Protéger l'API Cloud Workstations avec Chrome Enterprise Premium

Présentation

Chrome Enterprise Premium est la solution zéro confiance deGoogle Cloudqui permet aux équipes d'une organisation d'accéder à des applications Web de manière sécurisée, où qu'elles se trouvent. L'utilisation d'un VPN n'est plus nécessaire, et les risques liés aux logiciels malveillants, à l'hameçonnage et à la perte de données sont écartés.

Grâce à la puissance de Google Chrome, Chrome Enterprise Premium permet aux utilisateurs d'accéder aux applications depuis n'importe quel appareil. Chrome Enterprise Premium étend ses fonctionnalités pour répondre à certains défis de sécurité clés dans l'environnement des développeurs. En utilisant le contrôle des accès contextuel pour la consoleGoogle Cloud et les API, Chrome Enterprise Premium offre une sécurité supplémentaire pour l'API Cloud Workstations.

Le tableau suivant indique si Chrome Enterprise Premium est compatible avec le contrôle des accès contextuels pour la méthode d'accès Cloud Workstations spécifiée.

  • La coche indique que Chrome Enterprise Premium limite cette méthode d'accès à Cloud Workstations.
  • L'icône "Non compatible"  indique que Chrome Enterprise Premium ne limite pas cette méthode d'accès à Cloud Workstations.

Objectifs

Ce document décrit les étapes à suivre par un administrateur pour configurer le contrôle des accès Chrome Enterprise Premium pour l'API Cloud Workstations et pour fournir des mécanismes supplémentaires permettant d'empêcher l'exfiltration du code source à partir des IDE Cloud Workstations basés sur un navigateur.

Coûts

Dans le cadre de ce tutoriel, vous devrez peut-être faire appel à d'autres équipes (pour la facturation ou IAM). Vous testerez également le contrôle des accès pour démontrer que les garde-fous Chrome Enterprise Premium sont en place.

Dans ce document, vous utilisez les composants facturables suivants de Google Cloud :

Obtenez une estimation des coûts en fonction de votre utilisation prévue à l'aide du simulateur de coût.

Les nouveaux utilisateurs de Google Cloud peuvent bénéficier d'un essai sans frais.

Une fois que vous avez terminé les tâches décrites dans ce document, supprimez les ressources que vous avez créées pour éviter que des frais vous soient facturés. Pour en savoir plus, consultez la section Effectuer un nettoyage.

Avant de commencer

  1. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  2. Verify that billing is enabled for your Google Cloud project.

  3. Enable the Workstations API, if it is not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the API

  4. Make sure that you have the following role or roles on the project: Cloud Workstations > Cloud Workstations Admin.

    Check for the roles

    1. In the Google Cloud console, go to the IAM page.

      Go to IAM
    2. Select the project.

    3. In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.

    4. For all rows that specify or include you, check the Role column to see whether the list of roles includes the required roles.

    Grant the roles

    1. In the Google Cloud console, go to the IAM page.

      Go to IAM
    2. Select the project.
    3. Click Grant access.

    4. In the New principals field, enter your user identifier. This is typically the identifier for a user in a workforce identity pool. For details, see Represent workforce pool users in IAM policies, or contact your administrator.

    5. Click Select a role, then search for the role.
    6. To grant additional roles, click Add another role and add each additional role.
    7. Click Save.

  5. Assurez-vous d'avoir attribué une licence Chrome Enterprise Premium Standard à chacun de vos utilisateurs. Les contrôles des accès ne sont appliqués qu'aux utilisateurs disposant d'une licence. Pour en savoir plus, consultez Attribuer, retirer et réattribuer des licences.

Partie 1 : Configurer Chrome Enterprise Premium pour Cloud Workstations

Cette section décrit les étapes à suivre pour sécuriser l'accès contextuel à l'API Cloud Workstations :

  1. Configurez Cloud Workstations.
  2. Créez un utilisateur et un groupe de démonstration.
  3. Créez un niveau d'accès dans Access Context Manager.
  4. Activez l'accès contextuel Chrome Enterprise Premium.
  5. Ajoutez les groupes Google requis avec des niveaux d'accès.
  6. Tester l'accès des développeurs à Cloud Workstations

Configurer Cloud Workstations

Pour s'intégrer à Chrome Enterprise Premium, votre cluster Cloud Workstations doit utiliser Identity-Aware Proxy (IAP). Ignorez cette section si vous avez déjà configuré ces ressources.

Pour configurer Cloud Workstations :

  1. Créer un cluster de stations de travail avec un domaine personnalisé
  2. Activez IAP.
  3. Créez une configuration de station de travail dans le cluster.

Si vous débutez avec Cloud Workstations, consultez la présentation et l'architecture.

Créer un utilisateur et un groupe de démonstration

Dans la console d'administration Google Workspace, créez un utilisateur de démonstration et un groupe d'utilisateurs. Lorsqu'il est activé, l'accès contextuel (CAA) pour la consoleGoogle Cloud s'applique à tous les utilisateurs et groupes Google, car il s'agit d'un paramètre global.

  1. Connectez-vous à la console d'administration Google Workspace avec votre compte administrateur : Menu > Annuaire > Utilisateurs > Ajouter un nouvel utilisateur.

  2. Créez un utilisateur de démonstration : demo-user@<domain>.

  3. Connectez-vous à la consoleGoogle Cloud et accédez à Menu > IAM et administration > Groupes.

  4. Créez un groupe IAM pour l'accès à Cloud Workstations, nommez-le Cloud Workstations Users et attribuez-lui l'utilisateur de démonstration précédemment créé, demo-user@<domain>.

  5. Cliquez sur Enregistrer.

  6. Créez également un groupe d'administrateurs IAM et nommez-le Cloud Admin Users. Attribuez les administrateurs de votre projet et de votre organisation à ce groupe.

  7. Ajoutez l'utilisateur de démonstration, demo-user@<domain>, au groupe d'utilisateurs Cloud Workstations que vous avez créé :

    1. Dans la consoleGoogle Cloud , accédez à Cloud Workstations > Workstations.
    2. Sélectionnez la station de travail, puis cliquez sur more_vertPlus > Ajouter des utilisateurs.
    3. Sélectionnez l'utilisateur de démonstration demo-user@<domain>, puis sélectionnez Cloud Workstations User comme Rôle.
    4. Pour autoriser l'utilisateur de démonstration à accéder à la station de travail, sélectionnez demo-user@<domain>, sélectionnez Cloud Workstations Users comme Rôle, puis cliquez sur Enregistrer.

Créer un niveau d'accès

Revenez à la console Google Cloud pour créer un niveau d'accès dans Access Context Manager.

Pour tester l'accès, procédez comme suit :

  1. Dans la consoleGoogle Cloud , accédez à Sécurité > Access Context Manager pour configurer une règle relative aux appareils gérés par l'entreprise.

  2. Cliquez sur Créer un niveau d'accès et renseignez les champs suivants :

    1. Dans le champ Titre du niveau d'accès, saisissez corpManagedDevice.
    2. Sélectionnez le mode De base.
    3. Sous Conditions, sélectionnez True pour activer la condition.
    4. Cliquez sur + Règle relative aux appareils pour développer les options, puis cochez Exiger un appareil appartenant à l'entreprise.
    5. Cliquez sur Enregistrer pour enregistrer la règle d'accès.

Activer l'accès contextuel Chrome Enterprise Premium pour la console Google Cloud

Pour attribuer des contrôles d'accès contextuel (CAA) aux stations de travail, commencez par activer le CAA pour la console Google Cloud  :

  1. Dans la consoleGoogle Cloud , accédez à Sécurité > BeyondCorp Enterprise.

  2. Cliquez sur Gérer l'accès à la console Google Cloud et aux API. Vous êtes redirigé vers la page Niveau de l'organisation de Chrome Enterprise Premium.

  3. Dans la section Sécuriser la console et les API Google Cloud , cliquez sur Activer.

Ajouter les groupes Google requis avec des niveaux d'accès

Ajoutez les groupes d'administrateurs requis avec les membres appropriés et la stratégie d'accès correcte.

Console

  1. Créez une règle d'accès administrateur nommée CloudAdminAccess, avec l'emplacement défini sur les régions où travaillent vos administrateurs. Cela permet de s'assurer que les administrateurs peuvent accéder aux ressources même lorsqu'une autre stratégie les bloque.

  2. Créez un groupe IAM avec un accès administrateur dans IAM et administration > Groupes.

    1. Sélectionnez l'organisation.
    2. Créez un groupe et nommez-le Cloud Admin Users.
    3. Attribuez-vous et attribuez les autres administrateurs à ce groupe.
    4. Cliquez sur Enregistrer.

  3. Accédez à Sécurité > Chrome Enterprise Premium. Cliquez sur Gérer l'accès et examinez la liste des groupes et des niveaux d'accès qui s'affiche.

  4. Cliquez sur Ajouter des comptes principaux à la console et aux API Google Cloud .

    1. Pour Groupes Google, sélectionnez Administrateurs Cloud. Il s'agit du groupe Google que vous avez sélectionné à l'étape précédente.
    2. Sélectionnez CloudAdminAccess, le niveau d'accès que vous avez créé pour l'accès administrateur.
    3. Cliquez sur Enregistrer.

gcloud et API

Pour activer la simulation, suivez le tutoriel sur la simulation Chrome Enterprise Premium.

Attribuer un niveau d'accès au groupe d'utilisateurs Cloud Workstations

Pour attribuer le niveau d'accès au groupe d'utilisateurs Cloud Workstations :

  1. Accédez à Sécurité > Chrome Enterprise Premium, puis cliquez sur Gérer l'accès.

  2. Consultez la liste des groupes et des niveaux d'accès qui s'affiche.

  3. Cliquez sur Ajouter des comptes principaux à la console et aux API Google Cloud .

    1. Pour Groupes Google, sélectionnez Utilisateurs Cloud Workstations. Il s'agit du groupe Google que vous avez sélectionné à l'étape précédente.
    2. Sélectionnez le niveau d'accès que vous avez créé précédemment, corpManagedDevice.
    3. Cliquez sur Enregistrer.

Tester l'accès des développeurs à Cloud Workstations

Tester l'accès des développeurs à l'API Cloud Workstations à partir de plusieurs points d'entrée. Pour un appareil appartenant à l'entreprise, assurez-vous que les développeurs peuvent accéder à l'API Workstation.

  • Vérifiez que l'accès à l'API Workstations depuis un appareil non géré est bloqué :

    Chrome Enterprise Premium bloque les utilisateurs qui tentent d'accéder à l'API Cloud Workstations. Lorsqu'un utilisateur tente de se connecter, un message d'erreur s'affiche, l'informant qu'il n'a pas accès ou qu'il doit vérifier sa connexion réseau et les paramètres de son navigateur.

  • Vérifiez que l'accès à l'API Workstations depuis un appareil appartenant à l'entreprise est activé :

    Les développeurs disposant d'un accès à Chrome Enterprise Premium et à Cloud Workstations doivent pouvoir créer leur station de travail, puis la lancer.

Partie 2 : Configurer les fonctionnalités de protection contre la perte de données de Chrome Enterprise Premium

Cette section explique comment utiliser la prévention des menaces et la protection des données de BeyondCorp pour intégrer des fonctionnalités de protection contre la perte de données. Cela permet d'éviter l'exfiltration du code source depuis l'éditeur de base Cloud Workstations (Code OSS pour Cloud Workstations) basé sur Chrome.

Pour configurer les fonctionnalités de protection contre la perte de données de Chrome Enterprise Premium afin d'empêcher le téléchargement du code source, procédez comme suit :

  1. Activez la protection des données et contre les menaces.
  2. Créez une règle de protection contre la perte de données BeyondCorp.
  3. Vérifiez les paramètres et créez la règle.
  4. Testez la règle de protection contre la perte de données.

Activer la protection des données et contre les menaces

Pour activer la protection contre les menaces et la protection des données depuis la console d'administration Google Workspace, procédez comme suit :

  1. Accédez à Appareils > Chrome > Paramètres > Utilisateurs et navigateurs.

  2. Après avoir sélectionné l'identifiant de votre unité organisationnelle (ID d'UO), cliquez sur Rechercher ou ajouter un filtre sous Paramètres utilisateur et du navigateur, puis sélectionnez le sous-type Catégorie.

  3. Recherchez le connecteur Chrome Enterprise dans le sous-type Category (Catégorie).

  4. Dans Analyse du contenu téléchargé, sélectionnez Google BeyondCorp Enterprise.

  5. Développez la section Paramètres supplémentaires.

    1. Sélectionnez Différer l'accès aux fichiers jusqu'à la fin de l'analyse.
    2. Dans Rechercher des données sensibles > Mode, sélectionnez Activé par défaut, sauf pour le format d'URL suivant.

  6. Cliquez sur Enregistrer pour enregistrer la configuration.

Créer une règle de protection contre la perte de données Chrome Enterprise Premium

Pour créer une règle de protection contre la perte de données, procédez comme suit :

  1. Accédez à la console d'administration Google Workspace et sélectionnez Sécurité > Contrôle des accès et des données > Protection des données > Gérer les règles.

  2. Pour créer une règle, cliquez sur Ajouter une règle, puis sur Nouvelle règle. La page Nom et champ d'application s'ouvre.

  3. Dans la section Nom, saisissez un nom et une description. Par exemple, dans le champ Nom, saisissez CloudWorkstations-DLP-Rule1 et, dans le champ Description, saisissez Cloud Workstations Data Loss Prevention Rule 1.

  4. Dans la section Champ d'application, configurez les éléments suivants :

    1. Sélectionnez Unités organisationnelles et/ou groupes.
    2. Cliquez sur Inclure des unités organisationnelles, puis sélectionnez votre organisation.
    3. Cliquez sur Continuer.

  5. Dans la section Applications, configurez les éléments suivants :

    1. Dans les options Chrome, sélectionnez Fichier importé et Fichier téléchargé.
    2. Cliquez sur Continuer.

  6. Sur la page Conditions, configurez les éléments suivants :

    1. Cliquez sur Ajouter une condition pour créer une condition.
    2. Sélectionnez Tous les contenus.
    3. Sélectionnez Correspond à un type de données prédéfini (recommandé).
    4. Dans le champ Sélectionnez un type de données, sélectionnez Documents – Fichier de code source.
    5. Dans le champ Seuil de probabilité, sélectionnez Élevé.
    6. Dans le champ Nombre minimal de correspondances uniques, saisissez 1.
    7. Dans le champ Nombre minimal de correspondances, saisissez 1.
    8. Cliquez sur Continuer.

  7. Sur la page Actions, configurez les éléments suivants :

    1. Dans les options Actions, sélectionnez Chrome > Bloquer du contenu.
    2. Dans les options Alertes, configurez les éléments suivants :
      • Pour la gravité, sélectionnez Moyenne.
      • Sélectionnez Envoyer au centre d'alerte.
    3. Cliquez sur Continuer.

Vérifier les paramètres et créer la règle

Sur la page Récapitulatif, vérifiez les paramètres que vous avez configurés sur les pages précédentes :

  1. Assurez-vous que les paramètres sont corrects.
  2. Pour continuer, cliquez sur Créer.
  3. Sur la page suivante, assurez-vous que l'option Actif est sélectionnée.
  4. Pour terminer la création de la règle, cliquez sur Terminer.

Tester la règle de protection contre la perte de données

Maintenant que la règle de protection contre la perte de données est ajoutée, vous pouvez effectuer un test depuis Cloud Workstations dans Chrome :

  1. Dans un nouvel onglet Chrome, saisissez chrome://policy et cliquez sur Actualiser les règles pour vous assurer que la règle Chrome est mise à jour.

  2. Faites défiler la page vers le bas pour vous assurer qu'une liste de règles s'affiche. Si vous les voyez, cela signifie que les règles ont bien été extraites. Dans ce cas, recherchez la règle OnFileDownloadEnterpriseConnector.

  3. Accédez à la consoleGoogle Cloud et créez une configuration Cloud Workstations.

    Lorsque vous créez votre configuration de station de travail, veillez à sélectionner Éditeurs de code sur des images de base, puis l'image de base préconfigurée Éditeur de base (Code OSS pour Cloud Workstations).

  4. Créer une station de travail

  5. Démarrez et lancez votre station de travail.

  6. Accédez à l'URL Code OSS pour Cloud Workstations qui s'affiche après le lancement de votre station de travail et connectez-vous au port 80.

  7. Clonez un dépôt à l'aide de l'option Clone Git Repository (Cloner un dépôt Git) dans l'IDE. Une fois le dépôt cloné, essayez de télécharger un fichier contenant du code source.

    Pour télécharger des fichiers dans la vue de l'explorateur Code OSS pour Cloud Workstations, utilisez l'une des méthodes suivantes :

    • Faites glisser des fichiers depuis la vue de l'explorateur.

    • Accédez aux fichiers et répertoires que vous souhaitez utiliser, effectuez un clic droit, puis sélectionnez Télécharger.

  8. La règle de protection contre la perte de données s'applique au moment du téléchargement. Vous voyez une notification de téléchargement bloqué indiquant que les règles de votre organisation ne sont pas respectées :

Félicitations ! Vous avez réussi à empêcher le téléchargement des fichiers de code source.

Effectuer un nettoyage

Pour éviter que les ressources utilisées dans ce tutoriel ne soient facturées sur votre compte Google Cloud , supprimez le projet contenant les ressources, ou conservez le projet et supprimez les ressources individuelles. Pour en savoir plus, consultez Supprimer des ressources.

Étapes suivantes