הפעלת IAP ב-Compute Engine

בדף הזה מוסבר איך לאבטח מכונה של Compute Engine באמצעות שרת proxy לאימות זהויות (IAP).

לפני שמתחילים

כדי להפעיל את IAP ל-Compute Engine, צריך:

• פרויקט במסוף Google Cloud שהחיוב מופעל בו.
• קבוצה של מכונה אחת או יותר של Compute Engine, שמקבלת שירות ממאזן עומסים.
  • מידע על הגדרת מאזן עומסים חיצוני מסוג HTTPS
  • איך מגדירים מאזן עומסים פנימי מסוג HTTP
• שם דומיין שרשום בכתובת של מאזן העומסים.
• קוד אפליקציה כדי לוודא שלכל הבקשות יש זהות.
  • מידע נוסף על קבלת זהות המשתמש

אם עדיין לא הגדרתם מכונה של Compute Engine, תוכלו לקרוא את המדריך המלא הגדרת IAP ל-Compute Engine.

כדי לאמת משתמשים, ב-IAP משתמשים בלקוח OAuth שמנוהל על ידי Google. רק משתמשים בתוך הארגון יכולים לגשת לאפליקציה שמופעל בה IAP. אם רוצים לאפשר גישה למשתמשים מחוץ לארגון, אפשר לעיין במאמר הפעלת IAP לאפליקציות חיצוניות.

אתם יכולים להפעיל את IAP בשירות לקצה העורפי או בכלל העברה של Compute Engine. כשמפעילים את IAP בשירות לקצה העורפי של Compute Engine, רק השירות הזה מוגן על ידי IAP. כשמפעילים את IAP בכלל העברה של Compute Engine, כל המכונות של Compute Engine שמאחורי כלל ההעברה מוגנות על ידי IAP.

הפעלת IAP בכלל העברה

אפשר להפעיל את IAP בכלל העברה באמצעות מסגרת כללי מדיניות ההרשאה של מאזן העומסים.

gcloud

1. מריצים את הפקודה הבאה כדי להכין קובץ policy.yaml. המדיניות מאפשרת ללקוחות עם טווח כתובות IP של 10.0.0.0/24 להפעיל את IAP בכלל העברה.

$ cat << EOF > policy.yaml
action: CUSTOM
description: authz policy with Cloud IAP
name: AUTHZ_POLICY_NAME
httpRules:
  - from:
      sources:
      - ipBlocks:
        - prefix: "10.0.0.0"
          length: 24
customProvider:
  cloudIap: {}
target:
  loadBalancingScheme: EXTERNAL_MANAGED
  resources:
  - https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/LOCATION/forwardingRules/FORWARDING_RULE_ID
EOF

1. מריצים את הפקודה הבאה כדי להפעיל את IAP בכלל העברה.

gcloud network-security authz-policies import AUTHZ_POLICY_NAME \
--source=policy.yaml \
--location=LOCATION \
--project=PROJECT_ID

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .
• ‫LOCATION: האזור שבו נמצא המשאב.
• ‫FORWARDING_RULE_ID: המזהה של משאב כלל ההעברה.
• ‫AUTHZ_POLICY_NAME: השם של מדיניות ההרשאה.

API

1. מריצים את הפקודה הבאה כדי להכין קובץ policy.json.

   cat << EOF > policy.json
   {
   "name": "AUTHZ_POLICY_NAME",
   "target": {
     "loadBalancingScheme": "INTERNAL_MANAGED",
     "resources": [
       "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/LOCATION/forwardingRules/FORWARDING_RULE_ID"
     ],
   },
   "action": "CUSTOM",
   "httpRules": [
     {
       "from": {
         "sources": {
           "ipBlocks": [
             {
               "prefix": "10.0.0.0",
               "length": 24
             }
           ]
         }
       }
     }
   ],
   "customProvider": {
     "cloudIap": {}
   }
   }
   EOF
   

2. מריצים את הפקודה הבאה כדי להפעיל את IAP בכלל העברה.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Accept: application/json" \
   -H "Content-Type: application/json" \
   -d @policy.json \
   "https://networksecurity.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/authzPolicies"
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .
   • ‫LOCATION: האזור שבו נמצא המשאב.
   • ‫FORWARDING_RULE_ID: המזהה של משאב כלל ההעברה.
   • ‫AUTHZ_POLICY_NAME: השם של מדיניות ההרשאה.

אחרי שמפעילים את IAP בכלל העברה, אפשר להחיל הרשאות על משאבים.

הפעלת IAP בשירות לקצה העורפי של Compute Engine

אתם יכולים להפעיל את IAP בשירות לקצה העורפי של Compute Engine דרך השירות הזה.

console

לקוח OAuth בניהול Google לא זמין כשמפעילים את IAP באמצעות מסוףGoogle Cloud .

אם עדיין לא הגדרתם את מסך ההסכמה ל-OAuth בפרויקט, תתבקשו לעשות זאת. כדי להגדיר את מסך ההסכמה ל-OAuth, קראו את המאמר הגדרת מסך ההסכמה ל-OAuth.

אם אתם מריצים את GKE בגרסה 1.24 ואילך, אתם יכולים להגדיר את IAP ו-GKE באמצעות Kubernetes Gateway API. כדי לעשות זאת, מבצעים את השלבים הבאים ואז פועלים לפי ההוראות במאמר הגדרת IAP. לא להגדיר את BackendConfig.

הגדרת גישה ל-IAP

1. נכנסים לדף Identity-Aware Proxy.
   כניסה לדף Identity-Aware Proxy
2. בוחרים את הפרויקט שרוצים לאבטח באמצעות IAP.

3. מסמנים את התיבה לצד המשאב שרוצים לתת גישה אליו.

   אם המשאב לא מופיע, צריך לוודא שהוא נוצר ושה-BackendConfig ובקר ה-Ingress של Compute Engine מסונכרנים.

   כדי לוודא ששירות הקצה העורפי זמין, מריצים את הפקודה הבאה של gcloud:

   gcloud compute backend-services list
4. בחלונית שבצד שמאל, לוחצים על Add principal.
5. בתיבת הדו-שיח Add principals שמופיעה, מזינים את כתובות האימייל של הקבוצות או המשתמשים שצריכים לקבל את התפקיד משתמש באפליקציית אינטרנט שמאובטחת באמצעות IAP בפרויקט.

   אפשר להקצות את התפקיד הזה לחשבונות המשתמשים הבאים:

   • חשבון Google: [e-mail]
   • קבוצת Google: [e-mail]
   • חשבון שירות: [e-mail]
   • דומיין ב-Google Workspace: example.com

   חשוב להוסיף חשבון Google שיש לכם גישה אליו.

6. ברשימה הנפתחת Roles, בוחרים באפשרות Cloud IAP > IAP-secured Web App User.
7. לוחצים על Save.

הפעלת IAP

1. בדף שרת proxy לאימות זהויות (IAP), בקטע APPLICATIONS, מאתרים את מאזן העומסים שמשרת את instance group שרוצים להגביל את הגישה אליו. כדי להפעיל את IAP למשאב, לוחצים על מתג ההפעלה/השבתה בעמודה IAP.
   כדי להפעיל את IAP:
   • לפחות פרוטוקול אחד בהגדרת ממשק המשתמש של מאזן העומסים חייב להיות HTTPS. מידע על הגדרת מאזן עומסים
   • אתם צריכים את ההרשאות compute.backendServices.update,‏ clientauthconfig.clients.create,‏ clientauthconfig.clients.update ו-clientauthconfig.clients.getWithSecret. ההרשאות האלה ניתנות על ידי תפקידים, כמו התפקיד "עריכת פרויקט". מידע נוסף זמין במאמר ניהול הגישה למשאבים שמאובטחים באמצעות IAP.
2. בחלון Turn on IAP שמופיע, לוחצים על Turn On כדי לאשר שרוצים לאבטח את המשאב באמצעות IAP. אחרי שמפעילים את IAP, צריך להזין פרטי כניסה לכל החיבורים למאזן העומסים. רק חשבונות עם התפקיד משתמש באפליקציית אינטרנט מאובטחת באמצעות IAP בפרויקט יקבלו גישה.

gcloud

לפני שמגדירים את הפרויקט ואת IAP, צריך גרסה עדכנית של ה-CLI של gcloud. איך מתקינים את ה-CLI של gcloud

1. כדי לבצע אימות, משתמשים ב-Google Cloud CLI ומריצים את הפקודה הבאה.

   gcloud auth login

2. כדי להיכנס לחשבון, עוברים לכתובת ה-URL שמופיעה.
3. אחרי שנכנסים לחשבון, מעתיקים את קוד האימות שמופיע ומדביקים אותו בשורת הפקודה.
4. מריצים את הפקודה הבאה כדי לציין את הפרויקט שמכיל את המשאב שרוצים להגן עליו באמצעות IAP.

   gcloud config set project PROJECT_ID

5. כדי להפעיל את IAP, מריצים את הפקודה בהיקף גלובלי או אזורי.
   
   היקף גלובלי

   gcloud compute backend-services update BACKEND_SERVICE_NAME --global --iap=enabled

   היקף אזורי

   gcloud compute backend-services update BACKEND_SERVICE_NAME --region REGION_NAME --iap=enabled

אחרי שמפעילים את IAP, אפשר להשתמש ב-CLI של gcloud כדי לשנות את מדיניות הגישה של IAP באמצעות התפקיד roles/iap.httpsResourceAccessor ב-IAM. מידע נוסף על ניהול תפקידים והרשאות

API

1. מריצים את הפקודה הבאה כדי להכין קובץ settings.json.

   cat << EOF > settings.json
   {
   "iap":
     {
       "enabled":true
     }
   }
   EOF
   

2. מריצים את הפקודה הבאה כדי להפעיל את IAP.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Accept: application/json" \
   -H "Content-Type: application/json" \
   -d @settings.json \
   "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/REGION/backendServices/BACKEND_SERVICE_NAME"
   

אחרי שמפעילים את IAP, אפשר להשתמש ב-Google Cloud CLI כדי לשנות את מדיניות הגישה של IAP באמצעות תפקיד ה-IAM‏ roles/iap.httpsResourceAccessor. מידע נוסף על ניהול תפקידים והרשאות