SaaS アプリケーションへのセキュアなアクセス

このページでは、Chrome Enterprise Premium セキュアゲートウェイを使用して SaaS アプリケーションを保護するプロセスについて説明します。

Chrome Enterprise Premium の安全なゲートウェイは、フォワードプロキシとして機能し、ゼロトラストアクセスフレームワークを適用して、SaaS アプリケーションにアクセスするユーザーをきめ細かくコンテキストアウェアに制御します。

SaaS アプリケーションへのアクセスを保護する仕組み

セキュアゲートウェイが SaaS アプリケーションを保護する仕組みの概要は次のとおりです。

クライアントサイドのブラウザ設定により、アプリケーショントラフィックが安全なゲートウェイプロキシ経由でルーティングされます。
セキュアゲートウェイは、コンテキストアウェアアクセスポリシーをチェックして、クライアント（ユーザーとデバイス）のアクセスを承認します。
クライアントアクセスが許可されている場合、ゲートウェイは、そのゲートウェイとリージョンに割り当てられた一意の送信元 IP アドレスを使用して、トラフィックをアプリケーションに転送します。 Google Cloud 割り当てられた IP アドレスは、作成したゲートウェイ専用に予約されており、他のユーザーやゲートウェイでは使用できません。アクセスを制御するには、これらの専用の送信元 IP アドレスを SaaS アプリケーションの許可リストに追加します。

始める前に

セキュアゲートウェイを設定する前に、次のことを確認してください。

Chrome Enterprise Premium ライセンス
管理者アカウントで Google 管理コンソールにアクセスできること
請求先アカウントが割り当てられ、次の API が有効になっている Google Cloud プロジェクト: BeyondCorp API
設定を行う管理者に付与される次の Identity and Access Management（IAM）ロール: プロジェクトレベル: Cloud BeyondCorp 管理者（beyondcorp.admin）。
保護する SaaS アプリケーション。Secure Gateway のセキュリティチェックを適用するため、アプリケーションで IP allowlisting がサポートされている必要があります。

制限事項

Chrome Enterprise Premium セキュアゲートウェイには、次の制限事項があります。

IPv6 接続: Chrome Enterprise Premium セキュアゲートウェイは、IPv6 接続を使用する SaaS アプリケーションをサポートしていません。
SaaS アプリケーションとしての ID プロバイダ: エンドユーザーの Secure Gateway による認証が同じ IdP に依存している場合、セキュアゲートウェイで保護されるように ID プロバイダを SaaS アプリケーションとして構成することはできません。

シェル環境の設定

作業シェルで次の環境変数を定義して、設定プロセスを合理化し、セキュアゲートウェイ API と通信できるようにします。

一般的なパラメータ
```
API="beyondcorp.googleapis.com"
API_VERSION=v1
PROJECT_ID=PROJECT_ID
APPLICATION_ID=APPLICATION_ID
APPLICATION_DISPLAY_NAME="APPLICATION_DISPLAY_NAME"
HOST_NAME=HOST_NAME
```
次のように置き換えます。
- PROJECT_ID: セキュアゲートウェイが作成されるプロジェクトの ID。
- APPLICATION_ID: アプリケーションの ID（github など）。名前は最大 63 文字で、小文字、数字、ハイフンを使用できます。先頭文字は英字にする必要があり、末尾の文字は英字または数字にすることができます。
- APPLICATION_DISPLAY_NAME: 表示する人が読める形式の名前。
- HOST_NAME: アプリケーションのホスト名。例: github.comホスト名は最大 253 文字で、次のいずれかの形式に準拠する必要があります。
  - 有効な IPv4 アドレス
  - 有効な IPv6 アドレス
  - 有効な DNS 名
  - アスタリスク（*）
  - アスタリスク（*）の後に有効な DNS 名
セキュアゲートウェイのパラメータ
```
SECURITY_GATEWAY_ID=SECURITY_GATEWAY_ID
SECURITY_GATEWAY_DISPLAY_NAME="SECURITY_GATEWAY_DISPLAY_NAME"
```
次のように置き換えます。
- SECURITY_GATEWAY_ID: セキュアゲートウェイの ID。ID は 63 文字以下で、小文字、数字、ハイフンを使用できます。最初の文字は英字に、最後の文字は英字または数字にしてください。
- SECURITY_GATEWAY_DISPLAY_NAME: 人が読める形式のセキュアゲートウェイの名前。名前は最大 63 文字で、印刷可能な文字のみを含めることができます。

セキュアゲートウェイを作成する

Chrome Enterprise Premium セキュアゲートウェイは、アプリケーションへの安全な接続を確立するための基本的な構成要素となります。専用のプロジェクトとネットワークを割り当て、分離とセキュリティを確保します。

セキュアゲートウェイリソースを作成するには、次のいずれかの方法を使用します。

gcloud

以下のコマンドを実行します。--hubs フラグには、次のリストから 1 つ以上のリージョンを指定します。

gcloud beyondcorp security-gateways create ${SECURITY_GATEWAY_ID} \
  --project=${PROJECT_ID} \
  --location=global \
  --display-name="SECURITY_GATEWAY_DISPLAY_NAME" \
  --hubs=us-central1

REST

リクエスト本文にゲートウェイの詳細を指定して、Create API メソッドを呼び出します。hubs オブジェクトには、次のリストから 1 つ以上のリージョンを指定します。

curl \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-X POST \
-d '{ "display_name": "SECURITY_GATEWAY_DISPLAY_NAME", "hubs": { "us-central1": {} } }' \
"https://${API}/${API_VERSION}/projects/${PROJECT_ID}/locations/global/securityGateways?security_gateway_id=${SECURITY_GATEWAY_ID}"

hubs は、ターゲットアプリケーションへの下り（外向き）接続を有効にするために必要なリージョンリソースを表します。リージョンごとに 1 つのハブを設定でき、各ハブは 2 つの IP アドレスを提供します。次のリージョンを指定できます。

africa-south1
asia-east1
asia-south1
asia-south2
asia-southeast1
europe-central2
europe-north1
europe-southwest1
europe-west1
europe-west2
europe-west3
europe-west4
europe-west8
europe-west9
northamerica-northeast1
northamerica-northeast2
northamerica-south1
southamerica-east1
southamerica-west1
us-central1
us-east1
us-east4
us-east5
us-west1

SaaS アプリケーションを構成する

セキュアゲートウェイを作成したら、セキュアアクセスにセキュアゲートウェイを使用するように SaaS アプリケーションを構成できます。

セキュアゲートウェイによって各ハブに割り振られた IP アドレスを取得します。リージョンに 2 つの IP アドレスが割り当てられます。

gcloud

gcloud beyondcorp security-gateways describe ${SECURITY_GATEWAY_ID} \
--project=${PROJECT_ID} \
--location=global

REST

curl \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://${API}/${API_VERSION}/projects/${PROJECT_ID}/locations/global/securityGateways/${SECURITY_GATEWAY_ID}"

hubs を含むセキュアゲートウェイの GET レスポンスの例を次に示します。この例では、hubs は us-central1 リージョンと us-east1 リージョンに作成されます。また、レスポンスで返されたすべての IP アドレスを SaaS アプリケーションで許可する必要があります。

gcloud

createTime: 'CREATE_TIME'
displayName: My security gateway
hubs:
  us-central1:
    internetGateway:
      assignedIps:
      - IP_ADDRESS_1
      - IP_ADDRESS_2
  us-east1:
    internetGateway:
      assignedIps:
      - IP_ADDRESS_1
      - IP_ADDRESS_2
name: projects/${PROJECT_ID}/locations/global/securityGateways/${SECURITY_GATEWAY_ID}
state: RUNNING
updateTime: 'UPDATE_TIME'

REST

{
  "securityGateways": [
    {
      "name": "projects/${PROJECT_ID}/locations/global/securityGateways/${SECURITY_GATEWAY_ID}",
      "createTime": "CREATE_TIME",
      "updateTime": "UPDATE_TIME",
      "displayName": "My security gateway",
      "state": "RUNNING",
      "hubs": {
        "us-central1": {
          "internetGateway": {
            "assignedIps": [
              "IP_ADDRESS_1",
              "IP_ADDRESS_2",
            ]
          }
        },
        "us-east1": {
          "internetGateway": {
            "assignedIps": [
              "IP_ADDRESS_1",
              "IP_ADDRESS_2",
            ]
          }
        }
      }
    }
  ]
}

IP アドレスを SaaS アプリケーションの IP 許可リストに追加します。たとえば、GitHub アプリケーションの場合は、こちらのガイド（組織に許可された IP アドレスを管理する）をご確認ください。

アプリケーションリソースを作成する

以降では、安全なゲートウェイアプリケーションリソースを設定して構成する手順について説明します。

Google Cloudで安全なゲートウェイアプリケーションリソースを作成する

Google Cloud アプリケーションリソースは、セキュアゲートウェイリソースのサブリソースです。Create API を呼び出して、アプリケーションリソースを作成します。

gcloud

gcloud beyondcorp security-gateways applications create ${APPLICATION_ID} \
  --project=${PROJECT_ID} \
  --security-gateway=${SECURITY_GATEWAY_ID} \
  --location=global \
  --display-name="${APPLICATION_DISPLAY_NAME}" \
  --endpoint-matchers="hostname=${HOST_NAME},ports=[443]"

REST

curl \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-X POST \
-d "{ \"display_name\": \"${APPLICATION_DISPLAY_NAME}\", \"endpoint_matchers\": [{hostname: \"${HOST_NAME}\", ports: [443]}] }" \
"https://${API}/${API_VERSION}/projects/${PROJECT_ID}/locations/global/securityGateways/${SECURITY_GATEWAY_ID}/applications?application_id=${APPLICATION_ID}"

Google Chrome のプロキシモードを設定する

Google 管理コンソールの Chrome 設定で PAC ファイルを適用することで、アプリケーションのトラフィックを安全なゲートウェイ経由でルーティングできます。PAC ファイルを適用する手順は次のとおりです。

PAC ファイルを作成または更新します。
- 次の PAC ファイルの例を使用して pac_config.js ファイルを作成し、最初のアプリケーションを作成します。
- 既存の pac_config.js ファイルを更新し、次の PAC ファイルの例に示すように、新しいアプリケーションのドメインをサイト配列に追加します。
```
function FindProxyForURL(url, host) {
 const PROXY = "HTTPS ingress.cloudproxy.app:443";
 const sites = ["HOST_NAME"];

 for (const site of sites) {
   if (shExpMatch(url, 'https://' + site + '/*') || shExpMatch(url, '*.' + site + '/*')) {
     return PROXY;
   }
 }
return 'DIRECT';
}
```
HOST_NAME は、アプリケーションのホスト名（myapp.example.com など）に置き換えます。

セキュアゲートウェイに固有ではない既存の PAC ファイルを使用している場合は、アプリケーションのドメインをサイト配列に追加して、PAC ファイルを統合します。
ファイルをアップロードして、公開でダウンロードできるようにします。たとえば、ファイルを Cloud Storage にアップロードし、バケットでユーザー全員に Storage オブジェクトのユーザーロールを付与して、ファイルを公開でダウンロードできるようにします。
アップロードしたファイルが最新バージョンであることを確認するには、Cache-Control ヘッダーを no-cache に設定して、キャッシュ動作を調整します。この設定により、ブラウザと中間サーバーでファイルのコピーが保存されなくなり、Chrome で常に最新のバージョンがダウンロードされるようになります。

Cache-Control とブラウザキャッシュへの影響について詳しくは、Cache-Control ヘッダーをご覧ください。
アップロードしたファイルの公開 URL をコピーします。

プロキシモードの設定を更新する

Google 管理コンソールに移動します。
[デバイス> Chrome > 設定] をクリックします。
組織部門またはグループを選択し、[プロキシモード] をクリックします。
[プロキシモード] で、[常に下記に指定したプロキシの自動設定を使用する] を選択し、Cloud Storage の PAC ファイルの URL を入力します。
プロキシモードの設定を保存するには、[保存] をクリックします。

アクセスポリシーを構成する

アクセスポリシーを適用して、関連付けられているすべてのアプリケーションに影響するセキュアゲートウェイレベルでアクセスを制御することも、よりきめ細かい制御を行うために個々のアプリケーションレベルでアクセスを制御することもできます。

アクセスポリシーを安全に更新する

setIamPolicy コマンドは、既存のポリシー全体を指定したポリシーに置き換えます。既存の権限を誤って削除しないように、次の「読み取り、変更、書き込み」パターンを使用することをおすすめします。このパターンは、既存の権限が誤って削除されるのを防ぐのに役立ちます。

読み取り: まず、現在のアクセスポリシーを取得します。
変更: ポリシーファイルをローカルで編集して、権限を追加または変更します。
書き込み: 更新したポリシーファイルを適用します。

現在のポリシーを取得する

変更を行う前に、現在のポリシーを取得します。

ポリシーの etag フィールドは、バージョン識別子として機能します。これにより、複数の管理者が同時に変更を行った場合に発生する更新の競合を防ぐことができます。

次のコマンドは、ポリシーを取得して policy.json という名前のファイルに保存します。

gcloud

gcloud beta beyondcorp security-gateways applications get-iam-policy APPLICATION_ID \
  --security-gateway=SECURITY_GATEWAY_ID \
  --project=PROJECT_ID \
  --location=global > policy.json

次のように置き換えます。

APPLICATION_ID: アプリケーションリソースの ID
SECURITY_GATEWAY_ID: セキュリティゲートウェイの ID
PROJECT_ID: セキュリティゲートウェイが構成されているプロジェクトの ID

REST

curl \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://${API}/${API_VERSION}/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID/applications/APPLICATION_ID:getIamPolicy" > policy.json

次のように置き換えます。

PROJECT_ID: セキュリティゲートウェイが構成されているプロジェクトの ID
SECURITY_GATEWAY_ID: セキュリティゲートウェイの ID
APPLICATION_ID: アプリケーションリソースの ID

このコマンドは、現在のポリシーを含む policy.json ファイルを作成します。

ポリシーファイルを変更する

テキストエディタで policy.json ファイルを開きます。グループにセキュアゲートウェイの使用権限を付与するには、roles/beyondcorp.securityGatewayUser ロールの members リストにグループを追加します。

policy.json ファイルは次のようになります。

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.securityGatewayUser",
      "members": [
        "group:existing-group@example.com"
      ]
    }
  ],
  "etag": "BwXN8_d-bOM="
}

グループを追加するには、members 配列に新しいエントリを追加します。前のエントリの後にカンマを含めます。

次の例では、new-group@example.com を追加します。

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.securityGatewayUser",
      "members": [
        "group:existing-group@example.com",
        "group:new-group@example.com"
      ]
    }
  ],
  "etag": "BwXN8_d-bOM="
}

ポリシーバインディングで、serviceAccount、user、group、principal、principalSet などの他のタイプのメンバーを追加することもできます。詳細については、IAM プリンシパルをご覧ください。

更新されたポリシーを適用する

policy.json ファイルを編集して保存したら、setIamPolicy コマンドを使用してリソースに適用します。このコマンドは、ファイルから etag を使用して、正しいバージョンを更新します。

gcloud

gcloud beta beyondcorp security-gateways applications set-iam-policy APPLICATION_ID policy.json \
  --security-gateway=SECURITY_GATEWAY_ID \
  --project=PROJECT_ID \
  --location=global

次のように置き換えます。

APPLICATION_ID: アプリケーションリソースの ID
SECURITY_GATEWAY_ID: セキュリティゲートウェイの ID
PROJECT_ID: セキュリティゲートウェイが構成されているプロジェクトの ID

REST

jq '{policy: .}' policy.json | curl -X POST \
  -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  -H "Content-Type: application/json" \
  -d @- \
  "https://${API}/${API_VERSION}/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID/applications/APPLICATION_ID:setIamPolicy"

次のように置き換えます。

PROJECT_ID: セキュリティゲートウェイが構成されているプロジェクトの ID
SECURITY_GATEWAY_ID: セキュリティゲートウェイの ID
APPLICATION_ID: アプリケーションリソースの ID

条件付きアクセスポリシーを追加する

条件付きのアクセスポリシーを設定することもできます。条件では、特定の場所から発信されたユーザーの IP アドレスなどの要件を指定します。

次のポリシーの例では、送信元 IP アドレスが指定されたアクセスレベル内にある場合にのみアクセス権を付与します。

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.securityGatewayUser",
      "members": [
        "group:group@example.com"
      ],
      "condition": {
        "expression": "request.auth.access_levels.contains('accessPolicies/1234567890/accessLevels/in_us')",
        "title": "Source IP must be in US"
      }
    }
  ],
  "etag": "BwXN8_d-bOM="
}

このポリシーを適用するには、前述の手順に沿って操作します。

Chrome Enterprise Premium 拡張機能をインストールする

Chrome Enterprise Premium 拡張機能は、セキュアゲートウェイに不可欠な要素で、認証をスムーズに行えるようにします。この拡張機能は、セキュアゲートウェイのすべてのユーザーにインストールします。拡張機能のデプロイについては、アプリや拡張機能を表示、設定するをご覧ください。Chrome Enterprise Premium 拡張機能をインストールする手順は次のとおりです。

Google 管理コンソールに移動します。
[Chrome ブラウザ] > [アプリと拡張機能] をクリックします。
[ユーザーとブラウザ] タブをクリックします。
Chrome 拡張機能を追加するには、[+] ボタンをクリックします。
次の拡張機能を検索し、組織部門またはグループ内のすべてのユーザーにインストールを必須にします。
```
ekajlcmdfcigmdbphhifahdfjbkciflj
```
インストールした拡張機能をクリックし、[拡張機能のポリシー] フィールドに次の JSON 値を入力します。
```
{
  "securityGateway": {
    "Value": {
      "authentication": {},
      "context": { "resource": "projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID" }
    }
  }
}
```
次のように置き換えます。
- PROJECT_ID: セキュリティゲートウェイが構成されているプロジェクトの ID
- SECURITY_GATEWAY_ID: セキュリティゲートウェイの ID
構成を保存するには、[保存] をクリックします。

エンドユーザーエクスペリエンス

設定が完了すると、保護された SaaS アプリケーションにアクセスしたエンドユーザーは、アプリケーションに適用されたアクセスポリシーに基づいてアクセスが許可または拒否されます。

Chrome でアプリケーションにアクセスする

トラフィックが安全なゲートウェイを経由するよう制御するには、Chrome Enterprise Premium 拡張機能が必要です。この拡張機能は、ユーザーとセキュアゲートウェイ間の認証を処理します。この拡張機能はドメインポリシーによって自動的にインストールされます。

ユーザーが構成した SaaS アプリケーションにアクセスすると、トラフィックがセキュアゲートウェイを経由し、アクセスポリシーを満たしているかどうかがここでチェックされます。ユーザーがアクセスポリシーのチェックに合格すると、アプリケーションへのアクセス権が付与されます。

アプリケーションへのブラウザアクセスが認証ポリシーによって拒否された場合、ユーザーに Access denied メッセージが表示されます。

SaaS アプリケーションへのセキュアなアクセス コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

SaaS アプリケーションへのアクセスを保護する仕組み

始める前に

制限事項

シェル環境の設定

セキュア ゲートウェイを作成する

gcloud

REST

SaaS アプリケーションを構成する

gcloud

REST

gcloud

REST

アプリケーション リソースを作成する

Google Cloudで安全なゲートウェイ アプリケーション リソースを作成する

gcloud

REST

Google Chrome のプロキシモードを設定する

プロキシモードの設定を更新する

アクセス ポリシーを構成する

アクセス ポリシーを安全に更新する

現在のポリシーを取得する

gcloud

REST

ポリシー ファイルを変更する

更新されたポリシーを適用する

gcloud

REST

条件付きアクセス ポリシーを追加する

Chrome Enterprise Premium 拡張機能をインストールする

エンドユーザー エクスペリエンス

Chrome でアプリケーションにアクセスする

次のステップ

SaaS アプリケーションへのセキュアなアクセス

セキュアゲートウェイを作成する

アプリケーションリソースを作成する

Google Cloudで安全なゲートウェイアプリケーションリソースを作成する

アクセスポリシーを構成する

アクセスポリシーを安全に更新する

ポリシーファイルを変更する

条件付きアクセスポリシーを追加する

エンドユーザーエクスペリエンス