שימוש ב-IAP להעברת TCP

המסוף

כדי לאפשר גישת RDP ו-SSH לכל מופעי מכונות וירטואליות ברשת, מבצעים את הפעולות הבאות:

1. פותחים את הדף Firewall Rules (כללים של חומת האש).

   פתיחת הדף Firewall Rules

   שאר השלבים יופיעו במסוף Google Cloud .

2. בוחרים פרויקט Google Cloud .
3. בדף 'כללים של חומת אש', לוחצים על יצירת כלל של חומת אש.
4. קובעים את ההגדרות הבאות:
   • Name (שם): allow-ingress-from-iap
   • כיוון התנועה: כניסה
   • טירגוט: כל המופעים ברשת
   • מסנן מקור: טווח כתובות IP
   • טווח כתובות ה-IP של המקור: 35.235.240.0/20
   • פרוטוקולים ויציאות: בוחרים באפשרות TCP ומזינים 3389,22 כדי לאפשר גם RDP וגם SSH.
5. לוחצים על יצירה.

gcloud

כדי לאפשר גישת RDP לכל המכונות הווירטואליות ברשת, מריצים את הפקודה:

gcloud compute firewall-rules create allow-rdp-ingress-from-iap \
  --direction=INGRESS \
  --action=allow \
  --rules=tcp:3389 \
  --source-ranges=35.235.240.0/20

כדי לקבל גישת SSH, מריצים את הפקודה:

gcloud compute firewall-rules create allow-ssh-ingress-from-iap \
  --direction=INGRESS \
  --action=allow \
  --rules=tcp:22 \
  --source-ranges=35.235.240.0/20

לפרוטוקולים אחרים, מריצים את הפקודה

gcloud compute firewall-rules create allow-ingress-from-iap \
  --direction=INGRESS \
  --action=allow \
  --rules=tcp:PORT \
  --source-ranges=35.235.240.0/20

כאשר PORT היא היציאה שבה הפרוטוקול משתמש.

המסוף

1. פותחים את הדף IAM & Admin במסוף Google Cloud .

   פתיחת הדף IAM & Admin

   שאר השלבים יופיעו במסוף Google Cloud .

2. בדף IAM ואדמין, לוחצים על הוספה ומגדירים את האפשרויות הבאות:
   • New principals (ישויות מורשות חדשות): מציינים את המשתמש או הקבוצה שרוצים להעניק להם גישה.
   • Select a role (בחירת תפקיד): בוחרים באפשרות Cloud IAP > IAP-Secured Tunnel User (Cloud IAP > משתמש במנהרה מאובטחת של IAP).
3. אופציונלי: לוחצים על הוספת תנאי ומגדירים תנאי:
   • שם: מזינים שם לתנאי.
   • ביטוי: מזינים תנאי שמשתמש צריך לעמוד בו כדי לקבל את ההרשאות בתפקיד 'משתמש מנהרה באבטחת IAP'.

   לדוגמה, ביטוי ה-CEL הבא מעניק גישה רק ליציאה 22:

   destination.port == 22

4. לוחצים על Add another role ומגדירים את האפשרויות הבאות:
   • Select a role (בחירת תפקיד) בוחרים באפשרות Compute Engine > Compute Instance Admin (v1) (‏Compute Engine > אדמין של מכונות וירטואליות (גרסה 1)).
5. לוחצים על Save.

gcloud

מריצים את הפקודות הבאות כדי להעניק למשתמש את שני התפקידים:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=user:EMAIL \
    --role=roles/iap.tunnelResourceAccessor
gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=user:EMAIL \
    --role=roles/compute.instanceAdmin.v1

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: המזהה של הפרויקט
• ‫EMAIL: כתובת האימייל של המשתמש שרוצים להעניק לו גישה, לדוגמה user@example.com.

המסוף

1. פותחים את דף האדמין של IAP ובוחרים בכרטיסייה SSH and TCP Resources (משאבי SSH ו-TCP).

   פתיחה של דף האדמין של IAP

   שאר השלבים יופיעו במסוף Google Cloud .

2. בכרטיסייה SSH and TCP Resources בדף האדמין של IAP, בוחרים את מכונות ה-VM שרוצים להגדיר.
3. אם חלונית המידע לא מוצגת, לוחצים על Show info panel.

4. לוחצים על Add principal ומגדירים את האפשרויות הבאות:

   • New principals (ישויות מורשות חדשות): מציינים את המשתמש או הקבוצה שרוצים להעניק להם גישה.
   • Select a role (בחירת תפקיד): בוחרים באפשרות Cloud IAP > IAP-Secured Tunnel User (Cloud IAP > משתמש במנהרה מאובטחת של IAP).

5. אפשר גם ללחוץ על הוספת תנאי ולהגדיר תנאי:

   • שם: מזינים שם לתנאי.
   • ביטוי: מזינים תנאי שמשתמש צריך לעמוד בו כדי לקבל את ההרשאות בתפקיד 'משתמש מנהרה באבטחת IAP'.

   לדוגמה, ביטוי ה-CEL הבא מעניק גישה רק ליציאה 22:

         destination.port == 22

   אפשר גם להעניק גישה על סמך רמת הגישה:

       destination.port == 22 &&
       "FULL_ACCESS_LEVEL_NAME" in request.auth.access_levels

   כאשר FULL_ACCESS_LEVEL_NAME הוא רמת גישה קיימת, והפורמט הוא:

   accessPolicies/POLICY_NAME/accessLevels/ACCESS_LEVEL_NAME

6. לוחצים על Save.

API

כדי לערוך את קובץ policy.json של האפליקציה, פועלים לפי התהליך הבא. מידע נוסף על שימוש בממשק ה-API של IAM לניהול מדיניות גישה זמין במאמר ניהול גישה למשאבים שמאובטחים באמצעות IAP.

1. מייצאים את המשתנים הבאים.

   export IAP_BASE_URL=https://iap.googleapis.com/v1/projects/PROJECT_NUMBER/iap_tunnel
   # Replace POLICY_FILE.JSON with the name of JSON file to use for setIamPolicy
   export JSON_NEW_POLICY=POLICY_FILE.JSON
   

2. מקבלים את מדיניות IAM של מכונת Compute Engine באמצעות השיטה getIamPolicy. ביט הנתונים הריק בסוף הופך את הבקשה curl ל-POST במקום ל-GET.

   curl -i -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        ${IAP_BASE_URL}/zones/