Contribuire a proteggere l'API Cloud Workstations utilizzando Chrome Enterprise Premium

Panoramica

Chrome Enterprise Premium è la soluzione Zero Trust diGoogle Cloudche consente alla forza lavoro di un'organizzazione di accedere in modo sicuro alle applicazioni web da qualsiasi luogo, senza bisogno di una VPN, e di contribuire a prevenire malware, phishing e perdita di dati.

Con la potenza di Google Chrome, Chrome Enterprise Premium consente agli utenti di accedere alle applicazioni da qualsiasi dispositivo. Chrome Enterprise Premium sta ampliando le sue funzionalità per affrontare alcune sfide di sicurezza chiave nell'ambiente di sviluppo. Utilizzando controllo dell'accesso sensibile al contesto per la consoleGoogle Cloud e le API, Chrome Enterprise Premium offre una sicurezza aggiuntiva per l'API Cloud Workstations.

La tabella seguente indica se Chrome Enterprise Premium supporta il controllo dell'accesso sensibile al contesto per il metodo di accesso a Cloud Workstations specificato.

  • Il segno di spunta indica che Chrome Enterprise Premium limita questo metodo di accesso a Cloud Workstations.
  • L'icona non supportato indica che Chrome Enterprise Premium non limita questo metodo di accesso a Cloud Workstations.

Obiettivi

Questo documento descrive i passaggi che un amministratore deve seguire per configurare il controllo dell'accesso di Chrome Enterprise Premium per l'API Cloud Workstations e per fornire meccanismi aggiuntivi che aiutano a prevenire l'esfiltrazione del codice sorgente dagli IDE di Cloud Workstations basati su browser.

Costi

Nell'ambito di questo tutorial, potresti dover coinvolgere altri team (per la fatturazione o IAM) e testare il controllo degli accessi per dimostrare che i guardrail di Chrome Enterprise Premium sono attivi.

In questo documento vengono utilizzati i seguenti componenti fatturabili di Google Cloud:

Per generare una stima dei costi in base all'utilizzo previsto, utilizza il Calcolatore prezzi.

I nuovi utenti di Google Cloud potrebbero avere diritto a una prova senza costi.

Al termine delle attività descritte in questo documento, puoi evitare l'addebito di ulteriori costi eliminando le risorse che hai creato. Per saperne di più, consulta Esegui la pulizia.

Prima di iniziare

  1. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  2. Verify that billing is enabled for your Google Cloud project.

  3. Enable the Workstations API, if it is not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the API

  4. Make sure that you have the following role or roles on the project: Cloud Workstations > Cloud Workstations Admin.

    Check for the roles

    1. In the Google Cloud console, go to the IAM page.

      Go to IAM
    2. Select the project.

    3. In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.

    4. For all rows that specify or include you, check the Role column to see whether the list of roles includes the required roles.

    Grant the roles

    1. In the Google Cloud console, go to the IAM page.

      Go to IAM
    2. Select the project.
    3. Click Grant access.

    4. In the New principals field, enter your user identifier. This is typically the identifier for a user in a workforce identity pool. For details, see Represent workforce pool users in IAM policies, or contact your administrator.

    5. Click Select a role, then search for the role.
    6. To grant additional roles, click Add another role and add each additional role.
    7. Click Save.

  5. Assicurati di aver assegnato una licenza Chrome Enterprise Premium Standard a ciascuno dei tuoi utenti. Solo gli utenti con una licenza hanno i controlli di accesso applicati. Per saperne di più, consulta Assegna, rimuovi e riassegna le licenze.

Parte 1: configura Chrome Enterprise Premium per Cloud Workstations

Questa sezione illustra i passaggi per proteggere l'accesso sensibile al contesto all'API Cloud Workstations:

  1. Configura Cloud Workstations.
  2. Crea un utente demo e un gruppo demo.
  3. Crea un livello di accesso in Gestore contesto accesso.
  4. Abilita CAA di Chrome Enterprise Premium.
  5. Aggiungi i gruppi Google richiesti con i livelli di accesso.
  6. Testa l'accesso degli sviluppatori a Cloud Workstations.

Configura Cloud Workstations

Per l'integrazione con Chrome Enterprise Premium, il cluster Cloud Workstations deve utilizzare Identity-Aware Proxy (IAP). Salta questa sezione se hai già configurato queste risorse.

Per configurare Cloud Workstations:

  1. Crea un cluster di workstation con un dominio personalizzato.
  2. Abilita IAP.
  3. Crea una configurazione della workstation nel cluster.

Se non hai mai utilizzato Cloud Workstations, consulta la panoramica e l'architettura.

Crea un utente demo e un gruppo demo

Dalla Console di amministrazione Google Workspace, crea un utente demo e un nuovo gruppo di utenti. Se abilitato, l'accesso sensibile al contesto (CAA) per la consoleGoogle Cloud si applica a tutti gli utenti e i gruppi Google perché è un'impostazione globale.

  1. Accedi alla Console di amministrazione Google Workspace con il tuo account amministratore: Menu > Directory > Utenti > Aggiungi nuovo utente.

  2. Crea un utente demo: demo-user@<domain>.

  3. Accedi alla consoleGoogle Cloud e vai a Menu > IAM e amministrazione > Gruppi.

  4. Crea un gruppo IAM per l'accesso a Cloud Workstations, chiamalo Cloud Workstations Users e assegna l'utente demo creato in precedenza, demo-user@<domain>.

  5. Fai clic su Salva.

  6. Crea anche un gruppo di utenti amministratori IAM e assegnagli il nome Cloud Admin Users. Assegna gli amministratori del progetto e dell'organizzazione a questo gruppo.

  7. Aggiungi l'utente demo, demo-user@<domain>, al gruppo di utenti di Cloud Workstations che hai creato:

    1. Nella consoleGoogle Cloud , vai a Cloud Workstations > Workstation.
    2. Seleziona la workstation, quindi fai clic su more_vertAltro > Aggiungi utenti.
    3. Seleziona l'utente demo, demo-user@<domain> e seleziona Cloud Workstations User come Ruolo.
    4. Per concedere all'utente demo l'accesso alla workstation, seleziona demo-user@<domain>, seleziona Cloud Workstations Users come Ruolo e fai clic su Salva.

Crea un livello di accesso

Torna alla console Google Cloud per creare un livello di accesso in Gestore contesto accesso.

Segui queste istruzioni per testare l'accesso:

  1. Nella consoleGoogle Cloud , vai a Sicurezza > Gestore contesto accesso per configurare una policy per i dispositivi gestiti dall'azienda.

  2. Fai clic su Crea livello di accesso e compila i seguenti campi:

    1. Nel campo Titolo livello di accesso, inserisci corpManagedDevice.
    2. Seleziona Modalità di base.
    3. In Condizioni, seleziona Vero per attivare la condizione.
    4. Fai clic su + Policy per i dispositivi per espandere le opzioni e seleziona Richiedi dispositivo di proprietà dell'azienda.
    5. Fai clic su Salva per salvare la policy di accesso.

Abilita CAA di Chrome Enterprise Premium per la console Google Cloud

Per assegnare i controlli di accesso sensibile al contesto (CAA) alle workstation, inizia attivando il CAA per la console Google Cloud :

  1. Dalla consoleGoogle Cloud , vai a Sicurezza > BeyondCorp Enterprise.

  2. Fai clic su Gestisci l'accesso alla console Google Cloud e alle API. Verrà visualizzata la pagina Livello organizzazione di Chrome Enterprise Premium.

  3. Nella sezione Proteggi console e API Google Cloud , fai clic su Abilita.

Aggiungi i gruppi Google richiesti con i livelli di accesso

Aggiungi i gruppi di amministratori richiesti con i membri pertinenti e la policy di accesso corretta.

Console

  1. Crea una policy di accesso amministratore denominata CloudAdminAccess con la località impostata sulle regioni in cui lavorano gli amministratori. In questo modo, gli amministratori possono accedere alle risorse anche se un altro criterio li blocca.

  2. Crea un gruppo IAM con accesso amministratore in IAM e amministrazione > Gruppi.

    1. Seleziona l'organizzazione.
    2. Crea un gruppo e denominalo Cloud Admin Users.
    3. Assegna te e gli altri amministratori a questo gruppo.
    4. Fai clic su Salva.

  3. Vai a Sicurezza > Chrome Enterprise Premium. Fai clic su Gestisci accesso ed esamina l'elenco di gruppi e livelli di accesso visualizzati.

  4. Fai clic su Aggiungi entità alla console Google Cloud e alle API.

    1. Per Google Gruppi, seleziona Utenti amministratori di Cloud. Questo è il gruppo Google che hai selezionato nel passaggio precedente.
    2. Seleziona CloudAdminAccess, il livello di accesso che hai creato per l'accesso amministratore.
    3. Fai clic su Salva.

gcloud e API

Per attivare il dry run, segui il tutorial sul dry run di Chrome Enterprise Premium.

Assegna il livello di accesso al gruppo di utenti di Cloud Workstations

Per assegnare il livello di accesso al gruppo di utenti di Cloud Workstations:

  1. Vai a Sicurezza > Chrome Enterprise Premium e fai clic su Gestisci l'accesso.

  2. Esamina l'elenco di gruppi e livelli di accesso visualizzato.

  3. Fai clic su Aggiungi entità alla console Google Cloud e alle API.

    1. Per Google Gruppi, seleziona Utenti Cloud Workstations. Questo è il gruppo Google che hai selezionato nel passaggio precedente.
    2. Seleziona il livello di accesso creato in precedenza, corpManagedDevice.
    3. Fai clic su Salva.

Testa l'accesso degli sviluppatori a Cloud Workstations

Testare l'accesso degli sviluppatori all'API Cloud Workstations da più punti di ingresso. Per un dispositivo di proprietà dell'azienda, assicurati che gli sviluppatori possano accedere all'API Workstation.

  • Verifica che l'accesso all'API della workstation da un dispositivo non gestito sia bloccato:

    Chrome Enterprise Premium blocca gli utenti che tentano di accedere all'API Cloud Workstations. Quando gli utenti tentano di accedere, viene visualizzato un messaggio di errore che li informa che non hanno accesso o che devono controllare la connessione di rete e le impostazioni del browser.

  • Verifica che l'accesso all'API della workstation da un dispositivo di proprietà dell'azienda sia abilitato:

    Gli sviluppatori con accesso a Chrome Enterprise Premium e Cloud Workstations dovrebbero essere in grado di creare la propria workstation e poi avviarla.

Parte 2: configura le funzionalità DLP di Chrome Enterprise Premium

Questa sezione include i passaggi per sfruttare BeyondCorp Threat and Data Protection per integrare le funzionalità di Prevenzione della perdita di dati (DLP). In questo modo, si impedisce l'esfiltrazione del codice sorgente dall'editor di base di Cloud Workstations (Code OSS per Cloud Workstations) basato su Chrome.

Segui questi passaggi per configurare le funzionalità DLP di Chrome Enterprise Premium per contribuire a impedire il download del codice sorgente:

  1. Attiva la protezione dei dati e dalle minacce.
  2. Crea una regola DLP di BeyondCorp.
  3. Rivedi le impostazioni e crea la regola.
  4. Testa la regola DLP.

Attiva la protezione dei dati e dalle minacce

Per attivare la protezione dei dati e dalle minacce dalla Console di amministrazione Google Workspace, segui questi passaggi:

  1. Vai a Dispositivi > Chrome > Impostazioni > Utenti e browser.

  2. Dopo aver selezionato l'identificatore dell'unità organizzativa (ID UO), fai clic su Cerca o aggiungi un filtro in Impostazioni utente e browser e seleziona il sottotipo Categoria.

  3. Cerca il connettore Chrome Enterprise nel sottotipo Categoria.

  4. In Analisi dei contenuti scaricati, seleziona Google BeyondCorp Enterprise.

  5. Espandi Impostazioni aggiuntive.

    1. Seleziona Ritarda l'accesso al file fino al completamento dell'analisi.
    2. In Verifica la presenza di dati sensibili > Modalità, seleziona Analisi attivata per impostazione predefinita, esclusi i seguenti pattern URL.

  6. Fai clic su Salva per salvare la configurazione.

Crea una regola DLP di Chrome Enterprise Premium

Per creare una regola DLP, segui questi passaggi:

  1. Vai alla Console di amministrazione Google Workspace e seleziona Sicurezza > Accesso e controlli relativi ai dati > Protezione dei dati > Gestisci regole.

  2. Per creare una nuova regola, fai clic su Aggiungi regola, quindi su Nuova regola. Si apre la pagina Nome e ambito.

  3. Nella sezione Nome, inserisci un nome e una descrizione. Ad esempio, per il campo Nome, inserisci CloudWorkstations-DLP-Rule1 e, per il campo Descrizione, inserisci Cloud Workstations Data Loss Prevention Rule 1.

  4. Nella sezione Ambito, configura quanto segue:

    1. Seleziona Unità organizzative e/o gruppi.
    2. Fai clic su Includi unità organizzative e seleziona la tua organizzazione.
    3. Fai clic su Continua.

  5. Nella sezione App, configura quanto segue:

    1. Nelle opzioni di Chrome, seleziona File caricato e File scaricato.
    2. Fai clic su Continua.

  6. Nella pagina Condizioni, configura quanto segue:

    1. Fai clic su Aggiungi condizione per creare una nuova condizione.
    2. Seleziona Tutti i contenuti.
    3. Seleziona Corrisponde al tipo di dati predefinito (consigliata).
    4. In Seleziona tipo di dati, seleziona Documenti - File di codice sorgente.
    5. Nel campo Soglia di probabilità, seleziona Alta.
    6. Nel campo Numero minimo di corrispondenze univoche, inserisci 1.
    7. Nel campo Numero di corrispondenze minimo, inserisci 1.
    8. Fai clic su Continua.

  7. Nella pagina Azioni, configura quanto segue:

    1. Nelle opzioni Azioni, seleziona Chrome > Blocca contenuti.
    2. Nelle opzioni Avvisi, configura quanto segue:
      • Per la gravità, seleziona Media.
      • Seleziona Invia al Centro avvisi.
    3. Fai clic su Continua.

Rivedi le impostazioni e crea la regola

Nella pagina Rivedi, esamina le impostazioni configurate nelle pagine precedenti:

  1. Assicurati che le impostazioni siano corrette.
  2. Per procedere, fai clic su Crea.
  3. Nella pagina successiva, assicurati che l'opzione Attivo sia selezionata.
  4. Per completare la creazione della regola, fai clic su Completa.

Testa la regola DLP

Ora che la regola DLP è stata aggiunta, puoi eseguire un test da Cloud Workstations in Chrome:

  1. In una nuova scheda di Chrome, inserisci chrome://policy e fai clic su Ricarica criteri per assicurarti che la policy di Chrome sia aggiornata.

  2. Scorri verso il basso per assicurarti di visualizzare un elenco di policy. Se li vedi, significa che i criteri sono stati scaricati correttamente. In questo caso, cerca la policy OnFileDownloadEnterpriseConnector.

  3. Vai alla consoleGoogle Cloud e crea una configurazione di Cloud Workstations.

    Quando crei la configurazione della workstation, assicurati di selezionare Editor di codice su immagini di base, quindi seleziona l'immagine di base preconfigurata Editor di base (Code OSS per Cloud Workstations).

  4. Creare una workstation.

  5. Avvia la workstation.

  6. Accedi all'URL di Code OSS per Cloud Workstations che viene visualizzato dopo aver avviato la workstation e connettiti alla porta 80.

  7. Clona un repository con l'opzione Clona repository Git nell'IDE. Dopo aver clonato il repository, prova a scaricare un file con il codice sorgente.

    Per scaricare i file nella visualizzazione Explorer di Code OSS per Cloud Workstations, utilizza uno dei seguenti metodi:

    • Trascina i file dalla visualizzazione Explorer.

    • Vai ai file e alle directory che vuoi utilizzare, fai clic con il tasto destro del mouse e scegli Scarica.

  8. Al momento del download, il criterio DLP entra in vigore. Viene visualizzata una notifica di download bloccato che indica che i criteri della tua organizzazione non sono stati rispettati:

Complimenti! Hai contribuito a impedire il download dei file di codice sorgente.

Esegui la pulizia

Per evitare che al tuo account Google Cloud vengano addebitati costi relativi alle risorse utilizzate in questo tutorial, elimina il progetto che contiene le risorse oppure mantieni il progetto ed elimina le singole risorse. Per saperne di più, consulta Elimina risorse.

Passaggi successivi