Abilitare IAP

Utilizza Identity-Aware Proxy (IAP) per controllare l'accesso alle applicazioni sulle tue workstation. IAP definisce un livello di autorizzazione centrale, che ti consente di gestire l'accesso a livello di applicazione invece di fare affidamento su firewall a livello di rete.

Puoi controllare l'accesso in base all'identità dell'utente, all'appartenenza ai gruppi, alla sicurezza del dispositivo, alla località, all'indirizzo IP e ad altri indicatori. Gli utenti accedono alle applicazioni utilizzando il browser web e HTTPS, mentre i team IT definiscono e applicano centralmente le policy di accesso in un unico posto.

Questo documento descrive come abilitare IAP per le applicazioni sulle workstation nel tuo cluster. Il seguente diagramma illustra un cluster con IAP abilitato:

Architettura di un cluster con IAP abilitato

Figura 1. Cluster con IAP abilitato

Prima di iniziare

Prima di poter attivare IAP per le workstation, il cluster deve avere:

  • Un dominio personalizzato: IAP è supportato solo sui cluster di workstation che utilizzano un dominio personalizzato.
  • Un bilanciatore del carico delle applicazioni: questo bilanciatore del carico gestirà tutto il traffico HTTP in entrata utilizzando un endpoint Private Service Connect (PSC) e ti consente di configurare IAP.

Per configurare questi componenti, consulta Configura domini personalizzati per Cloud Workstations.

Attiva il proxy

Per attivare IAP per le tue workstation, segui questi passaggi:

  1. Abilita IAP sul bilanciatore del carico delle applicazioni del cluster eseguendo questo comando: 

    gcloud compute backend-services update BACKEND_SERVICE_NAME \
    --iap=enabled,oauth2-client-id=CLIENT_ID,oauth2-client-secret=CLIENT_SECRET \
    --global

    Sostituisci quanto segue:

    • BACKEND_SERVICE_NAME: il nome del servizio di backend che hai creato durante la configurazione di un dominio personalizzato per il tuo cluster.
    • CLIENT_ID: l'ID client OAuth 2.0.
    • CLIENT_SECRET: il client secret OAuth 2.0.

    Per saperne di più sulla configurazione di un bilanciatore del carico delle applicazioni con IAP abilitato, consulta Abilita IAP su un bilanciatore del carico.

  2. Concedi l'accesso agli utenti del tuo dominio:

    gcloud iap web add-iam-policy-binding \
    --resource-type=backend-services \
    --service=BACKEND_SERVICE_NAME \
    --member='PRINCIPAL' \
    --role='roles/iap.httpsResourceAccessor' \
    --condition="expression=EXPRESSION,title=TITLE,description=DESCRIPTION"

    Sostituisci quanto segue:

    • BACKEND_SERVICE_NAME: il nome del servizio di backend.
    • PRINCIPAL: l'entità a cui concedere l'accesso. Ad esempio, group:my-group@example.com, user:test-user@example.com o domain:example.com.
    • EXPRESSION: l'espressione della condizione, scritta in Common Expression Language (CEL). Ad esempio, questa espressione può essere utilizzata per specificare i livelli di accesso per configurare l'accesso sensibile al contesto.
    • TITLE: un titolo per la condizione.
    • DESCRIPTION: una descrizione facoltativa della condizione.

    Cloud Workstations esegue comunque i controlli IAM in base alla policy IAM configurata sulle singole risorse della workstation. Per evitare ridondanze, valuta la possibilità di configurare la policy IAP in modo da concedere le autorizzazioni a un gruppo ampio che comprenda tutti gli utenti delle workstation approvati o l'intero dominio. Puoi utilizzare questa policy principalmente per specificare i livelli di accesso per configurare l'accesso sensibile al contesto.

    Per saperne di più sulla concessione dell'accesso agli utenti, consulta gcloud iap web add-iam-policy-binding.