Sicherer Zugriff auf SaaS-Anwendungen

Auf dieser Seite erfahren Sie, wie Sie Ihre SaaS-Anwendungen über das sichere Gateway von Chrome Enterprise Premium schützen.

Ein sicheres Gateway von Chrome Enterprise Premium fungiert als Forward-Proxy, der ein Zero-Trust-Zugriffsframework erzwingt und eine detaillierte, kontextsensitive Kontrolle darüber bietet, wer auf Ihre SaaS-Anwendungen zugreift.

So funktioniert der sichere Zugriff auf SaaS-Anwendungen

Im Folgenden finden Sie eine allgemeine Übersicht darüber, wie ein sicheres Gateway Ihre SaaS-Anwendungen schützt:

  1. Die clientseitigen Browsereinstellungen leiten den Anwendungstraffic über einen sicheren Gateway-Proxy weiter.
  2. Das sichere Gateway prüft die Richtlinien für den kontextsensitiven Zugriff, um den Zugriff von Clients (Nutzer und Geräte) zu autorisieren.
  3. Wenn der Clientzugriff zulässig ist, leitet das Gateway den Traffic an die Anwendung weiter. Dazu werden eindeutige Quell-IP-Adressen verwendet, die diesem Gateway und der Region Google Cloudzugewiesen sind. Diese zugewiesenen IP-Adressen sind ausschließlich für das von Ihnen erstellte Gateway reserviert und können nicht von anderen Nutzern oder Gateways verwendet werden. Um den Zugriff zu steuern, können Sie diese dedizierten Quell-IP-Adressen einer Zulassungsliste in Ihrer SaaS-Anwendung hinzufügen.

Erforderliche Rollen

Bitten Sie Ihren Administrator, die folgenden Rollen zuzuweisen:

Weitere Informationen zu IAM-Rollen (Identity and Access Management)

Erforderliche Chrome Enterprise-Richtlinien

Für die Proxy-Authentifizierung des sicheren Gateways ist das HTTP-Authentifizierungsschema Basic erforderlich. Wenn Sie Chrome Enterprise-Authentifizierungsrichtlinien für Ihre Organisation konfigurieren, prüfen Sie die folgenden Richtlinieneinstellungen:

  • AuthSchemes muss die basic-Authentifizierung enthalten (standardmäßig aktiviert, wenn die Richtlinie nicht festgelegt ist). Andere Werte in dieser Richtlinie haben keinen Einfluss auf die Proxy-Authentifizierung für das sichere Gateway.

  • BasicAuthOverHttpEnabled muss auf 0 (false oder deaktiviert) gesetzt sein, um die Verwendung des Authentifizierungsschemas Basic für nicht sichere HTTP-Verbindungen zu verhindern.

Hinweis

Bevor Sie das sichere Gateway einrichten, müssen die folgenden Voraussetzungen erfüllt sein:

Beschränkungen

Für ein sicheres Gateway von Chrome Enterprise Premium gelten die folgenden Einschränkungen:

  • IPv6-Konnektivität: Das sichere Gateway von Chrome Enterprise Premium unterstützt keine SaaS-Anwendungen, die IPv6-Konnektivität verwenden.
  • Identitätsanbieter als SaaS-Anwendung: Ein Identitätsanbieter darf nicht als SaaS-Anwendung konfiguriert werden, die durch das sichere Gateway geschützt werden soll, wenn die Authentifizierung des Endnutzers beim sicheren Gateway vom selben IdP abhängt.

Shell-Umgebung einrichten

Um die Einrichtung zu vereinfachen und mit den APIs der sicheren Gateways zu interagieren, definieren Sie die folgenden Umgebungsvariablen in Ihrer Arbeits-Shell.

  • Allgemeine Parameter

    PROJECT_ID=PROJECT_ID
APPLICATION_ID=APPLICATION_ID
APPLICATION_DISPLAY_NAME="APPLICATION_DISPLAY_NAME"
HOST_NAME=HOST_NAME

    Ersetzen Sie Folgendes:

    • PROJECT_ID: Die ID des Projekts, in dem das sichere Gateway erstellt wird.
    • APPLICATION_ID: Die ID Ihrer Anwendung, z. B. github. Der Name darf maximal 63 Zeichen lang sein und kann Kleinbuchstaben, Ziffern und Bindestriche enthalten. Das erste Zeichen muss ein Buchstabe sein und das letzte Zeichen kann ein Buchstabe oder eine Ziffer sein.
    • APPLICATION_DISPLAY_NAME: Der menschenlesbare Name, der angezeigt werden soll.

    • HOST_NAME: Der Hostname Ihrer Anwendung. Beispiel: github.com. Der Hostname darf maximal 253 Zeichen lang sein und muss eines der folgenden Formate haben:

      • Eine gültige IPv4-Adresse
      • Eine gültige IPv6-Adresse
      • Einen gültigen DNS-Namen
      • Ein Sternchen (*)
      • Ein Sternchen (*) gefolgt von einem gültigen DNS-Namen

  • Parameter für das sichere Gateway

    SECURITY_GATEWAY_ID=SECURITY_GATEWAY_ID
SECURITY_GATEWAY_DISPLAY_NAME="SECURITY_GATEWAY_DISPLAY_NAME"

    Ersetzen Sie Folgendes:

    • SECURITY_GATEWAY_ID: Die ID des sicheren Gateways. Die ID darf maximal 63 Zeichen lang sein und kann Kleinbuchstaben, Ziffern und Bindestriche enthalten. Das erste Zeichen muss ein Buchstabe sein und das letzte Zeichen kann ein Buchstabe oder eine Ziffer sein.
    • SECURITY_GATEWAY_DISPLAY_NAME: Der menschenlesbare Name des sicheren Gateways. Der Name kann bis zu 63 Zeichen lang sein und nur druckbare Zeichen enthalten.

Sicheres Gateway erstellen

Ein sicheres Gateway von Chrome Enterprise Premium ist ein grundlegender Baustein für die Einrichtung sicherer Verbindungen zu Ihren Anwendungen. Es weist ein dediziertes Projekt und Netzwerk zu, was für Isolation und Sicherheit sorgt.

Console

So erstellen Sie eine sichere Gateway-Ressource:

  1. Rufen Sie in der Google Cloud Console die Seite Sicheres Gateway auf.
    Zum sicheren Gateway
  2. Wählen Sie das Projekt aus, für das Sie das sichere Gateway erstellen möchten.
  3. Klicken Sie auf Neues Gateway erstellen, um ein sicheres Gateway zu erstellen, und warten Sie, bis der Vorgang abgeschlossen ist.
  4. Sie können den Fortschritt im Bereich „Benachrichtigungen“ der Google Cloud Console verfolgen.
  5. Bevor Sie eine SaaS-Anwendungsressource erstellen, sollten Sie Hubs für ausgehenden SaaS-Traffic erstellen. Das Flag hubs steht für die regionalen Ressourcen, die zum Aktivieren der ausgehenden Verbindung zur Zielanwendung erforderlich sind. Sie können einen Hub pro Region konfigurieren. Jeder Hub stellt zwei IP-Adressen bereit. Ein sicheres Gateway kann maximal 20 Hubs haben. Sie können die folgenden Regionen angeben:
    • africa-south1
    • asia-east1
    • asia-east2
    • asia-northeast1
    • asia-northeast2
    • asia-northeast3
    • asia-south1
    • asia-south2
    • asia-southeast1
    • asia-southeast2
    • asia-southeast3
    • australia-southeast2
    • europe-central2
    • europe-north1
    • europe-north2
    • europe-southwest1
    • europe-west1
    • europe-west10
    • europe-west12
    • europe-west2
    • europe-west3
    • europe-west4
    • europe-west6
    • europe-west8
    • europe-west9
    • me-central1
    • me-central2
    • me-west1
    • northamerica-northeast1
    • northamerica-northeast2
    • northamerica-south1
    • southamerica-east1
    • southamerica-west1
    • us-central1
    • us-central2
    • us-east1
    • us-east4
    • us-east5
    • us-east7
    • us-south1
    • us-west1
    • us-west2
    • us-west3
    • us-west4
    • us-west8
  6. Rufen Sie in der Google Cloud Console die Seite SaaS-Hubs für ausgehenden Traffic auf.
    Zu SaaS-Hubs für ausgehenden Traffic
  7. Wählen Sie das Projekt aus, für das Sie die SaaS-Hubs für ausgehenden Traffic erstellen möchten.
  8. Klicken Sie auf SaaS-Hub für ausgehenden Traffic hinzufügen, um einen SaaS-Hub für ausgehenden Traffic hinzuzufügen.
  9. Wählen Sie in der Drop-down-Liste die Regionen aus, in denen Sie die Hubs für ausgehenden Traffic hinzufügen möchten. Wenn Sie mehrere Hubs für ausgehenden Traffic hinzufügen möchten, klicken Sie auf SaaS-Hub für ausgehenden Traffic hinzufügen. Klicken Sie anschließend auf „Speichern“, um die Hubs für ausgehenden Traffic zu erstellen.

gcloud

Führen Sie den folgenden Befehl aus, um eine sichere Gateway-Ressource zu erstellen. Geben Sie für das Flag --hubs eine oder mehrere Regionen aus der folgenden Liste an.

gcloud beyondcorp security-gateways create SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --display-name="SECURITY_GATEWAY_DISPLAY_NAME" \
    --hubs=us-central1 \
    --service-discovery={}

Mit dem Flag hubs werden die regionalen Ressourcen festgelegt, die für die Aktivierung der ausgehenden Verbindung zur Zielanwendung erforderlich sind. Sie können einen Hub pro Region haben. Jeder Hub stellt zwei IP-Adressen bereit. Ein sicheres Gateway kann maximal 20 Hubs haben. Sie können die folgenden Regionen angeben:

  • africa-south1
  • asia-east1
  • asia-east2
  • asia-northeast1
  • asia-northeast2
  • asia-northeast3
  • asia-south1
  • asia-south2
  • asia-southeast1
  • asia-southeast2
  • asia-southeast3
  • australia-southeast2
  • europe-central2
  • europe-north1
  • europe-north2
  • europe-southwest1
  • europe-west1
  • europe-west10
  • europe-west12
  • europe-west2
  • europe-west3
  • europe-west4
  • europe-west6
  • europe-west8
  • europe-west9
  • me-central1
  • me-central2
  • me-west1
  • northamerica-northeast1
  • northamerica-northeast2
  • northamerica-south1
  • southamerica-east1
  • southamerica-west1
  • us-central1
  • us-central2
  • us-east1
  • us-east4
  • us-east5
  • us-east7
  • us-south1
  • us-west1
  • us-west2
  • us-west3
  • us-west4
  • us-west8

REST

Rufen Sie zum Erstellen einer sicheren Gateway-Ressource die Create API-Methode mit den Gateway-Details im Anfragetext auf. Geben Sie für das Flag hubs eine oder mehrere Regionen aus der folgenden Liste an.

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -X POST \
    -d '{ "display_name": "SECURITY_GATEWAY_DISPLAY_NAME", "hubs": { "us-central1": {} }, "service_discovery": {} }' \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways?security_gateway_id=SECURITY_GATEWAY_ID"

Das Flag hubs steht für die regionalen Ressourcen, die zum Aktivieren der ausgehenden Verbindung zur Zielanwendung erforderlich sind. Sie können einen Hub pro Region haben. Jeder Hub stellt zwei IP-Adressen bereit. Ein sicheres Gateway kann maximal 20 Hubs haben. Sie können die folgenden Regionen angeben:

  • africa-south1
  • asia-east1
  • asia-east2
  • asia-northeast1
  • asia-northeast2
  • asia-northeast3
  • asia-south1
  • asia-south2
  • asia-southeast1
  • asia-southeast2
  • asia-southeast3
  • australia-southeast2
  • europe-central2
  • europe-north1
  • europe-north2
  • europe-southwest1
  • europe-west1
  • europe-west10
  • europe-west12
  • europe-west2
  • europe-west3
  • europe-west4
  • europe-west6
  • europe-west8
  • europe-west9
  • me-central1
  • me-central2
  • me-west1
  • northamerica-northeast1
  • northamerica-northeast2
  • northamerica-south1
  • southamerica-east1
  • southamerica-west1
  • us-central1
  • us-central2
  • us-east1
  • us-east4
  • us-east5
  • us-east7
  • us-south1
  • us-west1
  • us-west2
  • us-west3
  • us-west4
  • us-west8

SaaS-Anwendung konfigurieren

Nachdem Sie ein sicheres Gateway erstellt haben, können Sie Ihre SaaS-Anwendungen so konfigurieren, dass sie das sichere Gateway für den sicheren Zugriff verwenden.

Console

So konfigurieren Sie SaaS-Hubs für ausgehenden Traffic:

  1. Rufen Sie in der Google Cloud Console die Seite SaaS-Hubs für ausgehenden Traffic auf.
    Zu SaaS-Hubs für ausgehenden Traffic
  2. Suchen Sie auf der Seite SaaS-Hubs für ausgehenden Traffic die Tabelle mit den Hubs. Kopieren Sie für jede Region, die Sie verwenden möchten, alle IP-Adressen, die in der Spalte Statische dedizierte ausgehende IP-Adressen aufgeführt sind. Für jede Region werden zwei IP-Adressen bereitgestellt.
  3. Fügen Sie die IP-Adressen der IP-Zulassungsliste Ihrer SaaS-Anwendung hinzu. Für eine GitHub-Anwendung können Sie beispielsweise dieser Anleitung folgen: Zulässige IP-Adressen für Ihre Organisation verwalten.

gcloud

So konfigurieren Sie SaaS-Hubs für ausgehenden Traffic:

  1. Rufen Sie die IP-Adressen ab, die vom sicheren Gateway für jeden Hub zugewiesen wurden. Für eine Region werden zwei IP-Adressen zugewiesen.
    2. gcloud beyondcorp security-gateways describe SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global

    Hier ist eine Beispielantwort für GET eines sicheren Gateways mit hubs. Im Beispiel werden hubs in den Regionen us-central1 und us-east1 erstellt. Alle in der Antwort zurückgegebenen IP-Adressen müssen in der SaaS-Anwendung zulässig sein.

    createTime: 'CREATE_TIME'
displayName: My secure gateway
hubs:
  us-central1:
    internetGateway:
      assignedIps:
      -   IP_ADDRESS_1
      -   IP_ADDRESS_2
  us-east1:
    internetGateway:
      assignedIps:
      -   IP_ADDRESS_1
      -   IP_ADDRESS_2
name: projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID
state: RUNNING
updateTime: 'UPDATE_TIME'
  2. Fügen Sie die IP-Adressen der IP-Zulassungsliste Ihrer SaaS-Anwendung hinzu. Für eine GitHub-Anwendung können Sie beispielsweise dieser Anleitung folgen: Zulässige IP-Adressen für Ihre Organisation verwalten.

REST

So konfigurieren Sie SaaS-Hubs für ausgehenden Traffic:

  1. Rufen Sie die IP-Adressen ab, die vom sicheren Gateway für jeden Hub zugewiesen wurden. Für eine Region werden zwei IP-Adressen zugewiesen.
    2. curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID"

    Hier ist eine Beispielantwort für GET eines sicheren Gateways mit hubs. Im Beispiel werden hubs in den Regionen us-central1 und us-east1 erstellt. Alle in der Antwort zurückgegebenen IP-Adressen müssen in der SaaS-Anwendung zulässig sein.

    {
  "securityGateways": [
    {
      "name": "projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID",
      "createTime": "CREATE_TIME",
      "updateTime": "UPDATE_TIME",
      "displayName": "My secure gateway",
      "state": "RUNNING",
      "hubs": {
        "us-central1": {
          "internetGateway": {
            "assignedIps": [
              "IP_ADDRESS_1",
              "IP_ADDRESS_2",
            ]
          }
        },
        "us-east1": {
          "internetGateway": {
            "assignedIps": [
              "IP_ADDRESS_1",
              "IP_ADDRESS_2",
            ]
          }
        }
      }
    }
  ]
}
  2. Fügen Sie die IP-Adressen der IP-Zulassungsliste Ihrer SaaS-Anwendung hinzu. Für eine GitHub-Anwendung können Sie beispielsweise dieser Anleitung folgen: Zulässige IP-Adressen für Ihre Organisation verwalten.

Anwendungsressource erstellen

Die folgenden Informationen führen Sie durch die Einrichtung und Konfiguration einer sicheren Gateway-Anwendungsressource.

Sicheres Gateway für eine Anwendungsressource in Google Clouderstellen

Die Google Cloud -Anwendungsressource ist eine Unterressource der sicheren Gateway-Ressource. Erstellen Sie eine Anwendungsressource mit der Google Cloud Console oder rufen Sie die Create API auf.

Console

So erstellen Sie eine SaaS-Anwendung:

  1. Rufen Sie in der Google Cloud Console die Seite Sicheres Gateway auf.
    Zum sicheren Gateway
  2. Klicken Sie auf Anwendung hinzufügen, um eine Anwendung zu erstellen.
  3. Wählen Sie den Anwendungstyp aus: Öffentliche Anwendung.
  4. Wenn für dieses sichere Gateway noch keine SaaS-Hubs für ausgehenden Traffic konfiguriert sind, werden Sie aufgefordert, sie zu erstellen. Öffentliche Anwendungen erfordern mindestens einen SaaS-Hub für ausgehenden Traffic. Wenn Sie SaaS-Hubs für ausgehenden Traffic konfigurieren möchten, klicken Sie auf Zu SaaS-Hubs für ausgehenden Traffic und fügen Sie eine oder mehrere Regionen hinzu.
  5. Nachdem Sie einen oder mehrere Hubs für ausgehenden Traffic erstellt haben, klicken Sie auf Weiter.
  6. Geben Sie die Anwendungsdetails ein:
    • Anwendungsname: Geben Sie einen Namen ein, z. B. GitHub.
    • Domain-Matcher: Geben Sie eine durch Kommas getrennte Liste von Domainmustern ein, die über das sichere Gateway geleitet werden sollen. Geben Sie den Port im Format domain:port an. Platzhalter (*) sind zulässig. Beispiel: github.com:443.
  7. Klicken Sie auf Weiter, um Ihre SaaS-Anwendung zu konfigurieren.
  8. Konfigurieren Sie Ihre SaaS-Anwendung so, dass Traffic vom sicheren Gateway zugelassen wird:
    1. Notieren oder kopieren Sie alle IP-Adressen, die für die von Ihnen verwendeten Regionen aufgeführt sind. Diese IP-Adressen sind für Ihr sicheres Gateway eindeutig.
    2. Melden Sie sich in der Verwaltungskonsole Ihrer SaaS-Anwendung an.
    3. Rufen Sie die Netzwerk- oder Sicherheitseinstellungen auf, in denen IP-Zulassungslisten verwaltet werden.
    4. Fügen Sie alle abgerufenen IP-Adressen der IP-Zulassungsliste der Anwendung hinzu.
  9. Klicken Sie auf Weiter, um die Anwendung hinzuzufügen.
  10. Optional: Zugriffsrichtlinie definieren: Wählen Sie eine Access Context Manager-Zugriffsrichtlinie aus. Sie können diesen Schritt für diese Anleitung überspringen.
  11. Klicken Sie auf Erstellen, um die Einstellungen zu speichern und die Anwendung zu erstellen.

gcloud

Führen Sie den folgenden Befehl aus, um eine SaaS-Anwendung mit gcloud zu erstellen:

gcloud beyondcorp security-gateways applications create APPLICATION_ID \
    --project=PROJECT_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --location=global \
    --display-name="APPLICATION_DISPLAY_NAME" \
    --endpoint-matchers="hostname=HOST_NAME,ports=443"

REST

Führen Sie den folgenden Befehl aus, um eine SaaS-Anwendung mit der REST API zu erstellen:

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -X POST \
    -d "{ \"display_name\": \"APPLICATION_DISPLAY_NAME\", \"endpoint_matchers\": [{hostname: \"HOST_NAME\", ports: 443}] }" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID/applications?application_id=APPLICATION_ID"

Zugriffsrichtlinie konfigurieren

Sie können eine Zugriffsrichtlinie anwenden, um den Zugriff auf Anwendungsebene zu steuern. Wenn keine Zugriffsrichtlinie konfiguriert ist, wird der Zugriff auf die Anwendung standardmäßig verweigert.

Console

Richtlinie für mehrere Anwendungen erstellen

So konfigurieren Sie eine Zugriffsrichtlinie:

  1. Wenn Sie eine Richtlinie erstellen möchten, die für mehrere mit dem sicheren Gateway verknüpfte Anwendungen gilt, rufen Sie die Seite Richtlinien auf.
    Zu den Richtlinien
  2. Klicken Sie auf Richtlinie erstellen, um Anwendungen Zugriffsrichtlinien hinzuzufügen.
  3. Wählen Sie in der Drop-down-Liste die Anwendungen aus, auf die die Richtlinien angewendet werden sollen.
  4. Fügen Sie der Richtlinie Hauptkonten hinzu:

    Hauptkonten können Nutzer, Gruppen, Domains oder Dienstkonten sein. Diesen Hauptkonten wird der Zugriff basierend auf den von Ihnen zugewiesenen Zugriffsebenen gewährt oder verweigert.

    1. Klicken Sie auf Hauptkonto hinzufügen, um ein Hauptkonto hinzuzufügen.
    2. Geben Sie im Feld Hauptkonto die E‑Mail-Adresse des Nutzers, der Gruppe oder des Dienstkontos oder den Domainnamen ein.
    3. Wählen Sie im Drop-down-Menü Zugriffsebenen eine oder mehrere vordefinierte Ebenen für den kontextsensitiven Zugriff aus. Der Zugriff wird nur gewährt, wenn das Hauptkonto die Bedingungen der ausgewählten Zugriffsebenen erfüllt.

    Wenn Sie weitere Hauptkonten hinzufügen möchten, klicken Sie noch einmal auf Hauptkonto hinzufügen und wiederholen Sie die Unterschritte.

    Sie können Zugriffsebenen in Access Context Manager erstellen und verwalten.

  5. Klicken Sie auf Richtlinie erstellen, um die Richtlinie auf die Anwendung anzuwenden.

Zugriffsrichtlinie auf Anwendungsebene ändern

  1. Wenn Sie eine Richtlinie für eine einzelne Anwendung ändern möchten, rufen Sie die Seite Anwendungen auf.
    Zu „Anwendungen“
  2. So finden Sie die Anwendung, die Sie bearbeiten möchten:
    1. Suchen Sie in der Liste Anwendungen nach der Anwendung, die Sie ändern möchten.
    2. Wenn Sie die Anwendungsdetails aufrufen möchten, klicken Sie auf das Dreipunkt-Menü Weitere Aktionen () und wählen Sie Details ansehen aus.
  3. Klicken Sie zum Bearbeiten der Anwendung auf Bearbeiten.
  4. Fügen Sie der Richtlinie Hauptkonten hinzu:

    Hauptkonten können Nutzer, Gruppen, Domains oder Dienstkonten sein. Diesen Hauptkonten wird der Zugriff basierend auf den von Ihnen zugewiesenen Zugriffsebenen gewährt oder verweigert.

    1. Klicken Sie auf Hauptkonto hinzufügen, um ein Hauptkonto hinzuzufügen.
    2. Geben Sie im Feld Hauptkonto die E‑Mail-Adresse des Nutzers, der Gruppe oder des Dienstkontos oder den Domainnamen ein.
    3. Wählen Sie in der Drop-down-Liste Zugriffsebenen eine oder mehrere vordefinierte kontextsensitive Zugriffsebenen aus. Der Zugriff wird nur gewährt, wenn das Hauptkonto die Bedingungen der ausgewählten Zugriffsebenen erfüllt.

    Wenn Sie weitere Hauptkonten hinzufügen möchten, klicken Sie noch einmal auf Hauptkonto hinzufügen und wiederholen Sie die Unterschritte.

    Sie können Zugriffsebenen in Access Context Manager erstellen und verwalten.

  5. Klicken Sie auf Speichern, um die Richtlinie auf die Anwendung anzuwenden.

gcloud

Gateway-Ebene-Bindung für Service Discovery hinzufügen

Bevor Sie einem Nutzer Zugriff auf eine Anwendung gewähren, müssen Sie sicherstellen, dass er auf der Ebene des sicheren Gateways die Berechtigung „Service Discovery“ hat.

gcloud beyondcorp security-gateways add-iam-policy-binding SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.serviceDiscoveryUser" \
    --member=MEMBER

Ersetzen Sie Folgendes:

  • SECURITY_GATEWAY_ID: die ID des sicheren Gateways
  • PROJECT_ID: die ID des Projekts, in dem das sichere Gateway konfiguriert ist
  • MEMBER: der Nutzer, die Gruppe oder das Dienstkonto, dem Sie die Rolle „Service Discovery“ zuweisen möchten. Weitere Informationen finden Sie unter IAM-Hauptkonten.

Bindung auf Anwendungsebene hinzufügen

gcloud beyondcorp security-gateways applications add-iam-policy-binding APPLICATION_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.sgApplicationUser" \
    --member=MEMBER

Ersetzen Sie Folgendes:

  • APPLICATION_ID: die ID der Anwendungsressource
  • SECURITY_GATEWAY_ID: die ID des sicheren Gateways
  • PROJECT_ID: die ID des Projekts, in dem das sichere Gateway konfiguriert ist
  • MEMBER: der Nutzer, die Gruppe oder das Dienstkonto, dem Sie die Rolle „Service Discovery“ zuweisen möchten. Weitere Informationen finden Sie unter IAM-Hauptkonten.

Bedingte Bindung hinzufügen

Sie können auch eine Bindung mit Bedingungen hinzufügen. Bedingungen geben Anforderungen an, z. B. dass die IP-Adresse eines Nutzers von einem bestimmten Standort stammt. (Die Zugriffsebene kann entweder in einer Zugriffsrichtlinie auf Organisationsebene oder in einer bereichsbezogenen Zugriffsrichtlinie definiert werden.)

Mit dem folgenden Beispielbefehl wird der Zugriff nur gewährt, wenn die Quell-IP-Adresse innerhalb einer angegebenen Zugriffsebene liegt:

gcloud beyondcorp security-gateways applications add-iam-policy-binding APPLICATION_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.sgApplicationUser" \
    --member=MEMBER \
    --condition="expression='accessPolicies/1234567890/accessLevels/in_us' in request.auth.access_levels,title=Source IP must be in US"

Service Discovery-Bindung auf Gateway-Ebene entfernen

Widerrufen Sie die Service Discovery-Berechtigungen eines Nutzers auf der Ebene des sicheren Gateways.

gcloud beyondcorp security-gateways remove-iam-policy-binding SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.serviceDiscoveryUser" \
    --member=MEMBER

Ersetzen Sie Folgendes:

  • SECURITY_GATEWAY_ID: die ID des sicheren Gateways
  • PROJECT_ID: die ID des Projekts, in dem das sichere Gateway konfiguriert ist
  • MEMBER: der Nutzer, die Gruppe oder das Dienstkonto, von dem Sie die Rolle „Service Discovery“ entfernen möchten. Weitere Informationen finden Sie unter IAM-Hauptkonten.

Bindung auf Anwendungsebene entfernen

gcloud beyondcorp security-gateways applications remove-iam-policy-binding APPLICATION_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.sgApplicationUser" \
    --member=MEMBER

Ersetzen Sie Folgendes:

  • APPLICATION_ID: die ID der Anwendungsressource
  • SECURITY_GATEWAY_ID: die ID des sicheren Gateways
  • PROJECT_ID: die ID des Projekts, in dem das sichere Gateway konfiguriert ist
  • MEMBER: der Nutzer, die Gruppe oder das Dienstkonto, von dem Sie die Rolle „Service Discovery“ entfernen möchten. Weitere Informationen finden Sie unter IAM-Hauptkonten.

Bedingte Bindung entfernen

Sie können eine Bindung auch mit Bedingungen entfernen. Bedingungen geben Anforderungen an, z. B. dass die IP-Adresse eines Nutzers von einem bestimmten Standort stammt. (Die Zugriffsebene kann entweder in einer Zugriffsrichtlinie auf Organisationsebene oder in einer bereichsbezogenen Zugriffsrichtlinie definiert werden.)

Mit dem folgenden Beispielbefehl wird eine bedingte Bindung mit einer bestimmten Zugriffsebene entfernt:

gcloud beyondcorp security-gateways applications remove-iam-policy-binding APPLICATION_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.sgApplicationUser" \
    --member=MEMBER \
    --condition="expression='accessPolicies/1234567890/accessLevels/in_us' in request.auth.access_levels,title=Source IP must be in US"

REST

Zugriffsrichtlinie sicher aktualisieren

Mit dem Befehl setIamPolicy wird die gesamte vorhandene Richtlinie durch die von Ihnen angegebene Richtlinie ersetzt. Damit vorhandene Berechtigungen nicht versehentlich entfernt werden, empfehlen wir, das folgende Muster „Lesen-Ändern-Schreiben“ zu verwenden. Dieses Muster hilft, das versehentliche Entfernen vorhandener Berechtigungen zu verhindern.

  1. Lesen: Speichern Sie die aktuelle Zugriffsrichtlinie in einer Datei.
  2. Ändern: Bearbeiten Sie die Richtliniendatei lokal, um Berechtigungen hinzuzufügen oder zu ändern.
  3. Schreiben: Wenden Sie die aktualisierte Richtliniendatei an.

Gateway-Richtlinie für Service Discovery festlegen

Wenn Sie Berechtigungen für die Service Discovery gewähren möchten, müssen Sie eine Zugriffsrichtlinie für das Sicherheits-Gateway und nicht für eine einzelne Anwendung festlegen. Dabei wird dasselbe „Lesen-Ändern-Schreiben“-Muster verwendet.

Rufen Sie die aktuelle Richtlinie ab und speichern Sie sie in einer Datei mit dem Namen gateway_policy.json.

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID:getIamPolicy" > gateway_policy.json

Öffnen Sie als Nächstes die Datei gateway_policy.json in einem Texteditor und fügen Sie die erforderlichen Hauptkonten der Liste members für die Rolle roles/beyondcorp.serviceDiscoveryUser hinzu, ähnlich wie bei den Änderungen auf Anwendungsebene.

Die Datei gateway_policy.json sieht in etwa so aus:

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.serviceDiscoveryUser",
      "members": [
        "group:existing-group@example.com"
      ]
    }
  ],
  "etag": "BwXN8_d-bOM="
}

Sie können auch andere Arten von Mitgliedern wie serviceAccount, user, group, principal und principalSet in Richtlinienbindungen hinzufügen. Weitere Informationen finden Sie unter IAM-Hauptkonten.

Wenden Sie die aktualisierte Richtlinie an:

jq '{policy: .}' gateway_policy.json | curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -d @- \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID:setIamPolicy"

Zugriffsrichtlinie auf Anwendungsebene festlegen

Aktuelle Richtlinie abrufen

Aktuelle Richtlinie abrufen Das Feld etag verhindert widersprüchliche Aktualisierungen, wenn mehrere Administratoren gleichzeitig Änderungen vornehmen.

Mit dem folgenden Befehl wird die Richtlinie abgerufen und in einer Datei namens policy.json gespeichert. 

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID/applications/APPLICATION_ID:getIamPolicy" > policy.json

Ersetzen Sie Folgendes:

  • PROJECT_ID: die ID des Projekts, in dem das sichere Gateway konfiguriert ist
  • SECURITY_GATEWAY_ID: die ID des sicheren Gateways
  • APPLICATION_ID: die ID der Anwendungsressource

Mit dem Befehl wird eine policy.json-Datei erstellt, die die aktuelle Richtlinie enthält.

Richtliniendatei ändern

So gewähren Sie einer Gruppe Zugriff auf das sichere Gateway:

  1. Öffnen Sie die Datei policy.json in einem Texteditor.
  2. Fügen Sie die Gruppe der Liste members für die Rolle roles/beyondcorp.securityGatewayUser hinzu.

Die Datei policy.json sieht in etwa so aus:

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.sgApplicationUser",
      "members": [
        "group:existing-group@example.com"
      ]
    }
  ],
  "etag": "BwXN8_d-bOM="
}

Wenn Sie eine weitere Gruppe hinzufügen möchten, fügen Sie dem Array members einen neuen Eintrag hinzu. Fügen Sie nach dem vorherigen Eintrag ein Komma ein. Im folgenden Beispiel wird new-group@example.com hinzugefügt:

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.sgApplicationUser",
      "members": [
        "group:existing-group@example.com",
        "group:new-group@example.com"
      ]
    }
  ],
  "etag": "BwXN8_d-bOM="
}

Sie können auch andere Arten von Mitgliedern wie serviceAccount, user, group, principal und principalSet in Richtlinienbindungen hinzufügen. Weitere Informationen finden Sie unter IAM-Hauptkonten.

Aktualisierte Richtlinie anwenden

Nachdem Sie die policy.json-Datei bearbeitet und gespeichert haben, wenden Sie sie mit dem Befehl setIamPolicy auf die Ressource an. Dieser Befehl verwendet die etag aus Ihrer Datei, um sicherzustellen, dass Sie die richtige Version aktualisieren.

jq '{policy: .}' policy.json | curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -d @- \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID/applications/APPLICATION_ID:setIamPolicy"

Ersetzen Sie Folgendes:

  • PROJECT_ID: die ID des Projekts, in dem das sichere Gateway konfiguriert ist
  • SECURITY_GATEWAY_ID: die ID des sicheren Gateways
  • APPLICATION_ID: die ID der Anwendungsressource

Richtlinie für bedingten Zugriff hinzufügen

Sie können auch Zugriffsrichtlinien mit Bedingungen festlegen. Bedingungen geben Anforderungen an, z. B. dass die IP-Adresse eines Nutzers von einem bestimmten Standort stammt. (Die Zugriffsebene kann entweder in einer Zugriffsrichtlinie auf Organisationsebene oder in einer bereichsbezogenen Zugriffsrichtlinie definiert werden.)

Die folgende Beispielrichtlinie gewährt nur dann Zugriff, wenn die Quell-IP-Adresse innerhalb einer bestimmten Zugriffsebene liegt:

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.sgApplicationUser",
      "members": [
        "group:group@example.com"
      ],
      "condition": {
        "expression": "request.auth.access_levels.contains('accessPolicies/1234567890/accessLevels/in_us')",
        "title": "Source IP must be in US"
      }
    }
  ],
  "etag": "BwXN8_d-bOM="
}

Folgen Sie den oben beschriebenen Schritten, um diese Richtlinie anzuwenden.

Sicherheit mit kontextsensitivem Zugriff erhöhen

Um die Sicherheit weiter zu erhöhen und dafür zu sorgen, dass nur verwaltete Google Chrome-Instanzen über das sichere Gateway auf Ihre Webanwendungen zugreifen können, empfehlen wir, eine Regel für den kontextsensitiven Zugriff (Context-Aware Access, CAA) hinzuzufügen. Mit dieser Regel wird überprüft, ob das Chrome-Profil des Nutzers verwaltet wird. So wird potenzieller Missbrauch durch nicht verwaltete oder schädliche Browser verhindert.

Hinweis: Für diese Funktion muss die Erweiterung „Endpunktprüfung“ installiert und eingerichtet werden.

Dazu können Sie Ihren benutzerdefinierten Zugriffsebenen in Access Context Manager eine Bedingung hinzufügen. Hier ist ein Beispiel für eine Bedingung, die Sie anpassen können:

  device.chrome.management_state == ChromeManagementState.CHROME_MANAGEMENT_STATE_PROFILE_MANAGED

Weitere Informationen zum Konfigurieren, Prüfen und Verwalten dieses Status finden Sie unter Chrome-Browserattribute.

Chrome Enterprise Premium-Erweiterung installieren

Die Chrome Enterprise Premium-Erweiterung ist ein wichtiger Bestandteil eines sicheren Gateways und hilft bei der Authentifizierung. Installieren Sie die Erweiterung für alle Nutzer des sicheren Gateways. Informationen zum Bereitstellen der Erweiterung finden Sie unter Chrome-Richtlinien für einzelne Apps festlegen. So installieren Sie die Chrome Enterprise Premium-Erweiterung:

  1. Rufen Sie die Google Admin-Konsole auf.
  2. Klicken Sie auf Chrome-Browser > Apps und Erweiterungen.
  3. Klicken Sie auf den Tab Nutzer und Browser.
  4. Klicken Sie auf das Pluszeichen + und wählen Sie Chrome-Apps oder ‑Erweiterungen über die jeweilige ID hinzufügen aus, um die Chrome-Erweiterung hinzuzufügen.

  5. Suchen Sie mit der folgenden ID nach der Erweiterung Secure Enterprise Browser und legen Sie die Installationsrichtlinie für alle Nutzer in der Organisationseinheit oder Gruppe auf Installation erzwingen fest:

    ekajlcmdfcigmdbphhifahdfjbkciflj

  6. Klicken Sie auf die installierte Erweiterung und geben Sie im Feld Richtlinie für Erweiterungen den folgenden JSON-Wert ein:

    {
  "securityGateway": {
    "Value": {
      "authentication": {},
      "context": { "resource": "projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID" },
      "serviceDiscovery": { "routes": {} }
    }
  }
}

    Ersetzen Sie Folgendes:

    • PROJECT_ID: die ID des Projekts, in dem das sichere Gateway konfiguriert ist
    • SECURITY_GATEWAY_ID: die ID des sicheren Gateways

  7. Klicken Sie auf Speichern, um die Konfiguration zu speichern.

Einrichtung der alten PAC-Datei

Wenn die Service Discovery aktiviert ist, kann der Chrome-Browser-Client Traffic automatisch erkennen und über das sichere Gateway an Ihre konfigurierten Anwendungen weiterleiten. Eine manuelle Routingkonfiguration mit einer PAC-Datei ist dann nicht mehr erforderlich.

Wenn Service Discovery auf Ihrem sicheren Gateway nicht aktiviert ist, haben Sie eine Legacy-Einrichtung. Sie müssen eine PAC-Datei konfigurieren, um das Routing im Chrome-Browser-Client zu steuern.

Mit den folgenden Befehlen können Sie prüfen, ob Sie die Legacy-Einrichtung haben und ob die Service Discovery aktiviert ist:

gcloud

gcloud beyondcorp security-gateways describe SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global | grep -i "serviceDiscovery"

REST

curl --silent \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID" | grep -i "serviceDiscovery"

Wenn der Befehl keine Ausgabe zurückgibt, verwendet Ihr Gateway die Legacy-Einrichtung. Bei Gateways, die die Legacy-Einrichtung verwenden, wird das Routing über eine gehostete PAC-Datei abgewickelt.

Schritt 1: PAC-Datei erstellen und hosten

  1. Erstellen Sie eine Datei mit dem Namen pac_config.js und dem folgenden JavaScript-Code. Ersetzen Sie dabei HOST_NAME durch die Domain Ihrer Anwendung (z. B. myapp.example.com):

    function FindProxyForURL(url, host) {
  const PROXY = "HTTPS via.prod.securegateway.goog:443";
  const sites = ["HOST_NAME"];

  for (const site of sites) {
    if (shExpMatch(url, 'https://' + site + '/*') || shExpMatch(url, '*.' + site + '/*')) {
      return PROXY;
    }
  }
  return 'DIRECT';
}

  2. Laden Sie die PAC-Datei in einen Hosting-Dienst hoch, z. B. in einen Cloud Storage-Bucket.

    • Die Datei muss öffentlich herunterladbar sein.
    • Legen Sie den HTTP-Header Cache-Control auf no-cache fest, damit Browser immer die neuesten Routingregeln abrufen.

  3. Kopieren Sie die öffentliche URL der hochgeladenen PAC-Datei.

Schritt 2: PAC-Datei in der Admin-Konsole anwenden

  1. Rufen Sie die Google Admin-Konsole auf.
  2. Rufen Sie Geräte > Chrome > Einstellungen auf.
  3. Wählen Sie Ihre Organisationseinheit oder Gruppe aus und klicken Sie dann auf Proxymodus.
  4. Wählen Sie unter Proxymodus die Option Für den Proxyserver immer die unten angegebene automatische Konfiguration verwenden aus.
  5. Geben Sie die öffentliche URL Ihrer gehosteten PAC-Datei in das entsprechende Feld ein.
  6. Klicken Sie auf Speichern.

Schritt 3: Chrome Enterprise Premium-Erweiterung konfigurieren

Die Erweiterung ist für die Authentifizierung erforderlich. Diese Erweiterungsrichtlinie unterscheidet sich von der Standardkonfiguration, da der Block serviceDiscovery ausgeschlossen ist.

  1. Gehen Sie in der Admin-Konsole zu Chrome-Browser > Apps und Erweiterungen.
  2. Rufen Sie den Tab Nutzer und Browser auf und prüfen Sie, ob die Secure Enterprise Browser-Erweiterung (ekajlcmdfcigmdbphhifahdfjbkciflj) hinzugefügt und erzwungen wurde.

  3. Klicken Sie auf die Erweiterung und geben Sie im Feld Richtlinie für Erweiterungen den folgenden JSON-Wert ein:

    {
  "securityGateway": {
    "Value": {
      "authentication": {},
      "context": {
        "resource": "projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID"
      }
    }
  }
}

  4. Klicken Sie auf Speichern.

Übergang zur Einrichtung von Service Discovery

Wenn Sie Ihr altes sicheres Gateway von einer PAC-Dateikonfiguration auf die neuere Service Discovery-Konfiguration umstellen möchten, müssen Sie die Funktion manuell aktivieren und Ihre Konfigurationen aktualisieren.

  1. Service Discovery auf Ihrem sicheren Gateway aktivieren: Aktualisieren Sie Ihr vorhandenes Gateway, um Service Discovery zu aktivieren.

    gcloud

    gcloud beyondcorp security-gateways update SECURITY_GATEWAY_ID \
--project=PROJECT_ID \
--location=global \
--service-discovery={}

    REST

    curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{ "service_discovery": {} }' \
"https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID?updateMask=service_discovery"

  2. Zugriffsrichtlinie auf Gateway-Ebene festlegen: Gewähren Sie Nutzern die Rolle roles/beyondcorp.serviceDiscoveryUser auf Gateway-Ebene, damit sie die Service Discovery verwenden können. Folgen Sie der Anleitung im Abschnitt Service Discovery-Bindung auf Gateway-Ebene hinzufügen.

  3. Konfiguration der Chrome Enterprise Premium-Erweiterung aktualisieren: Folgen Sie der Anleitung im Abschnitt Chrome Enterprise Premium-Erweiterung installieren, um die Richtlinie für die Erweiterung zu aktualisieren. Die neue JSON-Konfiguration muss den Block "serviceDiscovery": { "routes": {} } enthalten.

  4. Alte PAC-Datei entfernen: Sobald die Service Discovery aktiv ist, wird die alte PAC-Datei nicht mehr benötigt.

    1. Rufen Sie in der Admin-Konsole Geräte > Chrome > Einstellungen > Nutzer- und Browsereinstellungen > Netzwerk auf.
    2. Suchen Sie die Einstellung Proxy-Modus.
    3. Entfernen Sie die URL für die automatische Proxykonfiguration (PAC) oder ändern Sie die Einstellung von Für den Proxyserver immer die unten angegebene automatische Konfiguration verwenden in einen für Ihr Netzwerk geeigneten Modus, z. B. Dem Nutzer die Konfiguration gestatten.
    4. Klicken Sie auf Speichern.

Endnutzererfahrung

Nach Abschluss der Einrichtung wird Endnutzern, die auf die geschützte SaaS-Anwendung zugreifen, der Zugriff basierend auf der Zugriffsrichtlinie gewährt oder verweigert, die auf die Anwendung angewendet wird.

Auf die Anwendung in Chrome zugreifen

Die Chrome Enterprise Premium-Erweiterung ist erforderlich, um den Traffic über das sichere Gateway zu leiten. Die Erweiterung übernimmt die Authentifizierung zwischen dem Nutzer und dem sicheren Gateway. Die Erweiterung wird automatisch über die Domainrichtlinie installiert.

Wenn Nutzer auf die von Ihnen konfigurierte SaaS-Anwendung zugreifen, wird ihr Traffic über das sichere Gateway geleitet, das prüft, ob sie die Zugriffsrichtlinie erfüllen. Wenn die Nutzer die Zugriffsrichtlinienprüfungen bestehen, erhalten sie Zugriff auf die Anwendung.

Wenn der Browserzugriff auf die Anwendung durch die Autorisierungsrichtlinie abgelehnt wird, erhalten Nutzer die Meldung Access denied.

Nächste Schritte