Veja nesta página as práticas recomendadas para usar o Identity-Aware Proxy (IAP).
Armazenamento em cache
- Não use um CDN de terceiros na frente do aplicativo. Os CDNs podem armazenar conteúdo em cache e disponibilizar páginas armazenadas em cache para usuários não autenticados.
- Se você tiver recursos grandes e não confidenciais para disponibilizar a partir de um CDN, use um domínio separado para esses recursos, como
images.yourapp.com. Use o CDN com esse domínio e adicione o cabeçalho de resposta HTTPCache-control: privatea todos os objetos que precisam ser disponibilizados somente aos usuários autenticados.
- Se você tiver recursos grandes e não confidenciais para disponibilizar a partir de um CDN, use um domínio separado para esses recursos, como
Como proteger seu app
Para proteger seu app adequadamente, você precisa usar cabeçalhos assinados para aplicativos do ambiente padrão do App Engine, do Compute Engine e do GKE.
Como configurar o firewall
-
Verifique se todas as solicitações para o Compute Engine ou para o GKE são encaminhadas por meio
do balanceador de carga:
- Configure uma regra de firewall para permitir a verificação de integridade e verifique se todo o tráfego para sua máquina virtual (VM, na sigla em inglês) provém de um IP do Google Front End (GFE) .
- Para maior proteção, verifique o IP de origem das solicitações no seu app para ter certeza de que elas provêm do intervalo de IPs permitido pela regra de firewall.
-
Noconsole, o IAP exibirá um erro ou aviso se as regras de firewall
parecerem estar configuradas incorretamente. Google Cloud Ele não detecta qual VM é usada para cada serviço. Portanto, essa análise não inclui recursos avançados, como redes não padrão e tags de regra de firewall. Google Cloud Para ignorar essa análise, ative
o IAP por meio do
gcloud compute backend-services updatecomando.