Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

SaaS アプリケーションへのセキュアなアクセス

このページでは、Chrome Enterprise Premium セキュアゲートウェイを使用して SaaS アプリケーションを保護するプロセスについて説明します。

Chrome Enterprise Premium のセキュアゲートウェイは、フォワードプロキシとして機能し、ゼロトラストアクセスフレームワークを適用して、SaaS アプリケーションにアクセスするユーザーに対するきめ細かいコンテキストアウェア制御を実現します。

SaaS アプリケーションへのアクセスを保護する仕組み

セキュアゲートウェイが SaaS アプリケーションを保護する仕組みの概要は次のとおりです。

クライアントサイドのブラウザ設定により、アプリケーショントラフィックは安全なゲートウェイプロキシ経由でルーティングされます。
セキュアゲートウェイは、コンテキストアウェアアクセスポリシーをチェックして、クライアント（ユーザーとデバイス）のアクセスを承認します。
クライアントアクセスが許可されている場合、ゲートウェイは、そのゲートウェイと Google Cloudリージョンに割り当てられた一意の送信元 IP アドレスを使用して、トラフィックをアプリケーションに転送します。割り当てられた IP アドレスは、作成したゲートウェイ専用として予約されており、他のユーザーやゲートウェイは使用できません。アクセスを制御するには、これらの専用の送信元 IP アドレスを SaaS アプリケーションの許可リストに追加します。

必要なロール

管理者に次のロールの付与を依頼します。

プロジェクトで Chrome Enterprise Premium を設定するための Cloud BeyondCorp 管理者（roles/beyondcorp.admin）
Access Context Manager 管理者（roles/accesscontextmanager.policyAdmin）: 新しいアクセスレベルの読み取りと追加
Google Cloud コンソールを使用するための Service Usage 閲覧者（roles/serviceusage.serviceUsageViewer）

Identity and Access Management（IAM）ロールの詳細を確認する。

始める前に

セキュアゲートウェイを設定する前に、次のことを確認してください。

Chrome Enterprise Premium ライセンス。
管理者アカウントで Google 管理コンソールにアクセスできること。
ユーザーに対して有効になっているGoogle Cloud サービス。
請求先アカウントが割り当てられ、次の API が有効になっている Google Cloud プロジェクト: BeyondCorp API
保護する SaaS アプリケーション。セキュアゲートウェイによるセキュリティチェックを適用するため、アプリケーションで IP allowlisting がサポートされている必要があります。

制限事項

Chrome Enterprise Premium のセキュアゲートウェイには、次の制限事項があります。

IPv6 接続: Chrome Enterprise Premium セキュアゲートウェイは、IPv6 接続を使用する SaaS アプリケーションをサポートしていません。
SaaS アプリケーションとしての ID プロバイダ: エンドユーザーのセキュアゲートウェイによる認証が同じ IdP に依存している場合、セキュアゲートウェイで保護されるように ID プロバイダを SaaS アプリケーションとして構成することはできません。

シェル環境の設定

作業シェルで次の環境変数を定義して、設定プロセスを合理化し、セキュアゲートウェイ API と通信できるようにします。

一般的なパラメータ
```
PROJECT_ID=PROJECT_ID
APPLICATION_ID=APPLICATION_ID
APPLICATION_DISPLAY_NAME="APPLICATION_DISPLAY_NAME"
HOST_NAME=HOST_NAME
```
次のように置き換えます。
- PROJECT_ID: セキュアゲートウェイが作成されるプロジェクトの ID。
- APPLICATION_ID: アプリケーションの ID（github など）。名前は最大 63 文字で、小文字、数字、ハイフンを使用できます。先頭文字は英字にする必要があり、末尾の文字は英字または数字にすることができます。
- APPLICATION_DISPLAY_NAME: 表示する人が読める形式の名前。
- HOST_NAME: アプリケーションのホスト名。例: github.comホスト名は最大 253 文字で、次のいずれかの形式に準拠する必要があります。
  - 有効な IPv4 アドレス
  - 有効な IPv6 アドレス
  - 有効な DNS 名
  - アスタリスク（*）
  - アスタリスク（*）の後に有効な DNS 名
セキュアゲートウェイのパラメータ
```
SECURITY_GATEWAY_ID=SECURITY_GATEWAY_ID
SECURITY_GATEWAY_DISPLAY_NAME="SECURITY_GATEWAY_DISPLAY_NAME"
```
次のように置き換えます。
- SECURITY_GATEWAY_ID: セキュアゲートウェイの ID。ID は 63 文字以下で、小文字、数字、ハイフンを使用できます。最初の文字は英字に、最後の文字は英字または数字にしてください。
- SECURITY_GATEWAY_DISPLAY_NAME: 人が読める形式のセキュアゲートウェイの名前。名前は最大 63 文字で、印刷可能な文字のみを含めることができます。

セキュアゲートウェイを作成する

Chrome Enterprise Premium セキュアゲートウェイは、アプリケーションへの安全な接続を確立するための基本的な構成要素となります。専用のプロジェクトとネットワークを割り当て、分離とセキュリティを確保します。

Console

セキュアゲートウェイリソースを作成する手順は次のとおりです。

Google Cloud コンソールで、[セキュアゲートウェイ] ページに移動します。
セキュアゲートウェイに移動
セキュアゲートウェイを作成するプロジェクトを選択します。
セキュアゲートウェイを作成するには、[新しいゲートウェイを作成] をクリックして、ゲートウェイの作成プロセスが完了するまで待ちます。
進行状況は、 Google Cloud コンソールの [通知] セクションで確認できます。
SaaS アプリケーションリソースを作成する前に、SaaS 外向きハブを作成することをおすすめします。hubs フラグは、使用するアプリケーションへの外向きの接続を有効にするために必要なリージョンリソースを表します。リージョンごとに 1 つのハブを構成できます。各ハブは 2 つの IP アドレスを提供します。セキュアゲートウェイには最大 20 個のハブを設定できます。次のリージョンを指定できます。
- africa-south1
- asia-east1
- asia-south1
- asia-south2
- asia-southeast1
- europe-central2
- europe-north1
- europe-southwest1
- europe-west1
- europe-west2
- europe-west3
- europe-west4
- europe-west8
- europe-west9
- northamerica-northeast1
- northamerica-northeast2
- northamerica-south1
- southamerica-east1
- southamerica-west1
- us-central1
- us-east1
- us-east4
- us-east5
- us-west1
Google Cloud コンソールで、[SaaS 下り（外向き）ハブ] ページに移動します。
SaaS 外向きハブに移動
SaaS 外向きハブを作成するプロジェクトを選択します。
SaaS 外向きハブを追加するには、[SaaS 外向きハブを追加] をクリックします。
プルダウンリストから、上り（内向き）ハブを追加するリージョンを選択します。外向きハブを追加するには、[SaaS 外向きハブを追加] をクリックして、複数のハブを追加します。完了したら、[保存] をクリックして下り（外向き）ハブを作成します。

gcloud

セキュアゲートウェイリソースを作成するには、次のコマンドを実行します。--hubs フラグには、次のリストから 1 つ以上のリージョンを指定します。

gcloud beyondcorp security-gateways create SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --display-name="SECURITY_GATEWAY_DISPLAY_NAME" \
    --hubs=us-central1 \
    --service-discovery={}

hubs フラグは、ターゲットアプリケーションへの下り（外向き）接続を有効にするために必要なリージョンリソースを設定します。リージョンごとに 1 つのハブを設定でき、各ハブは 2 つの IP アドレスを提供します。セキュアゲートウェイには最大 20 個のハブを設定できます。次のリージョンを指定できます。

africa-south1
asia-east1
asia-south1
asia-south2
asia-southeast1
europe-central2
europe-north1
europe-southwest1
europe-west1
europe-west2
europe-west3
europe-west4
europe-west8
europe-west9
northamerica-northeast1
northamerica-northeast2
northamerica-south1
southamerica-east1
southamerica-west1
us-central1
us-east1
us-east4
us-east5
us-west1

REST

セキュアゲートウェイリソースを作成するには、リクエスト本文にゲートウェイの詳細を指定して Create API メソッドを呼び出します。hubs フラグには、次のリストから 1 つ以上のリージョンを指定します。

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -X POST \
    -d '{ "display_name": "SECURITY_GATEWAY_DISPLAY_NAME", "hubs": { "us-central1": {} }, "service_discovery": {} }' \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways?security_gateway_id=SECURITY_GATEWAY_ID"

hubs フラグは、使用するアプリケーションへの外向きの接続を有効にするために必要なリージョンリソースを表します。リージョンごとに 1 つのハブを設定でき、各ハブは 2 つの IP アドレスを提供します。セキュアゲートウェイには最大 20 個のハブを設定できます。次のリージョンを指定できます。

africa-south1
asia-east1
asia-south1
asia-south2
asia-southeast1
europe-central2
europe-north1
europe-southwest1
europe-west1
europe-west2
europe-west3
europe-west4
europe-west8
europe-west9
northamerica-northeast1
northamerica-northeast2
northamerica-south1
southamerica-east1
southamerica-west1
us-central1
us-east1
us-east4
us-east5
us-west1

SaaS アプリケーションを構成する

セキュアゲートウェイを作成したら、セキュアアクセスにセキュアゲートウェイを使用するように SaaS アプリケーションを構成できます。

Console

SaaS 上り（内向き）ハブを構成する手順は次のとおりです。

Google Cloud コンソールで、[SaaS 下り（外向き）ハブ] ページに移動します。
SaaS 外向きハブに移動
[SaaS 外向きハブ] ページで、ハブのリストが表示されたテーブルを見つけます。使用する各リージョンについて、[静的専用下り（外向き）IP] 列に表示されているすべての IP アドレスをコピーします。各リージョンには 2 つの IP アドレスが用意されています。
IP アドレスを SaaS アプリケーションの IP 許可リストに追加します。たとえば、GitHub アプリケーションの場合は、こちらのガイド（組織に許可された IP アドレスを管理する）をご確認ください。

gcloud

SaaS 上り（内向き）ハブを構成する手順は次のとおりです。

各ハブにセキュアゲートウェイによって割り振られた IP アドレスを取得します。リージョンに 2 つの IP アドレスが割り当てられます。

gcloud beyondcorp security-gateways describe SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global

hubs を含むセキュアゲートウェイの GET レスポンスの例を次に示します。この例では、hubs は us-central1 リージョンと us-east1 リージョンに作成されます。また、レスポンスで返されたすべての IP アドレスを SaaS アプリケーションで許可する必要があります。

createTime: 'CREATE_TIME'
displayName: My secure gateway
hubs:
  us-central1:
    internetGateway:
      assignedIps:
      -   IP_ADDRESS_1
      -   IP_ADDRESS_2
  us-east1:
    internetGateway:
      assignedIps:
      -   IP_ADDRESS_1
      -   IP_ADDRESS_2
name: projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID
state: RUNNING
updateTime: 'UPDATE_TIME'

IP アドレスを SaaS アプリケーションの IP 許可リストに追加します。たとえば、GitHub アプリケーションの場合は、こちらのガイド（組織に許可された IP アドレスを管理する）をご確認ください。

REST

SaaS 上り（内向き）ハブを構成する手順は次のとおりです。

各ハブにセキュアゲートウェイによって割り振られた IP アドレスを取得します。リージョンに 2 つの IP アドレスが割り当てられます。

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID"

{
  "securityGateways": [
    {
      "name": "projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID",
      "createTime": "CREATE_TIME",
      "updateTime": "UPDATE_TIME",
      "displayName": "My secure gateway",
      "state": "RUNNING",
      "hubs": {
        "us-central1": {
          "internetGateway": {
            "assignedIps": [
              "IP_ADDRESS_1",
              "IP_ADDRESS_2",
            ]
          }
        },
        "us-east1": {
          "internetGateway": {
            "assignedIps": [
              "IP_ADDRESS_1",
              "IP_ADDRESS_2",
            ]
          }
        }
      }
    }
  ]
}

IP アドレスを SaaS アプリケーションの IP 許可リストに追加します。たとえば、GitHub アプリケーションの場合は、こちらのガイド（組織に許可された IP アドレスを管理する）をご確認ください。

アプリケーションリソースを作成する

以降では、セキュアゲートウェイアプリケーションリソースを設定して構成するプロセスについて説明します。

Google Cloudでセキュアゲートウェイアプリケーションリソースを作成する

Google Cloud アプリケーションリソースは、セキュアゲートウェイリソースのサブリソースです。 Google Cloud コンソールを使用するか、Create API を呼び出して、アプリケーションリソースを作成します。

Console

SaaS アプリケーションを作成する手順は次のとおりです。

Google Cloud コンソールで、[セキュアゲートウェイ] ページに移動します。
セキュアゲートウェイに移動
アプリケーションを作成するには、[アプリケーションを追加] をクリックします。
アプリケーションの種類として [公開アプリケーション] を選択します。
このセキュアゲートウェイに SaaS 下り（外向き）ハブがまだ構成されていない場合は、作成するよう求められます。公開アプリケーションには、少なくとも 1 つの SaaS 外向きハブが必要です。SaaS 外向きハブを構成するには、[SaaS 外向きハブに移動] をクリックして、1 つ以上のリージョンを追加します。
1 つ以上の下り（外向き）ハブを作成したら、[次へ] をクリックします。
アプリケーションの詳細を入力します。
- アプリケーション名: 名前を入力します（例: GitHub）。
- ドメインマッチャー: セキュアゲートウェイ経由でルーティングするドメインパターンのカンマ区切りのリストを入力します。ポートは domain:port の形式で指定します。ワイルドカード（*）を使用できます。例: github.com:443。
SaaS アプリケーションを構成するには、[続行] をクリックします。
セキュアゲートウェイからのトラフィックを許可するように SaaS アプリケーションを構成します。

使用しているリージョンに記載されているすべての IP アドレスをメモするか、コピーします。これらの IP アドレスは、セキュアゲートウェイに固有のものです。
SaaS アプリケーションの管理コンソールにログインします。
IP 許可リストが管理されている掲載ネットワークの設定またはセキュリティ設定に移動します。
取得したすべての IP アドレスをアプリケーションの IP 許可リストに追加します。

アプリケーションを追加するには、[続行] をクリックします。
省略可: アクセスポリシーを定義する: Access Context Manager のアクセスポリシーを選択します。このガイドでは、この手順をスキップできます。
作成して設定を保存し、アプリケーションを作成するには、[作成] をクリックします。

gcloud

gcloud を使用して SaaS アプリケーションを作成するには、次のコマンドを実行します。

gcloud beyondcorp security-gateways applications create APPLICATION_ID \
    --project=PROJECT_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --location=global \
    --display-name="APPLICATION_DISPLAY_NAME" \
    --endpoint-matchers="hostname=HOST_NAME,ports=443"

REST

REST API を使用して SaaS アプリケーションを作成するには、次のコマンドを実行します。

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -X POST \
    -d "{ \"display_name\": \"APPLICATION_DISPLAY_NAME\", \"endpoint_matchers\": [{hostname: \"HOST_NAME\", ports: 443}] }" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID/applications?application_id=APPLICATION_ID"

アクセスポリシーを構成する

アクセスポリシーを適用して、アプリケーションレベルでアクセスを制御できます。アクセスポリシーが構成されていない場合、デフォルトではアプリケーションへのアクセスは拒否されます。

Console

複数のアプリケーションのポリシーを作成する

アクセスポリシーを構成する手順は次のとおりです。

セキュアゲートウェイにリンクされている複数のアプリケーションに適用されるポリシーを作成するには、[ポリシー] ページに移動します。
[ポリシー] に移動
アプリケーションにアクセスポリシーを追加するには、[ポリシーを作成] をクリックします。
プルダウンリストから、ポリシーを適用するアプリを選択します。
ポリシーにプリンシパルを追加します。
プリンシパルは、ユーザー、グループ、ドメイン、またはサービスアカウントです。これらのプリンシパルには、割り当てたアクセスレベルに基づいてアクセス権が付与または拒否されます。
1. プリンシパルを追加するには、[プリンシパルを追加] をクリックします。
2. [プリンシパル] フィールドに、ユーザー、グループ、サービスアカウントのメールアドレスまたはドメイン名を入力します。
3. [アクセスレベル] プルダウンで、事前に定義されたコンテキストアウェアアクセスレベルを 1 つ以上選択します。プリンシパルが選択したアクセスレベルの条件を満たしている場合にのみ、アクセス権が付与されます。
プリンシパルをさらに追加するには、[プリンシパルを追加] をもう一度クリックして、サブステップを繰り返します。

アクセスレベルの作成と管理は、Access Context Manager で行います。
ポリシーをアプリケーションに適用するには、[ポリシーを作成] をクリックします。

アプリケーションレベルのアクセスポリシーを変更する

単一のアプリケーションのポリシーを変更するには、[アプリケーション] ページに移動します。
[アプリケーション] に移動
編集するアプリケーションを見つけるには、次の操作を行います。
1. [アプリケーション] リストで、変更するアプリケーションを検索します。
2. アプリケーションの詳細を表示するには、[その他の操作] メニュー（）をクリックし、[詳細を表示] を選択します。
アプリケーションを編集するには、[編集] をクリックします。
ポリシーにプリンシパルを追加します。
プリンシパルは、ユーザー、グループ、ドメイン、またはサービスアカウントです。これらのプリンシパルには、割り当てたアクセスレベルに基づいてアクセス権が付与または拒否されます。
1. プリンシパルを追加するには、[プリンシパルを追加] をクリックします。
2. [プリンシパル] フィールドに、ユーザー、グループ、サービスアカウントのメールアドレスまたはドメイン名を入力します。
3. [アクセスレベル] プルダウンリストで、事前に定義されたコンテキストアウェアアクセスレベルを 1 つ以上選択します。選択したアクセスレベルの条件をプリンシパルが満たしている場合にのみ、アクセス権が付与されます。
プリンシパルをさらに追加するには、[プリンシパルを追加] をもう一度クリックして、サブステップを繰り返します。

アクセスレベルの作成と管理は、Access Context Manager で行います。
ポリシーをアプリケーションに適用するには、[保存] をクリックします。

gcloud

Service Discovery ゲートウェイレベルのバインディングを追加する

ユーザーにアプリケーションへのアクセス権を付与する前に、ユーザーに Secure Gateway レベルのサービスディスカバリ権限があることを確認してください。

gcloud beyondcorp security-gateways add-iam-policy-binding SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.serviceDiscoveryUser" \
    --member=MEMBER

次のように置き換えます。

SECURITY_GATEWAY_ID: セキュアゲートウェイの ID
PROJECT_ID: セキュアゲートウェイが構成されているプロジェクトの ID
MEMBER: Service Discovery ロールを割り当てるユーザー、グループ、サービスアカウント。詳細については、IAM プリンシパルをご覧ください。

アプリケーションレベルのバインディングを追加する

gcloud beyondcorp security-gateways applications add-iam-policy-binding APPLICATION_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.sgApplicationUser" \
    --member=MEMBER

次のように置き換えます。

APPLICATION_ID: アプリケーションリソースの ID
SECURITY_GATEWAY_ID: セキュアゲートウェイの ID
PROJECT_ID: セキュアゲートウェイが構成されているプロジェクトの ID
MEMBER: Service Discovery ロールを割り当てるユーザー、グループ、サービスアカウント。詳細については、IAM プリンシパルをご覧ください。

条件付きバインディングを追加する

条件付きでバインディングを追加することもできます。条件では、特定の場所から発信されたユーザーの IP アドレスなどの要件を指定します。（アクセスレベルは、組織レベルのアクセスポリシーまたはスコープ付きアクセスポリシーのいずれかで定義できます）。

次のコマンド例では、送信元 IP アドレスが指定されたアクセスレベル内にある場合にのみアクセス権が付与されます。

gcloud beyondcorp security-gateways applications add-iam-policy-binding APPLICATION_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.sgApplicationUser" \
    --member=MEMBER \
    --condition="expression='accessPolicies/1234567890/accessLevels/in_us' in request.auth.access_levels,title=Source IP must be in US"

Service Discovery ゲートウェイレベルのバインディングを削除する

Secure Gateway レベルでユーザーの Service Discovery 権限を取り消します。

gcloud beyondcorp security-gateways remove-iam-policy-binding SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.serviceDiscoveryUser" \
    --member=MEMBER

次のように置き換えます。

SECURITY_GATEWAY_ID: セキュアゲートウェイの ID
PROJECT_ID: セキュアゲートウェイが構成されているプロジェクトの ID
MEMBER: Service Discovery ロールを削除するユーザー、グループ、またはサービスアカウント。詳細については、IAM プリンシパルをご覧ください。

アプリケーションレベルのバインディングを削除する

gcloud beyondcorp security-gateways applications remove-iam-policy-binding APPLICATION_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.sgApplicationUser" \
    --member=MEMBER

次のように置き換えます。

APPLICATION_ID: アプリケーションリソースの ID
SECURITY_GATEWAY_ID: セキュアゲートウェイの ID
PROJECT_ID: セキュアゲートウェイが構成されているプロジェクトの ID
MEMBER: Service Discovery ロールを削除するユーザー、グループ、またはサービスアカウント。詳細については、IAM プリンシパルをご覧ください。

条件付きバインディングを削除する

条件付きのバインディングを削除することもできます。条件では、特定の場所から発信されたユーザーの IP アドレスなどの要件を指定します。（アクセスレベルは、組織レベルのアクセスポリシーまたはスコープ付きアクセスポリシーのいずれかで定義できます）。

次のコマンド例では、指定されたアクセスレベルの条件付きバインディングを削除します。

gcloud beyondcorp security-gateways applications remove-iam-policy-binding APPLICATION_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.sgApplicationUser" \
    --member=MEMBER \
    --condition="expression='accessPolicies/1234567890/accessLevels/in_us' in request.auth.access_levels,title=Source IP must be in US"

REST

アクセスポリシーを安全に更新する

setIamPolicy コマンドは、既存のポリシー全体を指定したポリシーに置き換えます。既存の権限を誤って削除しないように、次の「読み取り、変更、書き込み」パターンを使用することをおすすめします。このパターンは、既存の権限が誤って削除されるのを防ぐのに役立ちます。

読み取り: 現在のアクセスポリシーをファイルに保存します。
変更: ポリシーファイルをローカルで編集して、権限を追加または変更します。
書き込み: 更新したポリシーファイルを適用します。

Service Discovery ゲートウェイレベルのポリシーを設定する

サービスディスカバリ権限を付与するには、個々のアプリケーションではなく、セキュアゲートウェイにアクセスポリシーを設定する必要があります。これは、「read-modify-write」パターンに従います。

現在のポリシーを取得し、gateway_policy.json という名前のファイルに保存します。

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID:getIamPolicy" > gateway_policy.json

次に、テキストエディタで gateway_policy.json ファイルを開き、アプリケーションレベルの変更と同様に、roles/beyondcorp.serviceDiscoveryUser ロールの members リストに必要なプリンシパルを追加します。

gateway_policy.json ファイルは次のようになります。

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.serviceDiscoveryUser",
      "members": [
        "group:existing-group@example.com"
      ]
    }
  ],
  "etag": "BwXN8_d-bOM="
}

ポリシーバインディングでは、serviceAccount、user、group、principal、principalSet などの他のタイプのメンバーを追加することもできます。詳細については、IAM プリンシパルをご覧ください。

更新されたポリシーを適用します。

jq '{policy: .}' gateway_policy.json | curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -d @- \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID:setIamPolicy"

アプリケーションレベルのアクセスポリシーを設定する

現在のポリシーを取得する

現在のポリシーを取得します。etag フィールドは、複数の管理者が同時に変更を加えた場合に更新の競合を防ぎます。

次のコマンドは、ポリシーを取得して policy.json という名前のファイルに保存します。

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID/applications/APPLICATION_ID:getIamPolicy" > policy.json

次のように置き換えます。

PROJECT_ID: セキュアゲートウェイが構成されているプロジェクトの ID
SECURITY_GATEWAY_ID: セキュアゲートウェイの ID
APPLICATION_ID: アプリケーションリソースの ID

このコマンドは、現在のポリシーを含む policy.json ファイルを作成します。

ポリシーファイルを変更する

セキュアゲートウェイを使用するアクセス権をグループに付与する手順は次のとおりです。

テキストエディタで policy.json ファイルを開きます。
roles/beyondcorp.securityGatewayUser ロールの members リストにグループを追加します。

policy.json ファイルは次のようになります。

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.sgApplicationUser",
      "members": [
        "group:existing-group@example.com"
      ]
    }
  ],
  "etag": "BwXN8_d-bOM="
}

グループを追加するには、members 配列に新しいエントリを追加します。前のエントリの後にカンマを挿入します。次の例では、new-group@example.com を追加します。

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.sgApplicationUser",
      "members": [
        "group:existing-group@example.com",
        "group:new-group@example.com"
      ]
    }
  ],
  "etag": "BwXN8_d-bOM="
}

更新されたポリシーを適用する

policy.json ファイルを編集して保存したら、setIamPolicy コマンドを使用してリソースに適用します。このコマンドは、ファイルから etag を使用して、正しいバージョンを更新します。

jq '{policy: .}' policy.json | curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -d @- \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID/applications/APPLICATION_ID:setIamPolicy"

次のように置き換えます。

PROJECT_ID: セキュアゲートウェイが構成されているプロジェクトの ID
SECURITY_GATEWAY_ID: セキュアゲートウェイの ID
APPLICATION_ID: アプリケーションリソースの ID

条件付きアクセスポリシーを追加する

条件付きのアクセスポリシーを設定することもできます。条件では、特定の場所から発信されたユーザーの IP アドレスなどの要件を指定します。（アクセスレベルは、組織レベルのアクセスポリシーまたはスコープ付きアクセスポリシーのいずれかで定義できます）。

次のポリシーの例では、送信元 IP アドレスが指定されたアクセスレベル内にある場合にのみアクセス権が付与されます。

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.sgApplicationUser",
      "members": [
        "group:group@example.com"
      ],
      "condition": {
        "expression": "request.auth.access_levels.contains('accessPolicies/1234567890/accessLevels/in_us')",
        "title": "Source IP must be in US"
      }
    }
  ],
  "etag": "BwXN8_d-bOM="
}

このポリシーを適用するには、前述の手順に沿って操作します。

コンテキストアウェアアクセスでセキュリティを強化する

セキュリティをさらに強化し、管理対象の Google Chrome インスタンスのみがセキュリティゲートウェイを介してウェブアプリケーションにアクセスできるようにするには、コンテキストアウェアアクセス（CAA）ルールを追加することをおすすめします。このルールは、ユーザーの Chrome プロファイルが管理下にあることを確認し、管理対象外または悪意のあるブラウザからの不正使用を防ぎます。

注: この機能を利用するには、Endpoint Verification 拡張機能のインストールと設定が必要です。

これを実装するには、Access Context Manager のカスタムアクセスレベルに条件を追加します。条件の例を次に示します。

  device.chrome.management_state == ChromeManagementState.CHROME_MANAGEMENT_STATE_PROFILE_MANAGED

この状態の設定、確認、管理方法については、Chrome ブラウザの属性をご覧ください。

Chrome Enterprise Premium 拡張機能をインストールする

Chrome Enterprise Premium 拡張機能は、セキュアゲートウェイに不可欠な要素で、認証をスムーズに行えるようにします。この拡張機能は、セキュアゲートウェイのすべてのユーザーにインストールする必要があります。拡張機能のデプロイについては、アプリや拡張機能を表示、設定するをご覧ください。Chrome Enterprise Premium 拡張機能をインストールするには、次の操作を行います。

Google 管理コンソールに移動します。
[Chrome ブラウザ] > [アプリと拡張機能] をクリックします。
[ユーザーとブラウザ] タブをクリックします。
Chrome 拡張機能を追加するには、[+] ボタンをクリックし、[Chrome アプリや拡張機能を ID で追加] を選択します。
次の ID を使用して Secure Enterprise Browser 拡張機能を検索し、組織部門またはグループ内のすべてのユーザーに対してインストールポリシーを [強制インストール] に設定します。
```
ekajlcmdfcigmdbphhifahdfjbkciflj
```
インストールした拡張機能をクリックし、[拡張機能のポリシー] フィールドに次の JSON 値を入力します。
```
{
  "securityGateway": {
    "Value": {
      "authentication": {},
      "context": { "resource": "projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID" },
      "serviceDiscovery": { "routes": {} }
    }
  }
}
```
次のように置き換えます。
- PROJECT_ID: セキュアゲートウェイが構成されているプロジェクトの ID
- SECURITY_GATEWAY_ID: セキュアゲートウェイの ID
構成を保存するには、[保存] をクリックします。

以前の PAC ファイルの設定

サービスディスカバリを有効にすると、Chrome ブラウザクライアントが構成済みのアプリケーションへのトラフィックを自動的に検出してセキュアゲートウェイ経由でルーティングできるようになり、PAC ファイルを使用した手動ルーティング構成が不要になります。

セキュアゲートウェイでサービスディスカバリが有効になっていない場合は、レガシー設定になっています。Chrome ブラウザクライアントのルーティングを制御するには、PAC ファイルを構成する必要があります。

以前のセットアップがあるかどうかを確認するには、次のコマンドを使用してサービスディスカバリが有効になっているかどうかを確認します。

gcloud

gcloud beyondcorp security-gateways describe SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global | grep -i "serviceDiscovery"

REST

curl --silent \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID" | grep -i "serviceDiscovery"

コマンドが何も出力しない場合、ゲートウェイは以前の設定を使用しています。以前の設定を使用するゲートウェイの場合、ルーティングはホストされている PAC ファイルを使用して処理されます。

ステップ 1: PAC ファイルを作成してホストする

次の JavaScript を含む pac_config.js という名前のファイルを作成します。HOST_NAME は、アプリケーションのドメイン（myapp.example.com など）に置き換えます。

function FindProxyForURL(url, host) {
  const PROXY = "HTTPS via.prod.securegateway.goog:443";
  const sites = ["HOST_NAME"];

  for (const site of sites) {
    if (shExpMatch(url, 'https://' + site + '/*') || shExpMatch(url, '*.' + site + '/*')) {
      return PROXY;
    }
  }
  return 'DIRECT';
}

PAC ファイルを Cloud Storage バケットなどのホスティングサービスにアップロードします。
- ファイルが一般公開でダウンロード可能であることを確認します。
- HTTP ヘッダー Cache-Control を no-cache に設定して、ブラウザが常に最新のルーティングルールを取得するようにします。
アップロードした PAC ファイルの公開 URL をコピーします。

ステップ 2: Google 管理コンソールで PAC ファイルを適用する

Google 管理コンソールに移動します。
[デバイス] > [Chrome ] > [設定] に移動します。
組織部門またはグループを選択し、[プロキシモード] をクリックします。
[プロキシモード] で、[常に下記に指定したプロキシの自動設定を使用する] を選択します。
ホストされている PAC ファイルの公開 URL を指定のフィールドに入力します。
[保存] をクリックします。

ステップ 3: Chrome Enterprise Premium 拡張機能を構成する

拡張機能は認証を処理する必要があります。この拡張機能ポリシーは、serviceDiscovery ブロックを除外しているため、標準構成とは異なります。

Google 管理コンソールで、[Chrome ブラウザ> アプリと拡張機能] に移動します。
[ユーザーとブラウザ] タブに移動し、Secure Enterprise Browser 拡張機能（ekajlcmdfcigmdbphhifahdfjbkciflj）が追加され、適用されていることを確認します。

拡張機能をクリックし、[拡張機能のポリシー] フィールドに次の JSON 値を入力します。

{
  "securityGateway": {
    "Value": {
      "authentication": {},
      "context": {
        "resource": "projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID"
      }
    }
  }
}

[保存] をクリックします。

サービスディスカバリの設定に移行する

以前のセキュアゲートウェイを PAC ファイル設定から新しいサービスディスカバリ設定に移行するには、手動で機能を有効にして構成を更新する必要があります。

セキュアゲートウェイでサービスディスカバリを有効にする: 既存のゲートウェイを更新して、サービスディスカバリを有効にします。

gcloud

gcloud beyondcorp security-gateways update SECURITY_GATEWAY_ID \
--project=PROJECT_ID \
--location=global \
--service-discovery={}

REST

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{ "service_discovery": {} }' \
"https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID?updateMask=service_discovery"

ゲートウェイレベルのアクセスポリシーを設定する: サービスディスカバリを使用できるように、ゲートウェイレベルでユーザーに roles/beyondcorp.serviceDiscoveryUser ロールを付与します。Service Discovery ゲートウェイレベルのバインディングを追加するの手順に沿って操作します。
Chrome Enterprise Premium 拡張機能の設定を更新する: Chrome Enterprise Premium 拡張機能をインストールするの手順に沿って、拡張機能ポリシーを更新します。新しい JSON 構成には "serviceDiscovery": { "routes": {} } ブロックを含める必要があります。
以前の PAC ファイルを削除する: サービスディスカバリが有効になると、以前の PAC ファイルは不要になります。
1. Google 管理コンソールで、[デバイス> Chrome > 設定 > ユーザーとブラウザの設定 > ネットワーク] に移動します。
2. [プロキシモード] 設定を見つけます。
3. プロキシ自動設定（PAC）URL を削除するか、設定を [常に下記に指定したプロキシの自動設定を使用する] から、[ユーザーによる設定を許可する] など、ネットワークに適したモードに切り替えます。
4. [保存] をクリックします。

エンドユーザーエクスペリエンス

設定が完了すると、保護された SaaS アプリケーションにアクセスしたエンドユーザーは、アプリケーションに適用されたアクセスポリシーに基づいてアクセスが許可または拒否されます。

Chrome でアプリケーションにアクセスする

トラフィックがセキュアゲートウェイを経由するよう制御するには、Chrome Enterprise Premium 拡張機能が必要です。拡張機能は、ユーザーとセキュアゲートウェイ間の認証を処理します。この拡張機能はドメインポリシーによって自動的にインストールされます。

ユーザーが構成した SaaS アプリケーションにアクセスすると、トラフィックがセキュアゲートウェイを経由し、アクセスポリシーを満たしているかどうかがここでチェックされます。ユーザーがアクセスポリシーのチェックに合格すると、アプリケーションへのアクセス権が付与されます。

アプリケーションへのブラウザアクセスが認証ポリシーによって拒否された場合、ユーザーに Access denied メッセージが表示されます。

SaaS アプリケーションへのセキュアなアクセス コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

SaaS アプリケーションへのアクセスを保護する仕組み

必要なロール

始める前に

制限事項

シェル環境の設定

セキュア ゲートウェイを作成する

Console

gcloud

REST

SaaS アプリケーションを構成する

Console

gcloud

REST

アプリケーション リソースを作成する

Google Cloudでセキュア ゲートウェイ アプリケーション リソースを作成する

Console

gcloud

REST

アクセス ポリシーを構成する

Console

複数のアプリケーションのポリシーを作成する

アプリケーション レベルのアクセス ポリシーを変更する

gcloud

Service Discovery ゲートウェイレベルのバインディングを追加する

アプリケーション レベルのバインディングを追加する

条件付きバインディングを追加する

Service Discovery ゲートウェイレベルのバインディングを削除する

アプリケーション レベルのバインディングを削除する

条件付きバインディングを削除する

REST

アクセス ポリシーを安全に更新する

Service Discovery ゲートウェイ レベルのポリシーを設定する

アプリケーション レベルのアクセス ポリシーを設定する

現在のポリシーを取得する

ポリシー ファイルを変更する

更新されたポリシーを適用する

条件付きアクセス ポリシーを追加する

コンテキストアウェア アクセスでセキュリティを強化する

Chrome Enterprise Premium 拡張機能をインストールする

以前の PAC ファイルの設定

gcloud

REST

ステップ 1: PAC ファイルを作成してホストする

ステップ 2: Google 管理コンソールで PAC ファイルを適用する

ステップ 3: Chrome Enterprise Premium 拡張機能を構成する

サービス ディスカバリの設定に移行する

gcloud

REST

エンドユーザー エクスペリエンス

Chrome でアプリケーションにアクセスする

次のステップ

SaaS アプリケーションへのセキュアなアクセス

セキュアゲートウェイを作成する

アプリケーションリソースを作成する

Google Cloudでセキュアゲートウェイアプリケーションリソースを作成する

アクセスポリシーを構成する

アプリケーションレベルのアクセスポリシーを変更する

アプリケーションレベルのバインディングを追加する

アプリケーションレベルのバインディングを削除する

アクセスポリシーを安全に更新する

Service Discovery ゲートウェイレベルのポリシーを設定する

アプリケーションレベルのアクセスポリシーを設定する

ポリシーファイルを変更する

条件付きアクセスポリシーを追加する

コンテキストアウェアアクセスでセキュリティを強化する

サービスディスカバリの設定に移行する

エンドユーザーエクスペリエンス