Ringkasan IAP untuk aplikasi lokal

Identity-Aware Proxy (IAP) memungkinkan Anda mengelola akses ke aplikasi berbasis HTTP di luar Google Cloud. Hal ini mencakup aplikasi lokal di pusat data perusahaan Anda.

Untuk mempelajari cara mengamankan aplikasi lokal dengan IAP, lihat Menyiapkan IAP untuk aplikasi lokal.

Pengantar

IAP menargetkan aplikasi lokal dengan Konektor Lokal IAP. Konektor Lokal menggunakan template Cloud Deployment Manager untuk membuat resource yang diperlukan untuk menghosting dan men-deploy Konektor Lokal IAP ke project yang mendukung IAP, Google Cloud meneruskan permintaan yang diautentikasi dan diotorisasi ke aplikasi lokal.

Konektor Lokal membuat resource berikut:

  • Deployment Cloud Service Mesh yang bertindak sebagai proxy untuk aplikasi lokal.
  • Load Balancer Aplikasi eksternal yang bertindak sebagai pengontrol ingress untuk permintaan.
  • Aturan perutean.

Deployment dapat memiliki beberapa layanan backend Cloud Service Mesh yang berjalan di belakang satu Load Balancer Aplikasi eksternal. Setiap layanan backend dipetakan ke aplikasi lokal individual.

Saat konektor lokal IAP di-deploy dan IAP diaktifkan untuk layanan backend konektor lokal yang baru dibuat, IAP akan mengamankan aplikasi Anda dengan kebijakan akses Identity and Access Management (IAM) berbasis identitas dan konteks. Karena kebijakan akses IAM dikonfigurasi di tingkat resource layanan backend, Anda dapat memiliki daftar kontrol akses yang berbeda untuk setiap aplikasi lokal. Artinya, hanya satu Google Cloud project yang diperlukan untuk mengelola akses ke beberapa aplikasi lokal.

Cara kerja IAP untuk aplikasi lokal

Saat permintaan dikirim ke aplikasi yang dihosting di Google Cloud, IAP akan mengautentikasi dan mengotorisasi permintaan pengguna. Kemudian, IAP akan memberikan akses pengguna ke aplikasi Google Cloud .

Saat permintaan dikirim ke aplikasi lokal, IAP akan mengautentikasi dan mengotorisasi permintaan pengguna. Kemudian, IAP akan merutekan permintaan ke konektor lokal IAP. Konektor lokal IAP meneruskan permintaan melalui Hybrid Connectivity Network Endpoint Group dari Google Cloud ke jaringan lokal.

Diagram berikut menunjukkan alur traffic tingkat tinggi dari permintaan web untuk aplikasi Google Cloud (app1) dan aplikasi lokal (app2).

Aturan perutean

Saat mengonfigurasi deployment konektor IAP, Anda akan mengonfigurasi aturan perutean. Aturan ini merutekan permintaan web yang diautentikasi dan diotorisasi yang masuk ke titik ingress nama host DNS Anda ke nama host DNS yang merupakan tujuannya.

Berikut adalah contoh parameter routing yang ditentukan untuk template Deployment Manager konektor IAP.

   routing:
     - name: hr
       mapping:
        - name: host
          source: www.hr-domain.com
          destination: hr-internal.domain.com
        - name: sub
          source: sheets.hr-domain.com
          destination: sheets.hr-internal.domain.com
     - name: finance
       mapping:
        - name: host
          source: www.finance-domain.com
          destination: finance-internal.domain.com
  • Setiap nama routing sesuai dengan resource layanan backend Compute Engine yang baru dan dibuat oleh Ambassador.
  • Parameter mapping menentukan daftar aturan perutean Ambassador untuk layanan backend.
  • source dari aturan perutean dipetakan ke destination, dengan source adalah URL permintaan yang masuk ke Google Cloud, dan destination adalah URL untuk aplikasi lokal Anda yang dirutekan traffic-nya oleh IAP setelah pengguna di otorisasi dan diautentikasi.

Tabel berikut menunjukkan contoh aturan untuk merutekan permintaan masuk dari www.hr-domain.com ke hr-internal.domain.com:

Layanan backend Compute Engine Nama aturan perutean Sumber Tujuan
hr hr-host www.hr-domain.com hr-internal.domain.com
hr-sub sheets.hr-domain.com sheets.hr-internal.domain.com
finance finance-host www.finance-domain.com finance-internal.domain.com

Langkah berikutnya