הפעלת IAP

אתם יכולים להשתמש בשרת proxy לאימות זהויות (IAP) כדי לשלוט בגישה לאפליקציות בסביבות העבודה שלכם. ‫IAP יוצר שכבת הרשאה מרכזית, שמאפשרת לנהל את הגישה ברמת האפליקציה במקום להסתמך על חומות אש ברמת הרשת.

אתם יכולים לשלוט בגישה על סמך זהות המשתמש, החברות בקבוצה, אבטחת המכשיר, המיקום, כתובת ה-IP ואותות אחרים. המשתמשים ניגשים לאפליקציות באמצעות דפדפן האינטרנט ו-HTTPS, וצוותי ה-IT מגדירים ואוכפים את מדיניות הגישה באופן מרוכז במקום אחד.

במאמר הזה מוסבר איך להפעיל את IAP לאפליקציות בתחנות עבודה באשכול. הדיאגרמה הבאה ממחישה אשכול שמופעל בו IAP:

ארכיטקטורה של אשכול עם IAP מופעל

איור 1. אשכול עם IAP מופעל

לפני שמתחילים

כדי להפעיל את IAP בתחנות העבודה, צריך לוודא שהאשכול עומד בדרישות הבאות:

  • דומיין מותאם אישית: אפשר להשתמש ב-IAP רק באשכולות של תחנות עבודה שמשתמשים בדומיין מותאם אישית.
  • מאזן עומסים של אפליקציות (ALB): מאזן העומסים הזה יטפל בכל תעבורת הנתונים הנכנסת מסוג HTTP באמצעות נקודת קצה (endpoint) של Private Service Connect ‏(PSC), ויאפשר לכם להגדיר את IAP.

כדי להגדיר את הרכיבים האלה, קראו את המאמר הגדרת דומיינים בהתאמה אישית ל-Cloud Workstations.

הפעלת שרת ה-proxy

כדי להפעיל את IAP בסביבות העבודה:

  1. מפעילים את IAP במאזן העומסים של האפליקציות באשכול, באמצעות הפקודה הבאה: 

    gcloud compute backend-services update BACKEND_SERVICE_NAME \
    --iap=enabled,oauth2-client-id=CLIENT_ID,oauth2-client-secret=CLIENT_SECRET \
    --global

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫BACKEND_SERVICE_NAME: השם של שירות הקצה העורפי שיצרתם כשהגדרתם דומיין מותאם אישית לאשכול.
    • ‫CLIENT_ID: מזהה הלקוח ב-OAuth 2.0.
    • ‫CLIENT_SECRET: סוד הלקוח של OAuth 2.0.

    מידע נוסף על הגדרת מאזן עומסים של אפליקציות עם IAP מופיע במאמר הפעלת IAP במאזן עומסים.

  2. כדי לתת גישה למשתמשים בדומיין:

    gcloud iap web add-iam-policy-binding \
    --resource-type=backend-services \
    --service=BACKEND_SERVICE_NAME \
    --member='PRINCIPAL' \
    --role='roles/iap.httpsResourceAccessor' \
    --condition="expression=EXPRESSION,title=TITLE,description=DESCRIPTION"

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫BACKEND_SERVICE_NAME: השם של שירות הקצה העורפי.
    • ‫PRINCIPAL: חשבון המשתמש שרוצים לתת לו גישה. לדוגמה, group:my-group@example.com, user:test-user@example.com או domain:example.com.
    • ‫EXPRESSION: ביטוי התנאי, שכתוב ב-Common Expression Language ‏ (CEL). לדוגמה, אפשר להשתמש בביטוי הזה כדי לציין רמות גישה להגדרת בקרת גישה מבוססת-הקשר.
    • ‫TITLE: שם לתנאי.
    • ‫DESCRIPTION: תיאור אופציונלי של התנאי.

    ב-Cloud Workstations עדיין מתבצעות בדיקות IAM על סמך מדיניות ה-IAM שהוגדרה במשאבים של תחנת העבודה הספציפית. כדי למנוע כפילויות, כדאי להגדיר את מדיניות ה-IAP כך שתעניק הרשאות לקבוצה רחבה שכוללת את כל המשתמשים המורשים בתחנת העבודה, או את כל הדומיין. המדיניות הזו משמשת בעיקר כדי לציין רמות גישה להגדרת בקרת גישה מבוססת-הקשר.

    מידע נוסף על מתן גישה למשתמשים זמין במאמר gcloud iap web add-iam-policy-binding.