Cette page décrit comment Identity-Aware Proxy (IAP) gère le transfert TCP. Pour savoir comment accorder aux comptes principaux l'accès aux ressources tunnelées et comment créer des tunnels qui acheminent le trafic TCP, consultez Utiliser IAP pour le transfert TCP.
Introduction
La fonctionnalité de transfert TCP d'IAP vous permet de contrôler l'accès aux services administratifs tels que SSH et RDP sur vos backends depuis le réseau Internet public. La fonctionnalité de transfert TCP empêche ces services d'être ouvertement exposés à Internet. Au lieu de cela, les requêtes adressées à vos services doivent passer des vérifications d'authentification et d'autorisation avant d'atteindre leur ressource cible.
Rendre visible les services administratifs directement sur Internet lorsque des charges de travail sont exécutées dans le cloud comporte un risque. Le transfert du trafic TCP avec IAP vous permet de réduire ce risque en autorisant uniquement les utilisateurs autorisés à accéder à ces services sensibles.
Étant donné que cette fonctionnalité est spécifiquement destinée aux services administratifs, elle n'est pas compatible avec les cibles à équilibrage de charge.
L'appel du service de transfert TCP d'IAP n'est pas disponible sur les appareils mobiles.
Fonctionnement du transfert TCP d'IAP
La fonctionnalité de transfert TCP d'IAP permet aux utilisateurs de se connecter à des ports TCP arbitraires sur les instances Compute Engine. Pour le trafic TCP général, IAP crée un port d'écoute sur l'hôte local qui transfère tout le trafic vers une instance spécifiée. IAP encapsule ensuite tout le trafic du client en HTTPS. Les utilisateurs peuvent accéder à l'interface et au port s'ils passent les vérifications d'authentification et d'autorisation de la stratégie Identity and Access Management (IAM) appliquée à la ressource cible.
Lorsque vous établissez une connexion SSH à l'aide de gcloud compute ssh, la commande encapsule la connexion SSH dans HTTPS et la transfère à l'instance distante sans nécessiter de port d'écoute sur l'hôte local.
L'activation d'IAP sur une ressource administrative ne bloque pas automatiquement les demandes directes à la ressource. IAP ne bloque que les requêtes TCP provenant d'adresses IP de transfert TCP d'IAP vers les services pertinents de la ressource.
Le transfert TCP avec IAP ne nécessite pas l'attribution d'une adresse IP publique et routable à votre ressource. Elle utilise à la place des adresses IP internes.
Étapes suivantes
- Découvrez comment vous connecter aux ports TCP sur les instances et accorder aux principaux l'accès aux ressources tunnelées.