Como ativar o IAP para apps locais

Nesta página, explicamos como proteger um app local baseado em HTTP ou HTTPS fora do Google Cloud com o Identity-Aware Proxy (IAP) implantando um conector do IAP.

Para mais informações sobre como o IAP protege apps e recursos locais, consulte a visão geral do IAP para apps locais.

Antes de começar

Antes de começar, os seguintes itens são necessários:

  • Um app local baseado em HTTP ou HTTPS.

  • Um membro do Cloud Identity com a função de Proprietário no seu projeto Google Cloud .

  • O agente de serviço de APIs do Google com o papel de proprietário.

  • Um projeto do Google Cloud com o faturamento ativado.

  • O URL externo a ser usado como ponto de entrada para o tráfego de Google Cloud. Por exemplo, hr.example.com.

  • Um certificado SSL ou TLS para o nome de host DNS usado como ponto de entrada para o tráfego de Google Cloud. É possível usar um certificado autogerenciado ou gerenciado pelo Google. Se você não tiver um certificado, crie um usando o Let's Encrypt.

  • Se o VPC Service Controls estiver ativado, uma rede VPC com uma política de saída na ação cp para a conta de serviço da VM no bucket gce-mesh no projeto 278958399328. A política concede à rede VPC permissão para recuperar o arquivo binário do Envoy do bucket gce-mesh. A permissão será concedida por padrão se o VPC Service Controls não estiver ativado.

  • Desative um IP externo concluindo as seguintes etapas:

    • Ative o Acesso privado do Google na sub-rede da VPC usada para o conector do IAP. Para mais informações, consulte Acesso privado do Google.

    • Verifique se a configuração de firewall da rede VPC permite que as VMs acessem os endereços IP das APIs e dos serviços do Google. Por padrão, esse acesso é concedido, mas os usuários podem mudar isso explicitamente. Para saber como encontrar o intervalo de IP, consulte Endereços IP para domínios padrão.

Implante um conector para um app no local

  1. Acesse a página do IAP.

    Acessar o IAP

  2. Para começar a configurar a implantação do conector de um app local, clique em Conectar novo aplicativo e selecione Conectar usando um conector local.

  3. Para garantir que as APIs necessárias estejam ativadas, clique em Ativar APIs e continuar no painel à direita.

  4. Selecione os detalhes da configuração e clique em Próxima:

    • Escolha se a implantação vai usar um certificado gerenciado pelo Google ou por você.

    • Selecione a rede e a sub-rede para a implantação ou crie uma.

  5. Preencha os seguintes detalhes para o app local que você quer adicionar:

    • Insira o URL externo das solicitações que chegam a Google Cloud. Esse URL é por onde o tráfego entra no ambiente;

    • Insira um nome para o app, que também vai servir como nome de um novo serviço de back-end por trás do balanceador de carga.

    • Selecione a região.

    • Forneça o tipo de endpoint local e os detalhes dele:

      • Nome de domínio totalmente qualificado (FQDN, na sigla em inglês): o domínio para onde o conector deve encaminhar o tráfego.

      • Endereço IP: uma ou mais zonas em que o conector do IAP precisa ser implantado (por exemplo, us-central1-a). Para cada zona, especifique o endereço IPv4 do destino interno do app local para o qual o IAP encaminha o tráfego depois que um usuário é autorizado e autenticado.

    • Selecione o protocolo usado pelo endpoint local.

    • Insira o número da porta usada pelo endpoint local, como 443 para HTTPS ou 80 para HTTP.

  6. Para salvar os detalhes do app, clique em Concluído. Também é possível definir outros apps locais para a implantação.

  7. Para iniciar a implantação dos apps definidos, clique em Enviar.

Depois que a implantação for concluída, os apps de conector local vão aparecer na tabela Aplicativos, e você poderá ativar o IAP.

Se você optar por permitir que o Google gere e gerencie automaticamente os certificados, pode levar alguns minutos para que os certificados sejam provisionados. Verifique o status na página de detalhes do Cloud Load Balancing. Para mais informações sobre o status, consulte a página de solução de problemas.

Gerencie um conector para um app no local

  • Para adicionar mais apps à implantação, clique em Conectar novo aplicativo e em Conectar usando o conector local.

  • Para excluir o conector local excluindo toda a implantação, faça o seguinte:

    1. Acesse a página do Deployment Manager.

      Acessar o Deployment Manager

    2. Na lista de implantações, marque a caixa de seleção ao lado da implantação "on-prem-app-deployment".

    3. No topo da página, clique em Excluir.

  • Para excluir apps individuais, clique no botão de exclusão na guia Aplicativos. O conector local precisa ter pelo menos um app. Para remover todos os apps, exclua toda a implantação.