שיטות מומלצות

בדף הזה מתוארות שיטות מומלצות לשימוש ב-Proxy לאימות זהויות (IAP).

שמירה במטמון

• אל תשתמשו ב-CDN של צד שלישי לפני האפליקציה. רשתות CDN יכולות לשמור תוכן במטמון ולהציג דפים שנשמרו במטמון למשתמשים לא מאומתים.
  • אם יש לכם משאבים גדולים ולא רגישים שאתם רוצים להציג מ-CDN, השתמשו בדומיין נפרד כמו images.yourapp.com בשביל המשאבים האלה. משתמשים ב-CDN עם הדומיין הזה ומוסיפים את כותרת תגובת ה-HTTP Cache-control: private לכל האובייקטים שצריך להציג רק למשתמשים מאומתים.

אבטחת האפליקציה

כדי לאבטח את האפליקציה כמו שצריך, אתם צריכים להשתמש בכותרות חתומות באפליקציות של סביבת ברירת המחדל ב-App Engine, של Compute Engine ושל GKE.

הגדרת חומת האש

• מוודאים שכל הבקשות ל-Compute Engine או ל-GKE מנותבות דרך מאזן העומסים:
  • מגדירים כלל של חומת אש שמאפשר בדיקת תקינות ומוודאים שכל תעבורת הנתונים למכונה הווירטואלית (VM) מגיעה מכתובת IP של ממשק קצה של Google‏ (GFE).
  • כדי להוסיף עוד שכבת הגנה, בודקים את כתובת ה-IP של המקור של הבקשות באפליקציה כדי לוודא שהן מגיעות מאותו טווח כתובות IP שכלל חומת האש מאפשר.
• במסוף Google Cloud , אם נראה שכללי חומת האש לא מוגדרים נכון, תוצג ב-IAP שגיאה או אזהרה. מסוף IAP Google Cloud לא מזהה איזו מכונה וירטואלית משמשת לכל שירות, ולכן ניתוח חומת האש לא כולל תכונות מתקדמות כמו רשתות שאינן ברירת מחדל ותגי כללים של חומת אש. כדי לעקוף את הניתוח הזה, מפעילים את IAP באמצעות הפקודה gcloud compute backend-services update.