最佳做法

本頁面說明使用 Identity-Aware Proxy (IAP) 的最佳做法。

快取

• 請勿在應用程式前使用第三方 CDN。CDN 可能會快取內容，並向未經驗證的使用者提供快取頁面。
  • 如果您有大型、非機密的資源，想要透過 CDN 提供，請為這些資源使用獨立的網域，例如 images.yourapp.com。使用該網域的 CDN，並在所有只應提供給已驗證使用者的物件中，加入 Cache-control: private HTTP 回應標頭。

保護應用程式

如要妥善保護應用程式，請務必針對 App Engine 標準環境、Compute Engine 和 GKE 應用程式使用經過簽署的標頭。

設定防火牆

• 確認所有傳送至 Compute Engine 或 GKE 的要求，都透過負載平衡器轉送：
  • 設定防火牆規則以允許進行健康狀態檢查，並確認虛擬機器 (VM) 的所有流量均來自 Google Front End (GFE) IP。
  • 如要進一步保護，請檢查應用程式中要求的來源 IP，確保這些要求來自防火牆規則允許的相同 IP 範圍。
• 如果防火牆規則設定有誤，IAP 會在 Google Cloud 控制台中顯示錯誤或警告。IAP Google Cloud 控制台不會偵測每項服務使用的 VM，因此防火牆分析不包含非預設網路和防火牆規則標記等進階功能。如要略過這項分析，請透過 gcloud compute backend-services update 指令啟用 IAP。