本文說明如何使用 Identity-Aware Proxy (IAP) TCP 轉送，透過虛擬機器 (VM) 執行個體的內部 IP 位址連線至該執行個體。
IAP TCP 轉送功能可讓您建立加密通道，將 SSH 連線轉送至 VM。連線至使用 IAP 的 VM 時，IAP 會先將 SSH 連線包裝在 HTTPS 內，再將連線轉送至 VM。接著，IAP 會檢查您是否具備必要 IAM 權限，如果具備，就會授予 VM 存取權。
如需連線至沒有外部 IP 位址的 VM，但無法使用 IAP，請參閱僅限內部 VM 的連線選項，瞭解其他方法。
事前準備
- 建立防火牆規則，啟用來自 IAP 的連線。
-
如果尚未設定驗證，請先完成設定。
驗證可確認您的身分，以便存取 Google Cloud 服務和 API。如要從本機開發環境執行程式碼或範例，請選取下列其中一個選項，向 Compute Engine 進行驗證：
選取這個頁面上的分頁，瞭解如何使用範例：
控制台
使用 Google Cloud 控制台存取 Google Cloud 服務和 API 時，無須設定驗證。
gcloud
-
安裝 Google Cloud CLI。 完成後，執行下列指令來初始化 Google Cloud CLI：
gcloud init若您採用的是外部識別資訊提供者 (IdP)，請先使用聯合身分登入 gcloud CLI。
-
- 設定預設地區和區域。
支援的作業系統
Compute Engine 提供的所有公開 Linux 映像檔都支援這些連線方法。如果是 Fedora CoreOS 映像檔，您必須先設定 SSH 存取權，才能使用這些方法。
連線至 VM
如要連線至 VM，請按照下列任一分頁中的步驟操作。
控制台
使用瀏覽器中的 SSH，透過 VM 的內部 IP 位址建立 SSH 連線通道，方法如下：
- 前往 Google Cloud 控制台的「VM instances」(VM 執行個體) 頁面。
- 在虛擬機器執行個體清單中，找到您要建立連線的執行個體，然後在該列中點選「SSH」SSH。
gcloud
使用 gcloud compute ssh 指令和 --tunnel-through-iap 標記，透過 VM 的內部 IP 位址建立 SSH 連線通道：
執行下列指令，連線至 VM：
gcloud compute ssh VM-NAME \ --tunnel-through-iap
在 Google Cloud 控制台中啟用 Cloud Shell。
Google Cloud 主控台底部會開啟一個 Cloud Shell 工作階段，並顯示指令列提示。Cloud Shell 是已安裝 Google Cloud CLI 的殼層環境，並已針對您目前的專案設定好相關值。工作階段可能要幾秒鐘的時間才能初始化。
將 VM_NAME 替換為要連線的 VM 名稱。
IAP Desktop
如要使用 IAP Desktop 連線至 VM，請按照下列步驟操作：
-
如果尚未在工作站上安裝 IAP Desktop，請先完成這項程序。
-
開啟 IAP Desktop。系統會開啟「Add projects」(新增專案) 視窗。
-
看到提示訊息後，請使用有權存取含有要連線 VM 的專案的 Google 帳戶登入。
-
在「新增專案」視窗中，輸入要連線的 VM 所在專案的 ID 或名稱。
-
在「Project Explorer」視窗中，再次以滑鼠右鍵按一下 VM 名稱，然後選取「Connect」，即可連線至 VM。
PuTTY 應用程式
使用 PuTTY 透過 VM 的內部 IP 位址建立 SSH 連線通道，方法如下：
- 如果尚未新增安全殼層金鑰，請新增安全殼層金鑰至 VM。
- 如果工作站尚未安裝 PuTTY 應用程式，請下載 PuTTY 套件檔案。
前往 Google Cloud 控制台的「VM Instances」(VM 執行個體) 頁面，並找到要連線的 VM 名稱。
- 開啟 PuTTY 應用程式，連線設定視窗隨即開啟。
在
Host Name欄位中，輸入安全殼層金鑰的相關使用者名稱，以及要連線的 VM 名稱。請使用下列格式：USERNAME@VM_NAME
更改下列內容：
USERNAME： 您的 使用者名稱。如果您在中繼資料中管理安全殼層金鑰， 使用者名稱就是您在建立安全殼層金鑰時指定的使用者名稱。 如果是 OS 登入帳戶，使用者名稱會定義在 Google 個人資料中。例如cloudysanfrancisco_example_com或cloudysanfrancisco。-
NAME：VM 的名稱。
- 在「Category」選單中，依序前往「Connection」>「SSH」>「Auth」。
- 在「Private key file for authentication」欄位中，選取與您新增至 VM 的公開金鑰對應的私密安全殼層金鑰檔案。
- 在「Category」選單中，依序前往「Connection」>「Proxy」。
- 在「Proxy type」部分，選取「Local」。
在「Telnet command, or local proxy command」欄位中，輸入下列指令：
gcloud.cmd compute start-iap-tunnel VM_NAME PORT_NUMBER --listen-on-stdin --project=PROJECT_ID --zone=ZONE
更改下列內容：
VM_NAME：要連線的 VM 名稱。PORT_NUMBER：sshd daemon 執行的通訊埠。預設PORT_NUMBER為22。PROJECT_ID：託管要連線 VM 的專案。ZONE：VM 所在的可用區。
- 按一下「開啟」即可連線至 VM。
疑難排解
如要瞭解如何診斷及解決 SSH 連線失敗的問題，請參閱「排解 SSH 問題」一文。
後續步驟
- 瞭解如何管理 VM 的存取權。
- 瞭解如何將檔案轉移至 VM。
- 瞭解如何使用 SSH 連線至 Compute Engine 的 Linux VM。