IAP aktivieren

Verwenden Sie Identity-Aware Proxy (IAP), um den Zugriff auf Anwendungen auf Ihren Workstations zu steuern. IAP richtet eine zentrale Autorisierungsebene ein, mit der Sie den Zugriff auf Anwendungsebene verwalten können, anstatt Firewalls auf Netzwerkebene zu verwenden.

Sie können den Zugriff anhand von Nutzeridentität, Gruppenmitgliedschaft, Gerätesicherheit, Standort, IP-Adresse und anderen Signalen steuern. Nutzer greifen über ihren Webbrowser und HTTPS auf Anwendungen zu, während IT-Teams Zugriffsrichtlinien zentral an einem Ort definieren und erzwingen.

In diesem Dokument wird beschrieben, wie Sie IAP für Anwendungen auf Workstations in Ihrem Cluster aktivieren. Das folgende Diagramm zeigt einen Cluster mit aktiviertem IAP:

Architektur eines Clusters mit aktiviertem IAP

Abbildung 1: Cluster mit aktiviertem IAP

Hinweis

Bevor Sie IAP für Ihre Workstations aktivieren können, muss Ihr Cluster die folgenden Anforderungen erfüllen:

  • Eine benutzerdefinierte Domain: IAP wird nur auf Workstation-Clustern unterstützt, die eine benutzerdefinierte Domain verwenden.
  • Application Load Balancer: Dieser Load Balancer verarbeitet den gesamten eingehenden HTTP-Traffic über einen Private Service Connect-Endpunkt (PSC) und ermöglicht die Konfiguration von IAP.

Informationen zum Einrichten dieser Komponenten finden Sie unter Benutzerdefinierte Domains für Cloud Workstations einrichten.

Proxy aktivieren

So aktivieren Sie IAP für Ihre Workstations:

  1. Aktivieren Sie IAP für den Application Load Balancer des Clusters, indem Sie den folgenden Befehl ausführen: 

    gcloud compute backend-services update BACKEND_SERVICE_NAME \
    --iap=enabled,oauth2-client-id=CLIENT_ID,oauth2-client-secret=CLIENT_SECRET \
    --global

    Ersetzen Sie Folgendes:

    • BACKEND_SERVICE_NAME: der Name des Backend-Dienstes, den Sie beim Einrichten einer benutzerdefinierten Domain für Ihren Cluster erstellt haben.
    • CLIENT_ID: die OAuth 2.0-Client-ID.
    • CLIENT_SECRET: der OAuth 2.0-Clientschlüssel.

    Weitere Informationen zum Einrichten eines Application Load Balancers mit aktiviertem IAP finden Sie unter IAP auf einem Load Balancer aktivieren.

  2. So gewähren Sie Nutzern in Ihrer Domain Zugriff:

    gcloud iap web add-iam-policy-binding \
    --resource-type=backend-services \
    --service=BACKEND_SERVICE_NAME \
    --member='PRINCIPAL' \
    --role='roles/iap.httpsResourceAccessor' \
    --condition="expression=EXPRESSION,title=TITLE,description=DESCRIPTION"

    Ersetzen Sie Folgendes:

    • BACKEND_SERVICE_NAME ist der Name des Backend-Dienstes.
    • PRINCIPAL: das Hauptkonto, dem Zugriff gewährt werden soll. Beispiel: group:my-group@example.com, user:test-user@example.com oder domain:example.com.
    • EXPRESSION: der Bedingungsausdruck, geschrieben in der Common Expression Language (CEL). Mit diesem Ausdruck können Sie beispielsweise Zugriffsebenen angeben, um den kontextsensitiven Zugriff zu konfigurieren.
    • TITLE: ein Titel für die Bedingung.
    • DESCRIPTION: eine optionale Beschreibung für die Bedingung.

    Cloud Workstations führt die IAM-Prüfungen weiterhin anhand der IAM-Richtlinie durch, die für die einzelnen Workstation-Ressourcen konfiguriert ist. Um Redundanz zu vermeiden, können Sie die IAP-Richtlinie so konfigurieren, dass einer großen Gruppe, die alle genehmigten Workstation-Nutzer oder Ihre gesamte Domain umfasst, Berechtigungen gewährt werden. Sie können diese Richtlinie hauptsächlich verwenden, um Zugriffsebenen für die Konfiguration des kontextsensitiven Zugriffs anzugeben.

    Weitere Informationen zum Gewähren von Zugriff für Nutzer finden Sie unter gcloud iap web add-iam-policy-binding.