Auf dieser Seite werden Best Practices für die Verwendung von Identity-Aware Proxy (IAP) beschrieben.
Caching
- Verwenden Sie kein CDN eines Drittanbieters vor Ihrer Anwendung. CDNs können Inhalte zwischenspeichern und damit zwischengespeicherte Seiten für nicht authentifizierte Nutzer zugänglich machen.
- Wenn Sie große, nicht vertrauliche Ressourcen haben, die Sie von einem CDN aus bereitstellen möchten, nutzen Sie dafür eine separate Domain wie
images.yourapp.com. Verwenden Sie das CDN mit dieser Domain und fügen Sie den HTTP-AntwortheaderCache-control: privateallen Objekten hinzu, die nur für authentifizierte Nutzer bereitgestellt werden sollen.
- Wenn Sie große, nicht vertrauliche Ressourcen haben, die Sie von einem CDN aus bereitstellen möchten, nutzen Sie dafür eine separate Domain wie
App sichern
Um Ihre App richtig zu schützen, müssen Sie signierte Header für Anwendungen in der App Engine-Standardumgebung, in Compute Engine und in GKE verwenden.
Firewall konfigurieren
- Sorgen Sie dafür, dass alle Anfragen an Compute Engine oder GKE über den Load-Balancer geleitet werden:
- Konfigurieren Sie eine Firewallregel, um Systemdiagnosen zuzulassen, und sorgen Sie dafür, dass alle Zugriffe auf Ihre virtuelle Maschine (VM) von einer IP-Adresse eines Google Front End (GFE) stammen.
- Als zusätzliche Schutzmaßnahme prüfen Sie die Quell-IP von Anfragen in Ihrer Anwendung, um sicherzugehen, dass sie aus dem IP-Bereich stammt, den die Firewallregel erlaubt.
-
In der Google Cloud Konsole wird bei IAP ein Fehler oder eine Warnung angezeigt, wenn Ihre Firewallregeln anscheinend falsch eingerichtet sind. In der IAP Google Cloud -Konsole wird nicht erkannt, welche VM für die einzelnen Dienste verwendet wird. Daher enthält die Firewallanalyse keine erweiterten Funktionen wie benutzerdefinierte Netzwerke und Firewallregel-Tags. Wenn Sie diese Analyse umgehen möchten, aktivieren Sie IAP mit dem Befehl
gcloud compute backend-services update.