認できます。

gcloud

gcloud を使用してセキュアゲートウェイを作成するには、次のコマンドを実行します。

gcloud beyondcorp security-gateways create SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --display-name="SECURITY_GATEWAY_DISPLAY_NAME"

REST

REST API を使用してセキュアゲートウェイを作成するには、次のコマンドを実行します。

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -X POST \
    -d '{ "display_name": "SECURITY_GATEWAY_DISPLAY_NAME" }' \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways?security_gateway_id=SECURITY_GATEWAY_ID"

プライベートウェブアプリケーションを構成する

セキュアゲートウェイで特定アプリケーションのリソースを定義する前に、接続と適切なルーティングを有効にするために必要な権限とネットワーク設定を構成する必要があります。

サービスアカウントに権限を付与する

VPC ネットワークにトラフィックを正常に送信するには、セキュアゲートウェイの委任サービスアカウントに特定の IAM 権限が付与されている必要があります。これにより、 Google Cloud VPC 内でホストされているか、Cloud VPN または Cloud Interconnect を介して接続されたGoogle Cloud 環境でホストされているかに関係なく、セキュアゲートウェイがプライベートアプリケーションにアクセスできるようになります。

サービスアカウントに権限を付与する手順は次のとおりです。

セキュアゲートウェイの詳細を取得して、委任するサービスアカウントのメールアドレスを特定します。メールアドレスはレスポンスの delegatingServiceAccount フィールドにあります。

gcloud

gcloud beyondcorp security-gateways describe SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global

REST

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID"

サービスアカウントとターゲット VPC プロジェクトの環境変数を設定します。

DELEGATING_SERVICE_ACCOUNT="security-gateway@my-gateway-service-account.iam.gserviceaccount.com" # Replace with actual value

プライベート VPC プロジェクトの委任サービスアカウントに roles/beyondcorp.upstreamAccess IAM ロールを付与します。
```
gcloud projects add-iam-policy-binding PRIVATE_VPC_PROJECT_ID \
    --role=roles/beyondcorp.upstreamAccess \
    --member=serviceAccount:DELEGATING_SERVICE_ACCOUNT
    
```
PRIVATE_VPC_PROJECT_ID は、プライベートウェブアプリがデプロイされている VPC ネットワークのプロジェクト ID、または Cloud VPN/Interconnect が構成されている VPC ネットワークのプロジェクト ID に置き換えます。

ロールを付与してから Identity and Access Management ポリシーが適用されるまで、約 2 分待ちます。

ネットワークルーティングとファイアウォールルールを構成する

セキュアゲートウェイからのトラフィックがプライベートウェブアプリケーションに到達できるように、ファイアウォールルール、ネットワークルーティング、DNS 設定を構成します。

Google Cloud内のアプリケーションのファイアウォールルール

プライベートウェブアプリケーションが Google Cloud VPC ネットワーク内（Compute Engine VM、内部 IP を使用する Google Kubernetes Engine サービス、内部 TCP/UDP ロードバランサの背後など）でホストされている場合は、Google Cloud VPC ファイアウォールルールを構成します。これにより、セキュアゲートウェイの IP 範囲 136.124.16.0/20 からの上り（内向き）TCP トラフィックが許可されます。

非Google Cloud 環境のアプリケーションのファイアウォールルール

プライベートウェブアプリケーションがオンプレミスデータセンターまたは別のクラウドプロバイダのネットワークに存在し、Cloud VPN または Cloud Interconnect を使用して Google CloudVPC に接続されている場合は、オンプレミスファイアウォールまたは同等のネットワークセキュリティ制御（セキュリティグループやネットワーク ACL など）でファイアウォールルールを構成します。これにより、セキュアゲートウェイの IP 範囲からの上り（内向き）TCP トラフィックが許可されます。

非Google Cloud 環境からセキュアゲートウェイへのルーティングを構成する

オンプレミスや他のクラウドなど、Google Cloud 以外の環境でホストされているプライベートアプリケーションの双方向通信を容易にするには、外部ネットワークで次のセキュアゲートウェイ IP 範囲 136.124.16.0/20 への戻りパスを作成する必要があります。

プライベートネットワークが Cloud VPN または Cloud Interconnect を介してセキュアゲートウェイの IP 範囲に到達できることを確認します。

動的ルーティング: Cloud Router で Border Gateway Protocol（BGP）などの動的ルーティングを使用している場合は、Cloud Router がオンプレミス BGP デバイスにセキュアゲートウェイの IP 範囲を明示的にアドバタイズしていることを確認します。 Google Cloud BGP は多くのルートを動的に交換しますが、セキュアゲートウェイの IP 範囲には明示的なアドバタイズが必要です。
静的ルーティング: 静的ルートを使用している場合は、ルーターやファイアウォールなどのオンプレミスネットワーク機器で、セキュアゲートウェイの各 IP 範囲のルートを手動で追加する必要があります。これらの静的ルートでは、セキュアゲートウェイの IP 範囲宛てのトラフィックが Cloud VPN または Cloud Interconnect 接続を介して送信されるように指定する必要があります。

静的ルーティングを使用する場合、Cloud VPN は次のサポートされているリージョンのいずれかに存在する必要があります。
- africa-south1
- asia-east1
- asia-south1
- asia-south2
- asia-southeast1
- europe-central2
- europe-north1
- europe-southwest1
- europe-west1
- europe-west2
- europe-west3
- europe-west4
- europe-west8
- europe-west9
- northamerica-northeast1
- northamerica-northeast2
- northamerica-south1
- southamerica-east1
- southamerica-west1
- us-central1
- us-east1
- us-east4
- us-east5
- us-west1

セキュアゲートウェイのプライベートホスト名解決の DNS 構成

セキュアゲートウェイでプライベートアプリケーションのホスト名を解決するには、Google Cloud VPC ネットワークで Cloud DNS を使用してホスト名を解決できる必要があります。Cloud DNS の具体的な構成は、プライベート DNS レコードが権威的にホストされている場所によって異なります。

Google Cloud 内のアプリケーションで Cloud DNS 限定公開ゾーンを使用している場合: 限定公開アプリケーションが Google Cloud でホストされ、その DNS レコードが VPC ネットワークに関連付けられている Cloud DNS 限定公開ゾーン内で管理されている場合は、ゾーンが正しく構成され、アクセス可能であることを確認します。セキュアゲートウェイは、VPC の既存の Cloud DNS の解決機能を使用します。
Google Cloud 環境にないアプリケーションまたは外部 DNS サーバーを使用するアプリケーション: プライベートアプリケーションがGoogle Cloud以外の環境（オンプレミスまたは他のクラウド）にある場合、または DNS レコードが VPC の Cloud DNS プライベートゾーンの外部にある DNS サーバーによって管理されている場合は、これらのプライベートドメインのクエリを転送するように Cloud DNS を構成する必要があります。通常、これには VPC 内に Cloud DNS 転送ゾーンを作成する必要があります。これらのゾーンは、指定された限定公開ドメインの DNS クエリを、オンプレミスや他のクラウドなどの権威プライベート DNS サーバーに転送します。

DNS 構成の詳細な手順については、転送ゾーンを作成するをご覧ください。

アプリケーションリソースを作成する

プライベートウェブアプリケーションへのアクセスを提供するには、アプリケーションリソースを作成して、セキュリティゲートウェイフレームワーク内にアプリケーションを確立する必要があります。このリソースは、セキュアゲートウェイがアプリケーションのトラフィックを（ホスト名に基づいて）識別する方法と、そのトラフィックをルーティングする場所を定義します。

次のコマンドを実行して、必要な環境変数を設定します。
```
   APPLICATION_ID=APPLICATION_ID
   APP_DISPLAY_NAME="APP_DISPLAY_NAME"
   HOST_NAME=HOST_NAME
   PRIVATE_NETWORK_RESOURCE_NAME=PRIVATE_NETWORK_RESOURCE_NAME
   
```
次のように置き換えます。
- APPLICATION_ID: アプリケーションリソースの一意の ID。
- APP_DISPLAY_NAME: 表示する人が読める形式の名前。
- HOST_NAME: ユーザーがアクセスするプライマリホスト名（例: private.local）。
- PRIVATE_NETWORK_RESOURCE_NAME: VPC ネットワークの完全なリソース名（例: projects/my-project/global/networks/my-network）。
アプリケーションリソースを作成します。
Console

Google Cloud コンソールを使用してアプリケーションリソースを作成するには、次の操作を行います。
1. Google Cloud コンソールで、[セキュアゲートウェイ] ページに移動します。
  セキュアゲートウェイに移動
2. アプリケーションを追加するには、[アプリケーションを追加] をクリックします。
3. アプリケーションの種類として [限定公開アプリケーション] を選択します。
4. アプリケーションの詳細を入力します。
  
  アプリケーション名: 名前を入力します（例: GitHub）。
  
  ドメインマッチャー: セキュアゲートウェイ経由でルーティングするドメインパターンのカンマ区切りのリストを入力します。ポートは domain:port の形式で指定します。ワイルドカード（*）を使用できます。例: github.com:443。
5. VPC ネットワークを構成します。
  
  現在のプロジェクト内: VPC ネットワークが現在のプロジェクトにある場合は、プルダウンから VPC ネットワークを選択します。
  
  別のプロジェクト内: VPC ネットワークが別の Google Cloud プロジェクトにある場合は、VPC ネットワークの完全なリソース名（projects/my-project/global/networks/my-network など）を指定します。
6. 省略可: 下り（外向き）ポリシーを定義する: プルダウンメニューから 1 つ以上の Google Cloud リージョンを選択します。
7. アプリケーションリソースを作成するには、[作成] をクリックします。
gcloud

gcloud を使用してアプリケーションリソースを作成するには、次のコマンドを実行します。
gcloud beyondcorp security-gateways applications create APPLICATION_ID \ --project=PROJECT_ID \ --security-gateway=SECURITY_GATEWAY_ID \ --location=global \ --display-name="APP_DISPLAY_NAME" \ --endpoint-matchers="hostname=HOST_NAME,ports=[443]" \ --upstreams=network=name="PRIVATE_NETWORK_RESOURCE_NAME"
下り（外向き）リージョンを指定するには（たとえば、静的ルートを使用する場合）、--egress-regions フラグを追加します。
gcloud beyondcorp security-gateways applications create APPLICATION_ID \ --project=PROJECT_ID \ --security-gateway=SECURITY_GATEWAY_ID \ --location=global \ --display-name="APP_DISPLAY_NAME" \ --endpoint-matchers="hostname=HOST_NAME,ports=[443]" \ --upstreams=network=name="PRIVATE_NETWORK_RESOURCE_NAME",egressPolicy=regions=us-central1
us-central1 は、リージョン静的ルーティングの設定と一致する Google Cloud リージョン（europe-west1 や asia-northeast1 など）に置き換えます。特定のリージョン静的ルーティング要件がない場合は、構成から下り（外向き）ポリシーを省略できます。
REST

API を使用してアプリケーションリソースを作成する手順は次のとおりです。
1. application.json という名前のファイルを作成します。
  
  { "display_name": "APP_DISPLAY_NAME", "endpoint_matchers": [ {"hostname": "HOST_NAME", "ports": [443]} ], "upstreams": [{ "network": { "name": "PRIVATE_NETWORK_RESOURCE_NAME" } }] }
  
  下り（外向き）リージョンを指定するには（静的ルートを使用する場合など）、アップストリーム構成に egress_policy を追加します。
  
  { "display_name": "APP_DISPLAY_NAME", "endpoint_matchers": [ {"hostname": "HOST_NAME", "ports": [443]} ], "upstreams": [{ "network": { "name": "PRIVATE_NETWORK_RESOURCE_NAME" }, "egress_policy": { "regions": [ "us-central1" ] } }] }
  
  us-central1 は、リージョン静的ルーティングの設定と一致する Google Cloud リージョン（europe-west1 や asia-northeast1 など）に置き換えます。特定のリージョン静的ルーティング要件がない場合は、構成から下り（外向き）ポリシーを省略できます。
2. Create API メソッドを呼び出します。
  
  curl \ -H "Authorization: Bearer $(gcloud auth print-access-token)" \ -H "Content-Type: application/json" \ -X POST \ -d @application.json \ "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID/applications?application_id=APPLICATION_ID"

Google Chrome のプロキシモードを設定する

Google 管理コンソールの Chrome 設定で PAC ファイルを適用することで、アプリケーションのトラフィックをセキュアゲートウェイ経由でルーティングできます。PAC ファイルを適用する手順は次のとおりです。

PAC ファイルを作成または更新する手順は次のとおりです。
- 次の PAC ファイルの例を使用して pac_config.js ファイルを作成し、最初のアプリケーションを作成します。
- 次の PAC ファイルの例に示すように、既存の pac_config.js ファイルを更新し、新しいアプリケーションのドメインをサイト配列に追加します。
```
function FindProxyForURL(url, host) {
  const PROXY = "HTTPS via.prod.securegateway.goog:443";
  const sites = ["HOST_NAME"];

  for (const site of sites) {
    if (shExpMatch(url, 'https://' + site + '/*') || shExpMatch(url, '*.' + site + '/*')) {
      return PROXY;
    }
  }
  return 'DIRECT';
}
      
```
HOST_NAME は、アプリケーションのホスト名（myapp.example.com など）に置き換えます。

セキュアゲートウェイに固有ではない既存の PAC ファイルを使用している場合は、アプリケーションのドメインをサイト配列に追加して、PAC ファイルを統合します。
ファイルをアップロードして、公開でダウンロードできるようにします。たとえば、ファイルを Cloud Storage にアップロードし、バケットで allUsers に Storage オブジェクトのユーザーロールを付与して、ファイルを公開でダウンロードできるようにします。
アップロードしたファイルが最新バージョンであることを確認するには、Cache-Control ヘッダーを no-cache に設定して、キャッシュ動作を調整します。ヘッダーを設定すると、ブラウザと中間サーバーでファイルのコピーが保存されなくなり、Chrome で常に最新のバージョンがダウンロードされるようになります。

Cache-Control とブラウザキャッシュへの影響について詳しくは、Cache-Control ヘッダーをご覧ください。
アップロードしたファイルの公開 URL をコピーします。

プロキシモードの設定を更新する

プロキシモードの設定を更新する手順は次のとおりです。

Google 管理コンソールに移動します。
[デバイス> Chrome > 設定] をクリックします。
組織部門またはグループを選択し、[プロキシモード] をクリックします。
[プロキシモード] で、[常に下記に指定したプロキシの自動設定を使用する] を選択し、Cloud Storage の PAC ファイルの URL を入力します。
プロキシモードの設定を保存するには、[保存] をクリックします。

アクセスポリシーを構成する

アクセスポリシーを適用して、セキュアゲートウェイレベルでアクセスを制御できます。この場合、関連付けられているすべてのアプリケーションに影響します。また、個々のアプリケーションレベルでアクセスを制御することもできます。

Console

ゲートウェイレベルのポリシーを作成する

アクセスポリシーを構成する手順は次のとおりです。

セキュアゲートウェイにリンクされている複数のアプリケーションに適用されるポリシーを作成するには、[ポリシー] ページに移動します。
[ポリシー] に移動
アプリケーションにアクセスポリシーを追加するには、[ポリシーを作成] をクリックします。
プルダウンリストから、ポリシーを適用するアプリケーションを選択します。
ポリシーにプリンシパルを追加します。
プリンシパルは、ユーザー、グループ、ドメイン、またはサービスアカウントです。これらのプリンシパルには、割り当てたアクセスレベルに基づいてアクセス権が付与または拒否されます。
1. プリンシパルを追加するには、[プリンシパルを追加] をクリックします。
2. [プリンシパル] フィールドに、ユーザー、グループ、サービスアカウントのメールアドレスまたはドメイン名を入力します。
3. [アクセスレベル] プルダウンで、事前に定義されたコンテキストアウェアアクセスレベルを 1 つ以上選択します。プリンシパルが選択したアクセスレベルの条件を満たしている場合にのみ、アクセス権が付与されます。
プリンシパルをさらに追加するには、[プリンシパルを追加] をもう一度クリックして、サブステップを繰り返します。

アクセスレベルの作成と管理は、Access Context Manager で行います。
ポリシーをアプリケーションに適用するには、[ポリシーを作成] をクリックします。

アプリケーションレベルのアクセスポリシーを変更する

単一のアプリケーションのポリシーを変更するには、[アプリケーション] ページに移動します。
[アプリケーション] に移動
編集するアプリケーションを見つけるには、次の操作を行います。
1. [アプリケーション] リストで、変更するアプリケーションを検索します。
2. アプリケーションの詳細を表示するには、[その他の操作] メニュー（）をクリックし、[詳細を表示] を選択します。
アプリケーションを編集するには、[編集] をクリックします。
ポリシーにプリンシパルを追加します。
プリンシパルは、ユーザー、グループ、ドメイン、またはサービスアカウントです。これらのプリンシパルには、割り当てたアクセスレベルに基づいてアクセス権が付与または拒否されます。
1. プリンシパルを追加するには、[プリンシパルを追加] をクリックします。
2. [プリンシパル] フィールドに、ユーザー、グループ、サービスアカウントのメールアドレスまたはドメイン名を入力します。
3. [アクセスレベル] プルダウンリストで、事前に定義されたコンテキストアウェアアクセスレベルを 1 つ以上選択します。プリンシパルが選択したアクセスレベルの条件を満たしている場合にのみ、アクセス権が付与されます。
プリンシパルをさらに追加するには、[プリンシパルを追加] をもう一度クリックして、サブステップを繰り返します。

アクセスレベルの作成と管理は、Access Context Manager で行います。
ポリシーをアプリケーションに適用するには、[保存] をクリックします。

gcloud

アクセスポリシーを安全に更新する

setIamPolicy コマンドは、既存のポリシー全体を指定したポリシーに置き換えます。既存の権限を誤って削除しないように、次の「読み取り、変更、書き込み」パターンを使用することをおすすめします。このパターンは、既存の権限が誤って削除されるのを防ぐのに役立ちます。

読み取り: まず、現在のアクセスポリシーを取得します。
変更: ポリシーファイルをローカルで編集して、権限を追加または変更します。
書き込み: 更新したポリシーファイルを適用します。

現在のポリシーを取得する

変更を行う前に、現在のポリシーを取得します。ポリシーの etag フィールドは、バージョン識別子として機能します。これにより、複数の管理者が同時に変更を加えた場合に更新の競合を防ぐことができます。

次のコマンドは、ポリシーを取得して policy.json という名前のファイルに保存します。

gcloud beta beyondcorp security-gateways applications get-iam-policy APPLICATION_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global > policy.json

次のように置き換えます。

APPLICATION_ID: アプリケーションリソースの ID
SECURITY_GATEWAY_ID: セキュアゲートウェイの ID
PROJECT_ID: セキュアゲートウェイが構成されているプロジェクトの ID

このコマンドは、現在のポリシーを含む policy.json ファイルを作成します。

ポリシーファイルを変更する

テキストエディタで policy.json ファイルを開きます。グループにセキュアゲートウェイの使用を許可するには、roles/beyondcorp.securityGatewayUser ロールの members リストにグループを追加します。

policy.json ファイルは次のようになります。

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.securityGatewayUser",
      "members": [
        "group:existing-group@example.com"
      ]
    }
  ],
  "etag": "BwXN8_d-bOM="
}

グループを追加するには、members 配列に新しいエントリを追加します。前のエントリの後にカンマを挿入します。次の例では、new-group@example.com を追加します。

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.securityGatewayUser",
      "members": [
        "group:existing-group@example.com",
        "group:new-group@example.com"
      ]
    }
  ],
  "etag": "BwXN8_d-bOM="
}

ポリシーバインディングでは、serviceAccount、user、group、principal、principalSet などの他のタイプのメンバーを追加することもできます。詳細については、IAM プリンシパルをご覧ください。

更新されたポリシーを適用する

policy.json ファイルを編集して保存したら、setIamPolicy コマンドを使用してリソースに適用します。このコマンドは、ファイルから etag を使用して、正しいバージョンを更新します。

gcloud beta beyondcorp security-gateways applications set-iam-policy APPLICATION_ID policy.json \
    --security-gateway=SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global

次のように置き換えます。

APPLICATION_ID: アプリケーションリソースの ID
SECURITY_GATEWAY_ID: セキュアゲートウェイの ID
PROJECT_ID: セキュアゲートウェイが構成されているプロジェクトの ID

条件付きアクセスポリシーを追加する

条件付きのアクセスポリシーを設定することもできます。条件では、特定の場所から発信されたユーザーの IP アドレスなどの要件を指定します。

次のポリシーの例では、送信元 IP アドレスが指定されたアクセスレベル内にある場合にのみアクセス権が付与されます。

  {
    "version": 3,
    "bindings": [
      {
        "role": "roles/beyondcorp.securityGatewayUser",
        "members": [
          "group:group@example.com"
        ],
        "condition": {
          "expression": "request.auth.access_levels.contains('accessPolicies/1234567890/accessLevels/in_us')",
          "title": "Source IP must be in US"
        }
      }
    ],
    "etag": "BwXN8_d-bOM="
  }

このポリシーを適用するには、前述の手順に沿って操作します。

REST

アクセスポリシーを安全に更新する

読み取り: 現在のアクセスポリシーをファイルに保存します。
変更: ポリシーファイルをローカルで編集して、権限を追加または変更します。
書き込み: 更新したポリシーファイルを適用します。

現在のポリシーを取得する

次のコマンドは、ポリシーを取得して policy.json という名前のファイルに保存します。

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID/applications/APPLICATION_ID:getIamPolicy" > policy.json

次のように置き換えます。

PROJECT_ID: セキュアゲートウェイが構成されているプロジェクトの ID
SECURITY_GATEWAY_ID: セキュアゲートウェイの ID
APPLICATION_ID: アプリケーションリソースの ID

このコマンドは、現在のポリシーを含む policy.json ファイルを作成します。

ポリシーファイルを変更する

セキュアゲートウェイを使用するアクセス権をグループに付与する手順は次のとおりです。

テキストエディタで policy.json ファイルを開きます。
roles/beyondcorp.securityGatewayUser ロールの members リストにグループを追加します。

policy.json ファイルは次のようになります。

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.securityGatewayUser",
      "members": [
        "group:existing-group@example.com"
      ]
    }
  ],
  "etag": "BwXN8_d-bOM="
}

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.securityGatewayUser",
      "members": [
        "group:existing-group@example.com",
        "group:new-group@example.com"
      ]
    }
  ],
  "etag": "BwXN8_d-bOM="
}

更新されたポリシーを適用する

jq '{policy: .}' policy.json | curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -d @- \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID/applications/APPLICATION_ID:setIamPolicy"

次のように置き換えます。

PROJECT_ID: セキュアゲートウェイが構成されているプロジェクトの ID
SECURITY_GATEWAY_ID: セキュアゲートウェイの ID
APPLICATION_ID: アプリケーションリソースの ID

条件付きアクセスポリシーを追加する

条件付きのアクセスポリシーを設定することもできます。条件では、特定の場所から発信されたユーザーの IP アドレスなどの要件を指定します。

次のポリシーの例では、送信元 IP アドレスが指定されたアクセスレベル内にある場合にのみアクセス権が付与されます。

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.securityGatewayUser",
      "members": [
        "group:group@example.com"
      ],
      "condition": {
        "expression": "request.auth.access_levels.contains('accessPolicies/1234567890/accessLevels/in_us')",
        "title": "Source IP must be in US"
      }
    }
  ],
  "etag": "BwXN8_d-bOM="
}

このポリシーを適用するには、前述の手順に沿って操作します。

コンテキストアウェアアクセスでセキュリティを強化する

セキュリティをさらに強化し、管理対象の Google Chrome インスタンスのみがセキュリティゲートウェイを介してウェブアプリケーションにアクセスできるようにするには、コンテキストアウェアアクセス（CAA）ルールを追加することをおすすめします。このルールは、ユーザーの Chrome プロファイルが管理下にあることを確認し、管理対象外または悪意のあるブラウザからの不正使用を防ぎます。

これを実装するには、Chrome Enterprise Premium Access Context Manager のアクセスレベルに条件を追加します。条件の例を次に示します。

  device.chrome.management_state == ChromeManagementState.CHROME_MANAGEMENT_STATE_PROFILE_MANAGED

Chrome Enterprise Premium 拡張機能をインストールする

Chrome Enterprise Premium 拡張機能は、セキュアゲートウェイに不可欠な要素で、認証をスムーズに行えるようにします。この拡張機能は、セキュアゲートウェイのすべてのユーザーにインストールする必要があります。拡張機能のデプロイについては、アプリや拡張機能を表示、設定するをご覧ください。Chrome Enterprise Premium 拡張機能をインストールするには、次の操作を行います。

Google 管理コンソールに移動します。
[Chrome ブラウザ] > [アプリと拡張機能] をクリックします。
[ユーザーとブラウザ] タブをクリックします。
Chrome 拡張機能を追加するには、[+] ボタンをクリックします。
次の拡張機能を検索し、組織部門またはグループ内のすべてのユーザーにインストールを必須にします。
```
ekajlcmdfcigmdbphhifahdfjbkciflj
```
インストールした拡張機能をクリックし、[拡張機能のポリシー] フィールドに次の JSON 値を入力します。
```
{
  "securityGateway": {
    "Value": {
      "authentication": {},
      "context": { "resource": "projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID" }
    }
  }
}
```
次のように置き換えます。
- PROJECT_ID: セキュアゲートウェイが構成されているプロジェクトの ID
- SECURITY_GATEWAY_ID: セキュアゲートウェイの ID
構成を保存するには、[保存] をクリックします。

エンドユーザーエクスペリエンス

設定が完了すると、保護された SaaS アプリケーションにアクセスしたエンドユーザーは、アプリケーションに適用されたアクセスポリシーに基づいてアクセスが許可または拒否されます。

Chrome でアプリケーションにアクセスする

トラフィックがセキュアゲートウェイを経由するよう制御するには、Chrome Enterprise Premium 拡張機能が必要です。拡張機能は、ユーザーとセキュアゲートウェイ間の認証を処理します。この拡張機能はドメインポリシーによって自動的にインストールされます。

ユーザーが構成した SaaS アプリケーションにアクセスすると、トラフィックがセキュアゲートウェイを経由し、アクセスポリシーを満たしているかどうかがここでチェックされます。ユーザーがアクセスポリシーのチェックに合格すると、アプリケーションへのアクセス権が付与されます。

アプリケーションへのブラウザアクセスが認証ポリシーによって拒否された場合、ユーザーに Access denied メッセージが表示されます。

限定公開ウェブ アプリケーションへの安全なアクセス コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

限定公開ウェブ アプリケーションへのアクセスを保護する仕組み

必要なロール

始める前に

シェル環境の設定

セキュア ゲートウェイを作成する

Console

gcloud

REST

プライベート ウェブ アプリケーションを構成する

サービス アカウントに権限を付与する

gcloud

REST

ネットワーク ルーティングとファイアウォール ルールを構成する

Google Cloud内のアプリケーションのファイアウォール ルール

非Google Cloud 環境のアプリケーションのファイアウォール ルール

非Google Cloud 環境からセキュア ゲートウェイへのルーティングを構成する

セキュア ゲートウェイのプライベート ホスト名解決の DNS 構成

アプリケーション リソースを作成する

Console

gcloud

REST

Google Chrome のプロキシモードを設定する

プロキシモードの設定を更新する

アクセス ポリシーを構成する

Console

ゲートウェイ レベルのポリシーを作成する

アプリケーション レベルのアクセス ポリシーを変更する

gcloud

アクセス ポリシーを安全に更新する

現在のポリシーを取得する

ポリシー ファイルを変更する

更新されたポリシーを適用する

条件付きアクセス ポリシーを追加する

REST

アクセス ポリシーを安全に更新する

現在のポリシーを取得する

ポリシー ファイルを変更する

更新されたポリシーを適用する

条件付きアクセス ポリシーを追加する

コンテキストアウェア アクセスでセキュリティを強化する

Chrome Enterprise Premium 拡張機能をインストールする

エンドユーザー エクスペリエンス

Chrome でアプリケーションにアクセスする

次のステップ

限定公開ウェブアプリケーションへの安全なアクセス

限定公開ウェブアプリケーションへのアクセスを保護する仕組み

セキュアゲートウェイを作成する

プライベートウェブアプリケーションを構成する

サービスアカウントに権限を付与する

ネットワークルーティングとファイアウォールルールを構成する

Google Cloud内のアプリケーションのファイアウォールルール

非Google Cloud 環境のアプリケーションのファイアウォールルール

非Google Cloud 環境からセキュアゲートウェイへのルーティングを構成する

セキュアゲートウェイのプライベートホスト名解決の DNS 構成

アプリケーションリソースを作成する

アクセスポリシーを構成する

ゲートウェイレベルのポリシーを作成する

アプリケーションレベルのアクセスポリシーを変更する

アクセスポリシーを安全に更新する

ポリシーファイルを変更する

条件付きアクセスポリシーを追加する

アクセスポリシーを安全に更新する

ポリシーファイルを変更する

条件付きアクセスポリシーを追加する

コンテキストアウェアアクセスでセキュリティを強化する

エンドユーザーエクスペリエンス