Habilita IAP para aplicaciones locales

En esta página, se explica cómo proteger una aplicación local basada en HTTP o HTTPS fuera de Google Cloud con Identity-Aware Proxy (IAP) mediante la implementación de un conector IAP.

Para obtener más información sobre cómo IAP protege los recursos y las apps locales, consulta la descripción general de IAP para las aplicaciones locales.

Antes de comenzar

Antes de comenzar, necesitas lo siguiente:

  • Una aplicación local basada en HTTP o HTTPS.

  • Que un miembro de Cloud Identity haya otorgado la función Propietario a tu Google Cloud proyecto.

  • El agente de servicio de las APIs de Google otorgó la función de propietario.

  • Un Google Cloud proyecto con la facturación habilitada.

  • La URL externa que se usará como punto de entrada para el tráfico a Google Cloud. Por ejemplo, hr.example.com.

  • Un certificado SSL o TLS para el nombre de host DNS que se usa como punto de entrada para el tráfico a Google Cloud. Se puede usar un certificado autoadministrado o administrado por Google existente. Si no tienes un certificado, crea uno con Let's Encrypt.

  • Si los Controles del servicio de VPC están habilitados, una red de VPC con una política de salida en la acción cp para la cuenta de servicio de VM en el bucket gce-mesh en el proyecto 278958399328. La política otorga permiso a la red de VPC para recuperar el archivo binario de Envoy del bucket gce-mesh. El permiso se otorga de forma predeterminada si los Controles del servicio de VPC no están habilitados.

  • Para inhabilitar una IP externa, completa los siguientes pasos:

    • Habilita el Acceso privado a Google en la subred de VPC que se usa en el conector IAP. Para obtener más información, consulta Acceso privado a Google.

    • Verifica que la configuración de firewall de la red de VPC permita que las VMs accedan a las direcciones IP de las APIs y los servicios de Google. De forma predeterminada, se otorga este acceso, pero los usuarios pueden cambiarlo de forma explícita. Para obtener información sobre cómo encontrar el rango de IP, consulta Direcciones IP para dominios predeterminados.

Implementa un conector para una app local

  1. Ve a la página de IAP.

    Ir a IAP

  2. Para comenzar a configurar la implementación del conector para una aplicación local, haz clic en Conectar aplicación nueva y selecciona Conectar a través del conector local.

  3. Para asegurarte de que las APIs necesarias estén habilitadas, haz clic en Habilitar APIs y continuar en el panel lateral derecho.

  4. Selecciona los detalles de configuración y haz clic en Siguiente:

    • Elige si la implementación debe usar un certificado administrado por Google o uno administrado por ti.

    • Selecciona la red y la subred para la implementación (o elige crear una nueva).

  5. Completa los siguientes detalles para la aplicación local que deseas agregar:

    • Ingresa la URL externa de las solicitudes que llegan a Google Cloud. Esta URL es por donde ingresa el tráfico al entorno.

    • Ingresa un nombre para la aplicación, que también servirá como nombre para un nuevo servicio de backend detrás del balanceador de cargas.

    • Selecciona la región.

    • Proporciona el tipo de extremo local y sus detalles:

      • Nombre de dominio completamente calificado (FQDN): Es el dominio en el que el conector debe reenviar el tráfico.

      • Dirección IP: Una o más zonas en las que se debe implementar el conector IAP (por ejemplo, us-central1-a). Para cada zona, especifica la dirección IPv4 del destino interno de la aplicación local en la que IAP enruta el tráfico después de que se autoriza y autentica un usuario.

    • Selecciona el protocolo que usa el extremo local.

    • Ingresa el número de puerto que usa el extremo local, como 443 para HTTPS o 80 para HTTP.

  6. Para guardar los detalles de esa app, haz clic en Listo. También puedes definir aplicaciones locales adicionales para la implementación.

  7. Para comenzar la implementación de las apps que definiste, haz clic en Enviar.

Una vez completada la implementación, tus aplicaciones de conectores locales aparecerán en la tabla Aplicaciones y podrás habilitar IAP.

Si eliges que Google genere y administre automáticamente los certificados, es posible que tarden unos minutos en aprovisionarse. Puedes verificar el estado en la página de detalles de Cloud Load Balancing. Para obtener más información sobre el estado, consulta la página de solución de problemas.

Administra un conector para una app local

  • Para agregar más apps a tu implementación, haz clic en Conectar aplicación nueva y, luego, en Conectar a través del conector local.

  • Para borrar el conector local borrando toda la implementación, haz lo siguiente:

    1. Ve a la página Deployment Manager.

      Ir a Deployment Manager

    2. En la lista de implementaciones, selecciona la casilla de verificación junto a la implementación "on-prem-app-deployment".

    3. En la parte superior de la página, haz clic en Borrar.

  • Para borrar apps individuales, haz clic en el botón de borrar en la pestaña Aplicaciones. El conector local debe contener al menos una app. Para quitar todas las apps, borra toda la implementación.