Paso 3: Configura el acceso

En esta sección, se proporcionan instrucciones sobre las diferentes formas de otorgar acceso a tu implementación de MDE, según tus necesidades.

Túneles SSH a través de IAP

Para conectarte a las IPs privadas de los servicios de MDE, puedes usar un túnel SSH a una VM de proxy. Este enfoque te permite usar herramientas locales como Postman para interactuar con las APIs de MDE.

La implementación estándar de MDE crea una VM de proxy llamada mde-proxy. Esta máquina puede enviar solicitudes entrantes al gateway de la API de MDE o a la interfaz web de MDE. Esta VM solo tiene una IP privada, pero IAP te permite crear un túnel SSH seguro a esta máquina con Identity-Aware Proxy (IAP) para el reenvío de TCP. En el resto de esta sección, se explica cómo configurar IAP para el tráfico de túneles a mde-proxy y cómo crear un túnel a él desde tu estación de trabajo:

1. En la Google Cloud consola de, ve a IAP y haz clic en Habilitar API. Esta operación puede tardar varios minutos.

2. En la Google Cloud consola de, ve a la IAP y haz clic en RECURSOS DE SSH Y TCP.

3. Otorga permiso a los usuarios autorizados para usar IAP para conectarse a mde-proxy a través de IAP:

   Antes de que los usuarios puedan usar IAP para conectarse a mde-proxy, otorga les el roles/iap.tunnelResourceAccessor rol con las siguientes instrucciones:

   1. Selecciona mde-proxy de la lista.

      Nota: Puedes esperar ver un mensaje de advertencia junto al recurso mde-proxy. Esto es normal y no representa un problema. IAP tiene acceso a mde-proxy a través de una regla de firewall que usa etiquetas de red.

   2. Haz clic en Agregar principal en el panel derecho.

   3. Escribe el correo electrónico de la principal a la que deseas otorgar acceso.

   4. Selecciona el rol IAP-secured Tunnel User.

4. Crea un túnel a la API de MDE con el siguiente comando:

   Nota: Los túneles SSH en Cloud Shell requieren una marca -4 adicional con el comando gcloud compute ssh para forzar el uso de IPv4.

   export MDE_PROXY_ZONE=$(gcloud compute instances list --filter="mde-proxy"  \
   --format="value(zone)")
   
   gcloud compute ssh mde-proxy \
   --zone "$MDE_PROXY_ZONE" --tunnel-through-iap  \
   -- -N -L 8080:api.mde.cloud.google.com:80
   

   Después de ejecutar el comando, se puede acceder a las APIs de MDE en http://localhost:8080.

5. Crea un túnel a la interfaz web de MDE.

   Si creaste un túnel a la API de MDE en el paso 3, puedes abrir una terminal nueva para ejecutar los comandos más tarde. Los túneles SSH a la API de MDE y a la interfaz web de MDE pueden ejecutarse en paralelo.

   export MDE_PROXY_ZONE=$(gcloud compute instances list --filter="mde-proxy" \
   --format="value(zone)")
   
   gcloud compute ssh mde-proxy \
   --zone "$MDE_PROXY_ZONE" --tunnel-through-iap  \
   -- -N -L 8081:ui.mde.cloud.google.com:80
   

   Después de ejecutar el comando, se puede acceder a la interfaz web de MDE en http://localhost:8081.

Configura Identity-Aware Proxy

Identity-Aware Proxy (IAP) te permite conectarte de forma segura a las IPs internas de la API y la interfaz web de MDE, así como restringir el acceso externo a la interfaz web de MDE solo a los usuarios autorizados si la implementaste con la opción de balanceador de cargas externo.

Nota: Si tu cliente tiene acceso a la nube privada virtual (VPC) en la que se implementa MDE (por ejemplo, a través de Cloud Interconnect), puedes omitir esta sección.

Para usar IAP, primero debes habilitar la API del servicio de IAP (si aún no lo hiciste) y configurar la pantalla de OAuth:

1. En la Google Cloud consola de, ve a la IAP y haz clic en Habilitar API. Esta operación puede tardar varios minutos.

2. Configura la pantalla de consentimiento de OAuth para IAP:

   1. En la Google Cloud consola de, ve a la página de Google Auth Platform y selecciona el proyecto de implementación de MDE si se te solicita.
   2. En la página Resumen, haz clic en Comenzar.
   3. Ingresa el Nombre de la aplicación que deseas mostrar, por ejemplo, MDE.
   4. Agrega tu correo electrónico como Correo electrónico de asistencia al usuario y haz clic en Siguiente.
   5. En Público, selecciona Externo y haz clic en Siguiente.
   6. Agrega tu correo electrónico como Información de contacto y haz clic en Siguiente.
   7. Lee y acepta la Política de Datos del Usuario de los Servicios de las APIs de Google y haz clic en Continuar.
   8. Haz clic en Crear.

Configura el acceso al balanceador de cargas HTTP externo de la interfaz web

En esta sección, configurarás el acceso al balanceador de cargas HTTP externo de la interfaz web de MDE con IAP.

Nota: Si no implementaste MDE con la opción de interfaz web habilitada, puedes omitir esta sección.

Si habilitaste el balanceador de cargas HTTP externo para la interfaz web de MDE, debes usar IAP para restringir el acceso a la aplicación solo a los usuarios autorizados.

Antes de comenzar

Asegúrate de completar los siguientes requisitos previos:

• Implementaste MDE con la interfaz web de MDE.
• Implementaste la interfaz web de MDE con un balanceador de cargas HTTP externo.
• Completaste los pasos generales de configuración de IAP.

Pasos

1. En la Google Cloud consola de, ve a la página de IAP.

2. Ubica el recurso correspondiente al servicio de IU externa (busca mde-ui-ext-service).

   Nota: Puedes esperar ver un mensaje de error junto al recurso mde/mde-ui-int-service. Este es el comportamiento esperado y no es un problema. IAP tiene acceso a mde/mde-ui-ext-service.

3. En la columna IAP de ese recurso, activa el botón de activación a Habilitado.

4. En el diálogo de confirmación, lee y acepta los requisitos de configuración y, luego, haz clic en Activar.

5. Una vez activada, selecciona la casilla de verificación junto al nombre del recurso (mde-ui-ext-service).

6. En el panel derecho, haz clic en Agregar principal.

7. Escribe la dirección de correo electrónico del usuario o grupo al que deseas otorgar acceso.

8. En el menú desplegable Rol, selecciona Cloud IAP > Usuario de aplicación web protegida con IAP.

9. Haz clic en Guardar.

Acceso entre organizaciones (opcional)

De forma predeterminada, IAP usa clientes de OAuth administrados por Google, que restringen estrictamente el acceso a los usuarios dentro de la misma Google Cloud organización que el proyecto. Si tu implementación requiere acceso de usuarios externos (socios que usan un dominio diferente), debes usar un cliente de OAuth personalizado configurado con un tipo de usuario Externo.

Para obtener más detalles, consulta la documentación oficial sobre cómo usar clientes de OAuth personalizados con IAP y habilitar IAP para GKE. Google Cloud

Puedes configurar esto con uno de los siguientes métodos:

Método A: Configuración directa de la consola (sin secretos de GKE)

Si tu BackendConfig de GKE no administra la configuración de IAP (es decir, no tiene un bloque iap, lo que permite que GKE Ingress herede la configuración existente), puedes configurar el cliente personalizado directamente en la consola:

1. Ve a la página de IAP.
2. Para el recurso mde-ui-ext-service, haz clic en Más opciones (tres puntos) en la columna Acciones y selecciona Configuración.
3. Selecciona OAuth personalizado.
4. Haz clic en Generar credenciales automáticamente (o proporciona las credenciales existentes si las creaste de forma manual en API y servicios).
5. Haz clic en Guardar.

Método B: Configuración administrada por GKE (con secretos de Kubernetes)

Si prefieres administrar la configuración de IAP con manifiestos de Kubernetes (GitOps), debes almacenar las credenciales en un secreto y hacer referencia a él en tu BackendConfig:

1. Configura la pantalla de consentimiento de OAuth como Externo y crea credenciales de cliente de OAuth de forma manual en API y servicios > Credenciales (tipo de aplicación web).
2. Crea un secreto de Kubernetes en el clúster de : sh kubectl create secret generic iap-oauth-secret \ --namespace=mde \ --from-literal=client_id=YOUR_CLIENT_ID \ --from-literal=client_secret=YOUR_CLIENT_SECRET
3. Actualiza el BackendConfig de tu servicio para hacer referencia al secreto: yaml spec: iap: enabled: true oauthclientCredentials: secretName: iap-oauth-secret

Configura el DNS para la interfaz web de MDE

Si habilitaste el balanceador de cargas HTTP externo para la interfaz web de MDE, debes establecer el registro A del nombre de dominio que asignaste a la variable MDE_UI_DOMAIN_NAME en input.tfvars a la dirección IP del balanceador de cargas HTTP externo que se implementó para finalizar el aprovisionamiento del certificado SSL administrado por Google.

Puedes buscar la dirección IP del balanceador de cargas HTTP externo con el siguiente comando:

gcloud compute addresses list --filter="name~'.*mde-ui.*'" --format="value(address)" --global

Consulta a tu host de DNS para obtener detalles sobre cómo crear un registro A.

Nota: Si bien en la mayoría de los casos los cambios de DNS se propagan en menos de una hora, pueden tardar hasta 24 horas. No se podrá acceder a tu aplicación con el nombre de dominio hasta que se complete la propagación de DNS y se realice correctamente el aprovisionamiento posterior de un certificado SSL.