O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Acesso seguro a aplicativos SaaS

Esta página mostra como proteger seus aplicativos SaaS com o gateway seguro do Chrome Enterprise Premium.

Um gateway seguro do Chrome Enterprise Premium funciona como um proxy de encaminhamento, aplicando um framework de acesso de confiança zero e oferecendo controle granular e baseado no contexto sobre quem acessa seus aplicativos SaaS.

Como funciona a proteção do acesso a aplicativos SaaS

Confira a seguir uma visão geral de como um gateway seguro protege seus aplicativos SaaS:

As configurações do navegador do lado do cliente roteiam o tráfego do aplicativo por um proxy de gateway seguro.
O gateway seguro verifica as políticas de acesso baseado no contexto para autorizar o acesso do cliente (usuário e dispositivo).
Se o acesso do cliente for permitido, o gateway encaminhará o tráfego para o aplicativo usando endereços IP de origem exclusivos atribuídos a esse gateway e à região Google Cloud. Esses endereços IP atribuídos são reservados exclusivamente para o gateway que você criar e não podem ser usados por outros usuários ou gateways. Para controlar o acesso, adicione esses endereços IP de origem dedicados a uma lista de permissões no aplicativo SaaS.

Funções exigidas

Peça ao administrador para conceder os seguintes papéis:

Administrador do Cloud BeyondCorp (roles/beyondcorp.admin) para configurar o Chrome Enterprise Premium no projeto
Administrador do Access Context Manager (roles/accesscontextmanager.policyAdmin) para ler e adicionar novos níveis de acesso
Leitor do Service Usage (roles/serviceusage.serviceUsageViewer) para usar o console do Google Cloud

Saiba mais sobre os papéis do Identity and Access Management (IAM).

Políticas obrigatórias do Chrome Enterprise

A autenticação de proxy do gateway seguro requer o esquema de autenticação HTTP Basic. Se você configurar políticas de autenticação do Chrome Enterprise para sua organização, verifique as seguintes configurações de política:

AuthSchemes precisa incluir a autenticação basic (ativada por padrão quando a política não está definida). Como alternativa, no Chrome 157 e versões mais recentes, se a organização remover basic de AuthSchemes, será possível configurar AllHttpAuthSchemesAllowedForProxies para incluir os endpoints de proxy do gateway seguro (por exemplo, via.prod.securegateway.goog:443). Outros valores em AuthSchemes não afetam a autenticação de proxy do gateway seguro.
BasicAuthOverHttpEnabled precisa ser definido como 0 (false ou desativado) para impedir que conexões HTTP não seguras usem o esquema de autenticação Basic.

Antes de começar

Antes de configurar o gateway seguro, verifique se você tem o seguinte:

Uma licença do Chrome Enterprise Premium.
Acesso ao Google Admin Console com uma conta de administrador.
Os serviços adicionais do Google sem controle individual estão ativados.
O serviço doGoogle Cloud está ativado para seus usuários.
Um projeto do Google Cloud com uma conta de faturamento atribuída e a seguinte API ativada: API BeyondCorp
Um aplicativo SaaS que você quer proteger. O aplicativo precisa ser compatível com IP allowlisting para aplicar as verificações de segurança do gateway seguro.

Limitações

Um gateway seguro do Chrome Enterprise Premium tem as seguintes limitações:

Conectividade IPv6: o gateway seguro do Chrome Enterprise Premium não é compatível com aplicativos SaaS que usam conectividade IPv6.
Provedor de identidade como um aplicativo SaaS: um provedor de identidade não pode ser configurado como um aplicativo SaaS para ser protegido pelo gateway seguro se a autenticação do usuário final com o gateway seguro depender do mesmo IdP.

Configurar o ambiente shell

Para simplificar o processo de configuração e interagir com as APIs do gateway seguro, defina as seguintes variáveis de ambiente no shell de trabalho.

Parameters gerais
```
PROJECT_ID=PROJECT_ID
APPLICATION_ID=APPLICATION_ID
APPLICATION_DISPLAY_NAME="APPLICATION_DISPLAY_NAME"
HOST_NAME=HOST_NAME
```
Substitua:
- PROJECT_ID: o ID do projeto em que o gateway seguro foi criado.
- APPLICATION_ID: o ID do aplicativo, como github. O nome pode ter até 63 caracteres e conter letras minúsculas, números e hifens. O primeiro caractere precisa ser uma letra, e o último pode ser uma letra ou um número.
- APPLICATION_DISPLAY_NAME: o nome legível por humanos a ser exibido.
- HOST_NAME: o nome do host do aplicativo. Por exemplo, github.com. O nome do host pode ter até 253 caracteres e precisa seguir um dos seguintes formatos:
  - Um endereço IPv4 válido
  - Um endereço IPv6 válido
  - Um nome DNS válido
  - Um asterisco (*)
  - Um asterisco (*) seguido por um nome DNS válido
Parâmetros do gateway seguro
```
SECURITY_GATEWAY_ID=SECURITY_GATEWAY_ID
SECURITY_GATEWAY_DISPLAY_NAME="SECURITY_GATEWAY_DISPLAY_NAME"
```
Substitua:
- SECURITY_GATEWAY_ID: o ID do gateway seguro. O ID pode ter até 63 caracteres e conter letras minúsculas, números e hifens. O primeiro caractere precisa ser uma letra, e o último pode ser uma letra ou um número.
- SECURITY_GATEWAY_DISPLAY_NAME: o nome legível por humanos do gateway seguro. O nome pode ter até 63 caracteres e só pode conter caracteres imprimíveis.

Criar um gateway seguro

Um gateway seguro do Chrome Enterprise Premium é um elemento fundamental para estabelecer conexões seguras com seus aplicativos. Ele aloca um projeto e uma rede dedicados, proporcionando isolamento e segurança.

Console

Para criar um recurso de gateway seguro, faça o seguinte:

No console do Google Cloud , acesse a página gateway seguro.
Acessar o gateway seguro
Selecione o projeto para o qual você quer criar o gateway seguro.
Para criar um gateway seguro, clique em Criar novo gateway e aguarde a conclusão do processo.
É possível acompanhar o progresso na seção "Notificações" do console do Google Cloud .
Antes de criar um recurso de aplicativo SaaS, recomendamos criar hubs de saída de SaaS. A flag hubs representa os recursos regionais necessários para ativar a conectividade de saída com o aplicativo de destino. É possível configurar um hub para cada região, e cada hub fornece dois endereços IP. Um gateway seguro pode ter no máximo 20 hubs. É possível especificar as seguintes regiões:
- africa-south1
- asia-east1
- asia-east2
- asia-northeast1
- asia-northeast2
- asia-northeast3
- asia-south1
- asia-south2
- asia-southeast1
- asia-southeast2
- asia-southeast3
- australia-southeast2
- europe-central2
- europe-north1
- europe-north2
- europe-southwest1
- europe-west1
- europe-west10
- europe-west12
- europe-west2
- europe-west3
- europe-west4
- europe-west6
- europe-west8
- europe-west9
- me-central1
- me-central2
- me-west1
- northamerica-northeast1
- northamerica-northeast2
- northamerica-south1
- southamerica-east1
- southamerica-west1
- us-central1
- us-central2
- us-east1
- us-east4
- us-east5
- us-east7
- us-south1
- us-west1
- us-west2
- us-west3
- us-west4
- us-west8
No console do Google Cloud , acesse a página Hubs de saída de SaaS.
Acessar "Adicionar hubs de saída de SaaS"
Selecione o projeto em que você quer criar os hubs de saída de SaaS.
Para adicionar um hub de saída de SaaS, clique em Adicionar hub de saída de SaaS.
Na lista suspensa, selecione as regiões em que você quer adicionar os hubs de saída. Para adicionar os hubs de saída, clique em Adicionar hub de saída de SaaS para adicionar mais de um hub. Quando terminar, clique em "Salvar" para criar os hubs de saída.

gcloud

Para criar um recurso de gateway seguro, execute o comando a seguir. Para a flag --hubs, especifique uma ou mais regiões da lista a seguir.

gcloud beyondcorp security-gateways create SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --display-name="SECURITY_GATEWAY_DISPLAY_NAME" \
    --hubs=us-central1 \
    --service-discovery={}

A flag hubs define os recursos regionais necessários para ativar a conectividade de saída com o aplicativo de destino. É possível ter um hub para cada região, e cada hub fornece dois endereços IP. Um gateway seguro pode ter no máximo 20 hubs. É possível especificar as seguintes regiões:

africa-south1
asia-east1
asia-east2
asia-northeast1
asia-northeast2
asia-northeast3
asia-south1
asia-south2
asia-southeast1
asia-southeast2
asia-southeast3
australia-southeast2
europe-central2
europe-north1
europe-north2
europe-southwest1
europe-west1
europe-west10
europe-west12
europe-west2
europe-west3
europe-west4
europe-west6
europe-west8
europe-west9
me-central1
me-central2
me-west1
northamerica-northeast1
northamerica-northeast2
northamerica-south1
southamerica-east1
southamerica-west1
us-central1
us-central2
us-east1
us-east4
us-east5
us-east7
us-south1
us-west1
us-west2
us-west3
us-west4
us-west8

REST

Para criar um recurso de gateway seguro, chame o método Create da API com os detalhes do gateway no corpo da solicitação. Para a flag hubs, especifique uma ou mais regiões da lista a seguir.

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -X POST \
    -d '{ "display_name": "SECURITY_GATEWAY_DISPLAY_NAME", "hubs": { "us-central1": {} }, "service_discovery": {} }' \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways?security_gateway_id=SECURITY_GATEWAY_ID"

A flag hubs representa os recursos regionais necessários para ativar a conectividade de saída com o aplicativo de destino. É possível ter um hub para cada região, e cada hub fornece dois endereços IP. Um gateway seguro pode ter no máximo 20 hubs. É possível especificar as seguintes regiões:

africa-south1
asia-east1
asia-east2
asia-northeast1
asia-northeast2
asia-northeast3
asia-south1
asia-south2
asia-southeast1
asia-southeast2
asia-southeast3
australia-southeast2
europe-central2
europe-north1
europe-north2
europe-southwest1
europe-west1
europe-west10
europe-west12
europe-west2
europe-west3
europe-west4
europe-west6
europe-west8
europe-west9
me-central1
me-central2
me-west1
northamerica-northeast1
northamerica-northeast2
northamerica-south1
southamerica-east1
southamerica-west1
us-central1
us-central2
us-east1
us-east4
us-east5
us-east7
us-south1
us-west1
us-west2
us-west3
us-west4
us-west8

Configurar um aplicativo SaaS

Depois de criar um gateway seguro, configure seus aplicativos SaaS para usá-lo para acesso seguro.

Console

Para configurar hubs de saída de SaaS, faça o seguinte:

No console do Google Cloud , acesse a página Hubs de saída de SaaS.
Acessar "Adicionar hubs de saída de SaaS"
Na página Hubs de saída de SaaS, encontre a tabela que lista os hubs. Para cada região que você pretende usar, copie todos os endereços IP listados na coluna IPs de saída dedicados estáticos. Cada região fornece dois endereços IP.
Adicione os endereços IP à lista de permissões de IP do aplicativo SaaS. Por exemplo, para um aplicativo do GitHub, siga este guia: Como gerenciar endereços IP permitidos para sua organização.

gcloud

Para configurar hubs de saída de SaaS, faça o seguinte:

Receba os endereços IP alocados pelo gateway seguro para cada hub. Dois endereços IP são alocados para uma região.

gcloud beyondcorp security-gateways describe SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global

Veja a seguir um exemplo de resposta GET de um gateway seguro com hubs. No exemplo, hubs são criados nas regiões us-central1 e us-east1, e todos os endereços IP retornados na resposta precisam ser permitidos no aplicativo SaaS.

createTime: 'CREATE_TIME'
displayName: My secure gateway
hubs:
  us-central1:
    internetGateway:
      assignedIps:
      -   IP_ADDRESS_1
      -   IP_ADDRESS_2
  us-east1:
    internetGateway:
      assignedIps:
      -   IP_ADDRESS_1
      -   IP_ADDRESS_2
name: projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID
state: RUNNING
updateTime: 'UPDATE_TIME'

Adicione os endereços IP à lista de permissões de IP do aplicativo SaaS. Por exemplo, para um aplicativo do GitHub, siga este guia: Como gerenciar endereços IP permitidos para sua organização.

REST

Para configurar hubs de saída de SaaS, faça o seguinte:

Receba os endereços IP alocados pelo gateway seguro para cada hub. Dois endereços IP são alocados para uma região.

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID"

{
  "securityGateways": [
    {
      "name": "projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID",
      "createTime": "CREATE_TIME",
      "updateTime": "UPDATE_TIME",
      "displayName": "My secure gateway",
      "state": "RUNNING",
      "hubs": {
        "us-central1": {
          "internetGateway": {
            "assignedIps": [
              "IP_ADDRESS_1",
              "IP_ADDRESS_2",
            ]
          }
        },
        "us-east1": {
          "internetGateway": {
            "assignedIps": [
              "IP_ADDRESS_1",
              "IP_ADDRESS_2",
            ]
          }
        }
      }
    }
  ]
}

Adicione os endereços IP à lista de permissões de IP do aplicativo SaaS. Por exemplo, para um aplicativo do GitHub, siga este guia: Como gerenciar endereços IP permitidos para sua organização.

Criar um recurso de aplicativo

As informações a seguir orientam você no processo de configuração de um recurso de aplicativo de gateway seguro.

Criar um recurso de aplicativo de gateway seguro em Google Cloud

O recurso de aplicativo Google Cloud é um sub-recurso do recurso de gateway seguro. Crie um recurso de aplicativo usando o console do Google Cloud ou chamando a API Create.

Console

Para criar um aplicativo SaaS, faça o seguinte:

No console do Google Cloud , acesse a página gateway seguro.
Acessar o gateway seguro
Para criar um aplicativo, clique em Adicionar aplicativo.
Selecione o tipo de aplicativo: Aplicativo público.
Se os hubs de saída de SaaS ainda não estiverem configurados para esse gateway seguro, você precisará criá-los. Os aplicativos públicos exigem pelo menos um hub de saída de SaaS. Para configurar hubs de saída de SaaS, clique em Acessar hubs de saída de SaaS e adicione uma ou mais regiões.
Depois de ter um ou mais hubs de saída, clique em Próxima.
Insira os detalhes do aplicativo:
- Nome do aplicativo: insira um nome, por exemplo, GitHub.
- Correspondências de domínio: insira uma lista separada por vírgulas de padrões de domínio para rotear pelo gateway seguro. Inclua a porta no formato domain:port. Caracteres curinga (*) são permitidos. Exemplo: github.com:443.
Para configurar o aplicativo SaaS, clique em Continuar.
Configure seu aplicativo SaaS para permitir o tráfego do gateway seguro:

Anote ou copie todos os endereços IP listados para as regiões que você está usando. Esses endereços IP são exclusivos do seu gateway seguro.
Faça login no console de administração do aplicativo SaaS.
Acesse as configurações de rede ou de segurança em que as listas de permissão de IP são gerenciadas.
Adicione todos os endereços IP obtidos à lista de permissões de IP do aplicativo.

Para adicionar o aplicativo, clique em Continuar.
Opcional: Defina uma política de acesso: selecione uma política de acesso do Access Context Manager. Você pode pular esta etapa neste guia.
Para criar, salve as configurações e clique em Criar.

gcloud

Para criar um aplicativo SaaS usando a gcloud, execute o seguinte comando:

gcloud beyondcorp security-gateways applications create APPLICATION_ID \
    --project=PROJECT_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --location=global \
    --display-name="APPLICATION_DISPLAY_NAME" \
    --endpoint-matchers="hostname=HOST_NAME,ports=443"

REST

Para criar um aplicativo SaaS usando a API REST, execute o seguinte comando:

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -X POST \
    -d "{ \"display_name\": \"APPLICATION_DISPLAY_NAME\", \"endpoint_matchers\": [{hostname: \"HOST_NAME\", ports: 443}] }" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID/applications?application_id=APPLICATION_ID"

Configurar uma política de acesso

É possível aplicar uma política de acesso para controlar o acesso no nível do aplicativo. Se nenhuma política de acesso estiver configurada, o acesso ao aplicativo será negado por padrão.

Console

Criar uma política para vários aplicativos

Para configurar uma política de acesso, faça o seguinte:

Para criar uma política que se aplique a vários aplicativos vinculados ao gateway seguro, acesse a página Políticas.
Acessar Políticas
Para adicionar políticas de acesso aos aplicativos, clique em Criar política.
Na lista suspensa, selecione os aplicativos em que você quer aplicar as políticas.
Adicione principais à política:
Os principais podem ser usuários, grupos, domínios ou contas de serviço. Esses participantes recebem ou têm o acesso negado com base nos níveis de acesso que você atribui.
1. Para adicionar um principal, clique em Adicionar principal.
2. No campo Principal, insira o endereço de e-mail do usuário, grupo, conta de serviço ou nome de domínio.
3. No menu suspenso Níveis de acesso, selecione um ou mais níveis predefinidos de Acesso Baseado no Contexto. O acesso só será concedido se o principal atender às condições dos níveis de acesso selecionados.
Para adicionar mais principais, clique em Adicionar principal novamente e repita as subetapas.

É possível criar e gerenciar níveis de acesso no Access Context Manager.
Para aplicar a política ao aplicativo, clique em Criar política.

Modificar uma política de acesso no nível do aplicativo

Para modificar uma política de um único aplicativo, acesse a página Aplicativos.
Acesse Aplicativos
Para encontrar o aplicativo que você quer editar, faça o seguinte:
1. Na lista Aplicativos, procure o aplicativo que você quer modificar.
2. Para ver os detalhes do aplicativo, clique no menu Mais ações () e selecione Ver detalhes.
Para editar o aplicativo, clique em Editar.
Adicione principais à política:
Os principais podem ser usuários, grupos, domínios ou contas de serviço. Esses participantes recebem ou têm o acesso negado com base nos níveis de acesso que você atribui.
1. Para adicionar um principal, clique em Adicionar principal.
2. No campo Principal, insira o endereço de e-mail do usuário, grupo, conta de serviço ou nome de domínio.
3. Na lista suspensa Níveis de acesso, selecione um ou mais níveis de acesso baseado no contexto predefinidos. O acesso só será concedido se o principal atender às condições dos níveis de acesso selecionados.
Para adicionar mais principais, clique em Adicionar principal novamente e repita as subetapas.

É possível criar e gerenciar níveis de acesso no Access Context Manager.
Para aplicar a política ao aplicativo, clique em Salvar.

gcloud

Adicionar uma vinculação no nível do gateway de descoberta de serviços

Antes de conceder acesso a um aplicativo, verifique se o usuário tem permissões de descoberta de serviços no nível do gateway seguro.

gcloud beyondcorp security-gateways add-iam-policy-binding SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.serviceDiscoveryUser" \
    --member=MEMBER

Substitua:

SECURITY_GATEWAY_ID: o ID do gateway seguro.
PROJECT_ID: o ID do projeto em que o gateway seguro está configurado
MEMBER: o usuário, grupo ou conta de serviço a que você quer atribuir o papel de descoberta de serviços. Para mais informações, consulte Principais do IAM.

Adicionar uma vinculação no nível do aplicativo

gcloud beyondcorp security-gateways applications add-iam-policy-binding APPLICATION_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.sgApplicationUser" \
    --member=MEMBER

Substitua:

APPLICATION_ID: o ID do recurso do aplicativo.
SECURITY_GATEWAY_ID: o ID do gateway seguro.
PROJECT_ID: o ID do projeto em que o gateway seguro está configurado
MEMBER: o usuário, grupo ou conta de serviço a que você quer atribuir o papel de descoberta de serviços. Para mais informações, consulte Principais do IAM.

Adicionar uma vinculação condicional

Também é possível adicionar uma vinculação com condições. As condições especificam requisitos, como o endereço IP de um usuário originado de um local específico. O nível de acesso pode ser definido em uma política de acesso no nível da organização ou em uma política de acesso com escopo.

O exemplo de comando a seguir concede acesso somente se o endereço IP de origem estiver em um nível de acesso especificado:

gcloud beyondcorp security-gateways applications add-iam-policy-binding APPLICATION_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.sgApplicationUser" \
    --member=MEMBER \
    --condition="expression='accessPolicies/1234567890/accessLevels/in_us' in request.auth.access_levels,title=Source IP must be in US"

Remover uma vinculação no nível do gateway da Descoberta de Serviços

Revogar as permissões de descoberta de serviços de um usuário no nível do gateway seguro.

gcloud beyondcorp security-gateways remove-iam-policy-binding SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.serviceDiscoveryUser" \
    --member=MEMBER

Substitua:

SECURITY_GATEWAY_ID: o ID do gateway seguro.
PROJECT_ID: o ID do projeto em que o gateway seguro está configurado
MEMBER: o usuário, grupo ou conta de serviço de que você quer remover o papel de Descoberta de Serviços. Para mais informações, consulte Principais do IAM.

Remover uma vinculação no nível do aplicativo

gcloud beyondcorp security-gateways applications remove-iam-policy-binding APPLICATION_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.sgApplicationUser" \
    --member=MEMBER

Substitua:

APPLICATION_ID: o ID do recurso do aplicativo.
SECURITY_GATEWAY_ID: o ID do gateway seguro.
PROJECT_ID: o ID do projeto em que o gateway seguro está configurado
MEMBER: o usuário, grupo ou conta de serviço de que você quer remover o papel de Descoberta de Serviços. Para mais informações, consulte Principais do IAM.

Remover uma vinculação condicional

Também é possível remover uma vinculação com condições. As condições especificam requisitos, como o endereço IP de um usuário originado de um local específico. O nível de acesso pode ser definido em uma política de acesso no nível da organização ou em uma política de acesso com escopo.

O exemplo de comando a seguir remove uma vinculação condicional com um nível de acesso especificado:

gcloud beyondcorp security-gateways applications remove-iam-policy-binding APPLICATION_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.sgApplicationUser" \
    --member=MEMBER \
    --condition="expression='accessPolicies/1234567890/accessLevels/in_us' in request.auth.access_levels,title=Source IP must be in US"

REST

Atualizar uma política de acesso com segurança

O comando setIamPolicy substitui toda a política atual pela que você fornecer. Para evitar a remoção acidental de permissões, recomendamos que você use o seguinte padrão de "leitura-modificação-gravação". Esse padrão ajuda a evitar a remoção acidental de permissões atuais.

Leitura: salve a política de acesso atual em um arquivo.
Modificar: edite o arquivo de política localmente para adicionar ou alterar permissões.
Gravar: aplique o arquivo de política atualizado.

Definir uma política no nível do gateway de descoberta de serviços

Para conceder permissões de descoberta de serviços, defina uma política de acesso no gateway seguro, em vez de um aplicativo individual. Isso segue o mesmo padrão de "leitura-modificação-gravação".

Recupere a política atual e salve-a em um arquivo chamado gateway_policy.json.

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID:getIamPolicy" > gateway_policy.json

Em seguida, abra o arquivo gateway_policy.json em um editor de texto e adicione os principais necessários à lista members para o papel roles/beyondcorp.serviceDiscoveryUser, de forma semelhante às modificações no nível do aplicativo.

O arquivo gateway_policy.json é semelhante ao exemplo a seguir:

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.serviceDiscoveryUser",
      "members": [
        "group:existing-group@example.com"
      ]
    }
  ],
  "etag": "BwXN8_d-bOM="
}

Também é possível adicionar outros tipos de participantes, como serviceAccount, user, group, principal e principalSet, em vinculações de política. Para mais informações, consulte Principais do IAM.

Aplique a política atualizada:

jq '{policy: .}' gateway_policy.json | curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -d @- \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID:setIamPolicy"

Definir uma política de acesso no nível do aplicativo

Ver a política atual

Recuperar a política atual. O campo etag evita atualizações conflitantes se vários administradores fizerem mudanças ao mesmo tempo.

O comando a seguir recupera a política e a salva em um arquivo chamado policy.json.

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID/applications/APPLICATION_ID:getIamPolicy" > policy.json

Substitua:

PROJECT_ID: o ID do projeto em que o gateway seguro está configurado
SECURITY_GATEWAY_ID: o ID do gateway seguro.
APPLICATION_ID: o ID do recurso do aplicativo.

O comando cria um arquivo policy.json que contém a política atual.

Modificar o arquivo de política

Para conceder a um grupo acesso ao gateway seguro, faça o seguinte:

Abra o arquivo policy.json em um editor de texto.
Adicione o grupo à lista members do papel roles/beyondcorp.securityGatewayUser.

O arquivo policy.json é semelhante ao exemplo a seguir:

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.sgApplicationUser",
      "members": [
        "group:existing-group@example.com"
      ]
    }
  ],
  "etag": "BwXN8_d-bOM="
}

Para adicionar outro grupo, adicione uma nova entrada à matriz members. Inclua uma vírgula após a entrada anterior. O exemplo a seguir adiciona new-group@example.com:

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.sgApplicationUser",
      "members": [
        "group:existing-group@example.com",
        "group:new-group@example.com"
      ]
    }
  ],
  "etag": "BwXN8_d-bOM="
}

Aplicar a política atualizada

Depois de editar e salvar o arquivo policy.json, aplique-o ao recurso usando o comando setIamPolicy. Esse comando usa o etag do arquivo para garantir que você atualize a versão correta.

jq '{policy: .}' policy.json | curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -d @- \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID/applications/APPLICATION_ID:setIamPolicy"

Substitua:

PROJECT_ID: o ID do projeto em que o gateway seguro está configurado
SECURITY_GATEWAY_ID: o ID do gateway seguro.
APPLICATION_ID: o ID do recurso do aplicativo.

Adicionar uma política de acesso condicional

Também é possível definir políticas de acesso com condições. As condições especificam requisitos, como o endereço IP de um usuário originado de um local específico. O nível de acesso pode ser definido em uma política de acesso no nível da organização ou em uma política de acesso com escopo.

O exemplo de política a seguir concede acesso somente se o endereço IP de origem estiver em um nível de acesso especificado:

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.sgApplicationUser",
      "members": [
        "group:group@example.com"
      ],
      "condition": {
        "expression": "request.auth.access_levels.contains('accessPolicies/1234567890/accessLevels/in_us')",
        "title": "Source IP must be in US"
      }
    }
  ],
  "etag": "BwXN8_d-bOM="
}

Para aplicar essa política, siga as etapas descritas anteriormente.

Melhorar a segurança com o acesso baseado no contexto

Para aumentar ainda mais a segurança e garantir que apenas instâncias gerenciadas do Google Chrome possam acessar seus aplicativos da Web pelo gateway seguro, recomendamos adicionar uma regra de acesso baseado no contexto (CAA). Essa regra verifica se o perfil do Chrome do usuário está sob gerenciamento, evitando possíveis usos indevidos de navegadores não gerenciados ou maliciosos.

Observação: esse recurso exige a instalação e a configuração da extensão Verificação de endpoints.

Para implementar isso, adicione uma condição aos níveis de acesso personalizados do Access Context Manager. Veja um exemplo de condição que você pode adaptar:

  device.chrome.management_state == ChromeManagementState.CHROME_MANAGEMENT_STATE_PROFILE_MANAGED

Para mais informações sobre como configurar, verificar e gerenciar esse estado, consulte Atributos do navegador Chrome.

Instalar a extensão do Chrome Enterprise Premium

A extensão do Chrome Enterprise Premium é parte integrante de um gateway seguro e ajuda na autenticação. Instale a extensão para todos os usuários do gateway seguro. Para saber como implantar a extensão, consulte Ver e configurar apps e extensões. Para instalar a extensão do Chrome Enterprise Premium, faça o seguinte:

Acesse o Google Admin Console.
Clique em Navegador Chrome > Apps e extensões.
Clique na guia Usuários e navegadores.
Para adicionar a extensão do Chrome, clique no botão + e selecione Adicionar o app ou a extensão do Chrome pelo ID.
Pesquise a extensão Secure Enterprise Browser usando o ID a seguir e defina a política de instalação como Forçar instalação para todos os usuários na unidade organizacional ou no grupo:
```
ekajlcmdfcigmdbphhifahdfjbkciflj
```

Clique na extensão instalada e, no campo Política para extensões, insira o seguinte valor JSON:

{
  "securityGateway": {
    "Value": {
      "authentication": {},
      "context": { "resource": "projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID" },
      "serviceDiscovery": { "routes": {} }
    }
  }
}

Substitua:

PROJECT_ID: o ID do projeto em que o gateway seguro está configurado
SECURITY_GATEWAY_ID: o ID do gateway seguro.

Para salvar a configuração, clique em Salvar.

Configuração legada do arquivo PAC

Quando ativada, a Descoberta de Serviços permite que o cliente do navegador Chrome detecte e encaminhe automaticamente o tráfego para os aplicativos configurados pelo gateway seguro, eliminando a necessidade de configurações manuais de roteamento usando um arquivo PAC.

Se a descoberta de serviços não estiver ativada no gateway seguro, você tem uma configuração legada. Você precisará configurar um arquivo PAC para controlar o roteamento no cliente do navegador Chrome.

Para verificar se você tem a configuração legada, use os seguintes comandos para ver se a descoberta de serviços está ativada:

gcloud

gcloud beyondcorp security-gateways describe SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global | grep -i "serviceDiscovery"

REST

curl --silent \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID" | grep -i "serviceDiscovery"

Se o comando não retornar nenhuma saída, o gateway usará a configuração legada. Para gateways que usam a configuração legada, o roteamento é feito com um arquivo PAC hospedado.

Etapa 1: criar e hospedar o arquivo PAC

Crie um arquivo chamado pac_config.js com o JavaScript a seguir, substituindo HOST_NAME pelo domínio do seu aplicativo (por exemplo, myapp.example.com):

function FindProxyForURL(url, host) {
  const PROXY = "HTTPS via.prod.securegateway.goog:443";
  const sites = ["HOST_NAME"];

  for (const site of sites) {
    if (shExpMatch(url, 'https://' + site + '/*') || shExpMatch(url, '*.' + site + '/*')) {
      return PROXY;
    }
  }
  return 'DIRECT';
}

Faça upload do arquivo PAC para um serviço de hospedagem, como um bucket do Cloud Storage.
- Verifique se o arquivo está disponível para download público.
- Defina o cabeçalho HTTP Cache-Control como no-cache para que os navegadores sempre busquem as regras de rota mais recentes.
Copie o URL público do arquivo PAC enviado.

Etapa 2: aplicar o arquivo PAC no Google Admin Console

Acesse o Google Admin Console.
Acesse Dispositivos > Chrome > Configurações.
Selecione sua unidade organizacional ou grupo e clique em Modo proxy.
Em Modo de proxy, selecione Sempre usar a configuração automática de proxy especificada abaixo.
Insira o URL público do arquivo PAC hospedado no campo fornecido.
Clique em Salvar.

Etapa 3: configurar a extensão do Chrome Enterprise Premium

A extensão é necessária para processar a autenticação. Essa política de extensão é diferente da configuração padrão porque exclui o bloco serviceDiscovery.

No Google Admin Console, acesse Navegador Chrome > Apps e extensões.
Acesse a guia Usuários e navegadores e verifique se a extensão do Secure Enterprise Browser (ekajlcmdfcigmdbphhifahdfjbkciflj) foi adicionada e aplicada.

Clique na extensão e, no campo Política para extensões, insira o seguinte valor JSON:

{
  "securityGateway": {
    "Value": {
      "authentication": {},
      "context": {
        "resource": "projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID"
      }
    }
  }
}

Clique em Salvar.

Transição para a configuração de descoberta de serviços

Para fazer a transição do gateway seguro legado de uma configuração de arquivo PAC para a nova configuração de descoberta de serviços, ative o recurso manualmente e atualize as configurações.

Ativar a descoberta de serviços no gateway seguro: atualize o gateway para ativar a descoberta de serviços.

gcloud

gcloud beyondcorp security-gateways update SECURITY_GATEWAY_ID \
--project=PROJECT_ID \
--location=global \
--service-discovery={}

REST

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{ "service_discovery": {} }' \
"https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID?updateMask=service_discovery"

Defina a política de acesso no nível do gateway: conceda aos usuários o papel roles/beyondcorp.serviceDiscoveryUser no nível do gateway para que eles possam usar a descoberta de serviços. Siga as instruções na seção Adicionar uma vinculação no nível do gateway de descoberta de serviços.
Atualize a configuração da extensão do Chrome Enterprise Premium: siga as instruções na seção Instalar a extensão do Chrome Enterprise Premium para atualizar a política da extensão. A nova configuração JSON precisa incluir o bloco "serviceDiscovery": { "routes": {} }.
Remova o arquivo PAC legado: depois que a descoberta de serviços estiver ativa, o arquivo PAC legado não será mais necessário.
1. No Google Admin Console, acesse Dispositivos > Chrome > Configurações > Configurações de usuários e navegadores > Rede.
2. Encontre a configuração Modo de proxy.
3. Remova o URL de configuração automática de proxy (PAC) ou mude a configuração de Sempre usar a configuração automática de proxy especificada abaixo para um modo adequado à sua rede, como Permitir que o usuário configure.
4. Clique em Salvar.

Experiência do usuário final

Quando a configuração é concluída, os usuários finais que acessam o aplicativo SaaS protegido recebem ou não acesso com base na política de acesso aplicada ao aplicativo.

Como acessar o aplicativo no Chrome

A extensão do Chrome Enterprise Premium é necessária para direcionar o tráfego pelo gateway seguro. A extensão processa a autenticação entre o usuário e o gateway seguro. A extensão é instalada automaticamente pela política de domínio.

Quando os usuários acessam o aplicativo SaaS que você configurou, o tráfego deles passa pelo gateway seguro, que verifica se eles atendem à política de acesso. Se os usuários passarem nas verificações da política de acesso, eles terão acesso ao aplicativo.

Quando o acesso do navegador ao aplicativo é rejeitado pela política de autorização, os usuários recebem uma mensagem Access denied.

Acesso seguro a aplicativos SaaS Mantenha tudo organizado com as coleções Salve e categorize o conteúdo com base nas suas preferências.

Como funciona a proteção do acesso a aplicativos SaaS

Funções exigidas

Políticas obrigatórias do Chrome Enterprise

Antes de começar

Limitações

Configurar o ambiente shell

Criar um gateway seguro

Console

gcloud

REST

Configurar um aplicativo SaaS

Console

gcloud

REST

Criar um recurso de aplicativo

Criar um recurso de aplicativo de gateway seguro em Google Cloud

Console

gcloud

REST

Configurar uma política de acesso

Console

Criar uma política para vários aplicativos

Modificar uma política de acesso no nível do aplicativo

gcloud

Adicionar uma vinculação no nível do gateway de descoberta de serviços

Adicionar uma vinculação no nível do aplicativo

Adicionar uma vinculação condicional

Remover uma vinculação no nível do gateway da Descoberta de Serviços

Remover uma vinculação no nível do aplicativo

Remover uma vinculação condicional

REST

Atualizar uma política de acesso com segurança

Definir uma política no nível do gateway de descoberta de serviços

Definir uma política de acesso no nível do aplicativo

Ver a política atual

Modificar o arquivo de política

Aplicar a política atualizada

Adicionar uma política de acesso condicional

Melhorar a segurança com o acesso baseado no contexto

Instalar a extensão do Chrome Enterprise Premium

Configuração legada do arquivo PAC

gcloud

REST

Etapa 1: criar e hospedar o arquivo PAC

Etapa 2: aplicar o arquivo PAC no Google Admin Console

Etapa 3: configurar a extensão do Chrome Enterprise Premium

Transição para a configuração de descoberta de serviços

gcloud

REST

Experiência do usuário final

Como acessar o aplicativo no Chrome

A seguir

Acesso seguro a aplicativos SaaS