本页面介绍了如何通过部署 IAP 连接器，使用 Identity-Aware Proxy (IAP) 保护Google Cloud 之外的基于 HTTP 或 HTTPS 的本地应用。
如需详细了解 IAP 如何保护本地应用和资源，请参阅在本地应用中使用 Cloud IAP 概览。准备工作
在开始之前，您需要做好以下准备：
基于 HTTP 或 HTTPS 的本地应用。
在您的 Google Cloud 项目上被授予所有者角色的 Cloud Identity 成员。
被授予所有者角色的 Google API 服务代理。
启用了结算功能的 Google Cloud 项目。
用作Google Cloud流量入口点的外部网址。例如
hr.example.com。DNS 主机名的 SSL 或 TLS 证书，用作到 Google Cloud的流量的入口点。您可以使用现有的自行管理证书或由 Google 管理的证书。如果您没有证书，请使用 Let's Encrypt 创建一个。
如果启用了 VPC Service Controls，则 VPC 网络会针对虚拟机服务账号对项目
278958399328中的gce-mesh存储桶执行的cp操作设置出站流量政策。该政策授予 VPC 网络从 gce-mesh 存储桶检索 Envoy 二进制文件的权限。如果未启用 VPC Service Controls，则默认授予权限。通过完成以下步骤停用外部 IP：
在用于 IAP 连接器的 VPC 子网上启用专用 Google 访问通道。如需了解详情，请参阅专用 Google 访问通道。
验证 VPC 网络的防火墙配置是否允许虚拟机访问 Google API 和服务的 IP 地址。默认情况下，系统会授予此访问权限，但用户可以明确更改此设置。如需了解如何查找 IP 范围，请参阅默认网域的 IP 地址。
为本地应用部署连接器
前往 IAP 页面。
如需开始为本地应用设置连接器部署，请点击连接新应用，然后选择通过本地连接器连接。
为确保所需的 API 已启用，请点击右侧面板中的启用 API 并继续。
选择配置详细信息，然后点击下一步：
选择部署应使用由 Google 管理的证书还是由您管理的证书。
选择部署所用的网络和子网（或选择创建新的网络和子网）。
为要添加的本地应用填写以下详细信息：
输入发送到 Google Cloud的请求的外部网址。该网址是流量进入环境的位置。
输入应用的名称，该名称还将用作负载均衡器后的新后端服务的名称。
选择区域。
提供本地端点类型及其详细信息：
完全限定域名 (FQDN)：连接器应转发流量的网域。
IP 地址：应部署 IAP 连接器的一个或多个可用区（例如
us-central1-a）。对于每个可用区，请指定本地应用的内部目标 IPv4 地址，在用户获得授权和通过身份验证后，IAP 会将流量路由到该地址。
选择本地端点使用的协议。
输入本地端点使用的端口号，例如 HTTPS 的 443 或 HTTP 的 80。
如需保存相应应用的详细信息，请点击完成。您还可以为部署定义其他本地应用。
如需开始部署您已定义的应用，请点击提交。
部署完成后，本地连接器应用会显示在应用表格中，您可以启用 IAP。
如果您选择让 Google 自动生成和管理证书，供应证书可能需要几分钟时间。您可以在 Cloud Load Balancing 详细信息页面上查看状态。如需详细了解这些状态，请参阅“问题排查”页面。
管理本地应用的连接器
如需向部署中添加更多应用，请依次点击关联新应用和通过本地连接器关联。
如需通过删除整个部署来删除本地连接器，请执行以下操作：
转到 Deployment Manager 页面。
在部署列表中，选中“on-prem-app-deployment”部署旁边的复选框。
点击页面顶部的删除。
如需删除单个应用，请点击应用标签页中的“删除”按钮。 本地连接器必须包含至少一个应用。如需移除所有应用，请删除整个部署。