Mengaktifkan IAP untuk Compute Engine

Halaman ini menjelaskan cara mengamankan instance Compute Engine dengan Identity-Aware Proxy (IAP).

Sebelum memulai

Untuk mengaktifkan IAP untuk Compute Engine, Anda memerlukan hal berikut:

Jika Anda belum menyiapkan instance Compute Engine, lihat Menyiapkan IAP untuk Compute Engine untuk mengetahui panduan lengkap.

IAP menggunakan klien OAuth yang dikelola Google untuk mengautentikasi pengguna. Hanya pengguna dalam organisasi yang dapat mengakses aplikasi yang mengaktifkan IAP. Jika Anda ingin mengizinkan akses kepada pengguna di luar organisasi, lihat Mengaktifkan IAP untuk aplikasi eksternal.

Anda dapat mengaktifkan IAP di layanan backend Compute Engine atau di aturan penerusan Compute Engine. Saat Anda mengaktifkan IAP di layanan backend Compute Engine, hanya layanan backend tersebut yang dilindungi oleh IAP. Saat Anda mengaktifkan IAP pada aturan penerusan Compute Engine, semua instance Compute Engine di balik aturan penerusan akan dilindungi oleh IAP.

Mengaktifkan IAP pada aturan penerusan

Anda dapat mengaktifkan IAP pada aturan penerusan menggunakan framework kebijakan otorisasi load balancer.

gcloud

  1. Jalankan perintah berikut untuk menyiapkan file policy.yaml. Kebijakan ini memungkinkan klien dengan rentang alamat IP 10.0.0.0/24 untuk mengaktifkan IAP pada aturan penerusan.
$ cat << EOF > policy.yaml
action: CUSTOM
description: authz policy with Cloud IAP
name: AUTHZ_POLICY_NAME
httpRules:
  - from:
      sources:
      - ipBlocks:
        - prefix: "10.0.0.0"
          length: 24
customProvider:
  cloudIap: {}
target:
  loadBalancingScheme: EXTERNAL_MANAGED
  resources:
  - https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/LOCATION/forwardingRules/FORWARDING_RULE_ID
EOF
  1. Jalankan perintah berikut untuk mengaktifkan IAP pada aturan penerusan.
gcloud network-security authz-policies import AUTHZ_POLICY_NAME \
--source=policy.yaml \
--location=LOCATION \
--project=PROJECT_ID

Ganti kode berikut:

  • PROJECT_ID: Google Cloud Project ID.
  • LOCATION: Region tempat resource berada.
  • FORWARDING_RULE_ID: ID resource aturan penerusan.
  • AUTHZ_POLICY_NAME: Nama kebijakan otorisasi.

API

  1. Jalankan perintah berikut untuk menyiapkan file policy.json. 
    cat << EOF > policy.json
{
"name": "AUTHZ_POLICY_NAME",
"target": {
  "loadBalancingScheme": "INTERNAL_MANAGED",
  "resources": [
    "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/LOCATION/forwardingRules/FORWARDING_RULE_ID"
  ],
},
"action": "CUSTOM",
"httpRules": [
  {
    "from": {
      "sources": {
        "ipBlocks": [
          {
            "prefix": "10.0.0.0",
            "length": 24
          }
        ]
      }
    }
  }
],
"customProvider": {
  "cloudIap": {}
}
}
EOF

  2. Jalankan perintah berikut untuk mengaktifkan IAP pada aturan penerusan. 

    curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Accept: application/json" \
-H "Content-Type: application/json" \
-d @policy.json \
"https://networksecurity.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/authzPolicies"

    Ganti kode berikut:

    • PROJECT_ID: Google Cloud Project ID.
    • LOCATION: Region tempat resource berada.
    • FORWARDING_RULE_ID: ID resource aturan penerusan.
    • AUTHZ_POLICY_NAME: Nama kebijakan otorisasi.

Setelah mengaktifkan IAP pada aturan penerusan, Anda dapat menerapkan izin ke resource.

Mengaktifkan IAP di layanan backend Compute Engine

Anda dapat mengaktifkan IAP di layanan backend Compute Engine melalui layanan backend tersebut.

console

Klien OAuth yang dikelola Google tidak tersedia saat mengaktifkan IAP menggunakan Google Cloud konsol.

If you haven't configured your project's OAuth consent screen, you'll be prompted to do so. To configure your OAuth consent screen, see Setting up your OAuth consent screen.

If you are running GKE clusters version 1.24 or later, you can configure IAP and GKE by using the Kubernetes Gateway API. To do so, complete the following steps and then follow the instructions in Configure IAP. Do not configure BackendConfig.

Setting up IAP access

  1. Go to the Identity-Aware Proxy page.
    Go to the Identity-Aware Proxy page
  2. Select the project you want to secure with IAP.

  3. Select the checkbox next to the resource you want to grant access to.

    If you don't see a resource, ensure that the resource is created and that the BackendConfig Compute Engine ingress controller is synced.

    To verify that the backend service is available, run the following gcloud command:

    gcloud compute backend-services list
  4. On the right side panel, click Add principal.
  5. In the Add principals dialog that appears, enter the email addresses of groups or individuals who should have the IAP-secured Web App User role for the project.

    The following kinds of principals can have this role:

    • Google Account: user@gmail.com
    • Google Group: admins@googlegroups.com
    • Service account: server@example.gserviceaccount.com
    • Google Workspace domain: example.com

    Make sure to add a Google Account that you have access to.

  6. Select Cloud IAP > IAP-secured Web App User from the Roles drop-down list.
  7. Click Save.

Turning on IAP

  1. On the Identity-Aware Proxy page, under APPLICATIONS, find the load balancer that serves the instance group you want to restrict access to. To turn on IAP for a resource,
    To enable IAP:
    • At least one protocol in the load balancer frontend configuration must be HTTPS. Learn about setting up a load balancer.
    • You need the compute.backendServices.update, clientauthconfig.clients.create, clientauthconfig.clients.update, and clientauthconfig.clients.getWithSecret permissions. These permissions are granted by roles, such as the Project Editor role. To learn more, see Managing access to IAP-secured resources.
  2. In the Turn on IAP window that appears, click Turn On to confirm that you want IAP to secure your resource. After you turn on IAP, it requires login credentials for all connections to your load balancer. Only accounts with the IAP-Secured Web App User role on the project will be given access.

gcloud

Sebelum menyiapkan project dan IAP, Anda memerlukan versi terbaru gcloud CLI. Untuk mengetahui petunjuk cara menginstal gcloud CLI, lihat Menginstal gcloud CLI.

  1. Untuk mengautentikasi, gunakan Google Cloud CLI dan jalankan perintah berikut. 
    gcloud auth login
  2. Untuk login, ikuti URL yang muncul.
  3. Setelah Anda login, salin kode verifikasi yang muncul dan tempelkan di command line.
  4. Jalankan perintah berikut untuk menentukan project yang berisi resource yang ingin Anda lindungi dengan IAP. 
    gcloud config set project PROJECT_ID
  5. Untuk mengaktifkan IAP, jalankan perintah cakupan global atau regional.

    Cakupan global 
    gcloud compute backend-services update BACKEND_SERVICE_NAME --global --iap=enabled
     Cakupan regional 
    gcloud compute backend-services update BACKEND_SERVICE_NAME --region REGION_NAME --iap=enabled

Setelah mengaktifkan IAP, Anda dapat menggunakan gcloud CLI untuk mengubah kebijakan akses IAP menggunakan peran IAM roles/iap.httpsResourceAccessor. Pelajari lebih lanjut cara mengelola peran dan izin.

API

  1. Jalankan perintah berikut untuk menyiapkan file settings.json. 

    cat << EOF > settings.json
{
"iap":
  {
    "enabled":true
  }
}
EOF

  2. Jalankan perintah berikut untuk mengaktifkan IAP. 

    curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Accept: application/json" \
-H "Content-Type: application/json" \
-d @settings.json \
"https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/REGION/backendServices/BACKEND_SERVICE_NAME"

Setelah mengaktifkan IAP, Anda dapat menggunakan Google Cloud CLI untuk mengubah kebijakan akses IAP menggunakan peran IAM roles/iap.httpsResourceAccessor. Pelajari lebih lanjut cara mengelola peran dan izin.