IAP für lokale Anwendungen aktivieren

Auf dieser Seite wird erläutert, wie Sie eine HTTP- oder HTTPS-basierte lokale Anwendung außerhalb von Google Cloud mit Identity-Aware Proxy (IAP) schützen, indem Sie einen IAP-Connector bereitstellen.

Weitere Informationen dazu, wie IAP lokale Anwendungen und Ressourcen schützt, finden Sie in der Übersicht zu IAP für lokale Anwendungen.

Hinweis

Für den Start ist Folgendes erforderlich:

  • Eine HTTP- oder HTTPS-basierte lokale Anwendung.

  • Ein Cloud Identity-Mitglied, dem die Rolle Inhaber für Ihr Google Cloud -Projekt zugewiesen wurde.

  • Der Google APIs-Dienst-Agent mit der Inhaberrolle.

  • Ein Google Cloud -Projekt mit aktivierter Abrechnung.

  • Die externe URL, die als Eingangspunkt für Traffic zuGoogle Cloudverwendet werden soll. Beispiel: hr.example.com.

  • Ein SSL- oder TLS-Zertifikat für den DNS-Hostnamen, der als Eingangspunkt für Traffic zu Google Cloudverwendet wird. Sie können ein vorhandenes selbstverwaltetes oder von Google verwaltetes Zertifikat verwenden. Wenn Sie kein Zertifikat haben, erstellen Sie eines mit Let's Encrypt.

  • Wenn VPC Service Controls aktiviert ist, ein VPC-Netzwerk mit einer Richtlinie für ausgehenden Traffic für die Aktion cp für das VM-Dienstkonto zum Bucket gce-mesh im Projekt 278958399328. Die Richtlinie gewährt dem VPC-Netzwerk die Berechtigung, die Envoy-Binärdatei aus dem gce-mesh-Bucket abzurufen. Die Berechtigung wird standardmäßig erteilt, wenn VPC Service Controls nicht aktiviert ist.

  • Deaktivieren Sie eine externe IP-Adresse. Gehen Sie dazu so vor:

    • Aktivieren Sie den privaten Google-Zugriff für das VPC-Subnetz, das für den IAP-Connector verwendet wird. Weitere Informationen finden Sie unter Privater Google-Zugriff.

    • Prüfen Sie, ob die Firewallkonfiguration des VPC-Netzwerk den VMs den Zugriff auf IP-Adressen von Google APIs und Google-Diensten ermöglicht. Standardmäßig wird dieser Zugriff gewährt, Nutzer können ihn jedoch explizit ändern. Informationen zum Ermitteln des IP-Bereichs finden Sie unter IP-Adressen für Standarddomains.

Connector für eine lokale Anwendung bereitstellen

  1. Rufen Sie die Seite „IAP“ auf.

    Zu IAP

  2. Wenn Sie die Connector-Bereitstellung für eine lokale Anwendung einrichten möchten, klicken Sie auf Neue Anwendung verbinden und wählen Sie Über lokalen Connector verbinden aus.

  3. Klicken Sie im rechten Bereich auf APIs aktivieren und fortfahren, um die erforderlichen APIs zu aktivieren.

  4. Wählen Sie die Konfigurationsdetails aus und klicken Sie auf Weiter:

    • Wählen Sie aus, ob für die Bereitstellung ein von Google verwaltetes Zertifikat oder ein von Ihnen verwaltetes Zertifikat verwendet werden soll.

    • Wählen Sie das Netzwerk und das Subnetz für die Bereitstellung aus oder erstellen Sie ein neues.

  5. Geben Sie die folgenden Details für die lokale App ein, die Sie hinzufügen möchten:

    • Geben Sie die externe URL der Anfragen ein, die an Google Cloudgesendet werden. Über diese URL gelangt der Traffic in die Umgebung.

    • Geben Sie einen Namen für die Anwendung ein, der auch als Name für einen neuen Backend-Dienst hinter dem Load Balancer verwendet wird.

    • Wählen Sie die Region aus.

    • Geben Sie den lokalen Endpunkttyp und die zugehörigen Details an:

      • Voll qualifizierter Domainname (FQDN): Die Domain, an die der Connector den Traffic weiterleiten soll.

      • IP-Adresse: Eine oder mehrere Zonen, in denen der IAP-Connector bereitgestellt werden soll (z. B. us-central1-a). Geben Sie für jede Zone die IPv4-Adresse des internen Ziels für die lokale Anwendung an, an die IAP Traffic weiterleitet, nachdem ein Nutzer autorisiert und authentifiziert wurde.

    • Wählen Sie das Protokoll aus, das vom lokalen Endpunkt verwendet wird.

    • Geben Sie die Portnummer ein, die vom lokalen Endpunkt verwendet wird, z. B. 443 für HTTPS oder 80 für HTTP.

  6. Klicken Sie auf Fertig, um die Details für diese App zu speichern. Sie können auch zusätzliche lokale Anwendungen für die Bereitstellung definieren.

  7. Klicken Sie auf Senden, um mit der Bereitstellung der von Ihnen definierten Apps zu beginnen.

Nach Abschluss der Bereitstellung werden Ihre lokalen Connector-Anwendungen in der Tabelle Anwendungen angezeigt und Sie können IAP aktivieren.

Wenn Sie Google die Zertifikate automatisch generieren und verwalten lassen, kann es einige Minuten dauern, bis die Zertifikate bereitgestellt werden. Sie können den Status auf der Detailseite von Cloud Load Balancing prüfen. Weitere Informationen zum Status finden Sie auf der Seite zur Fehlerbehebung.

Connector für eine lokale Anwendung verwalten

  • Wenn Sie Ihrer Bereitstellung weitere Anwendungen hinzufügen möchten, klicken Sie auf Neue Anwendung verbinden und dann auf Über lokalen Connector verbinden.

  • So löschen Sie den lokalen Connector, indem Sie die gesamte Bereitstellung löschen:

    1. Rufen Sie die Deployment Manager-Seite auf.

      Deployment Manager aufrufen

    2. Klicken Sie in der Liste der Deployments das Kästchen neben dem Deployment on-prem-app-deployment an.

    3. Klicken Sie oben auf der Seite auf Löschen.

  • Wenn Sie einzelne Anwendungen löschen möchten, klicken Sie auf dem Tab Anwendungen auf den Button „Löschen“. Der lokale Connector muss mindestens eine Anwendung enthalten. Wenn Sie alle Anwendungen entfernen möchten, löschen Sie die gesamte Bereitstellung.